Kompletní řízení wifi provozu - Historie editací

Jrk: Stránka Kompletní řízení wifi provozu přemístěna na stránku Kompletní řízení wifi provozu

2009-01-17T17:20:41Z

Stránka Kompletní řízení wifi provozu přemístěna na stránku Kompletní řízení wifi provozu

Jrk: Stránka KompletnÃ Å™ÃzenÃ wifi provozu přemístěna na stránku Kompletní řízení wifi provozu

2009-01-17T16:41:19Z

Stránka KompletnÃ Å™ÃzenÃ wifi provozu přemístěna na stránku Kompletní řízení wifi provozu

Pavkriz: Editace uživatele „193.255.141.15“ vrácena do předchozího stavu, jehož autorem je „Jezz“.

2006-03-08T16:03:06Z

Editace uživatele „193.255.141.15“ vrácena do předchozího stavu, jehož autorem je „Jezz“.

193.255.141.15: test

2006-03-08T13:32:14Z

test

Jezz v 3. 3. 2005, 18:22

2005-03-03T18:22:40Z

Jezz: novy parametr pro arp_redir

2005-03-03T18:21:47Z

novy parametr pro arp_redir

Lada: drobnustky

2005-02-20T22:15:23Z

drobnustky

Jezz: Chyba+male doplneni

2005-02-20T21:24:25Z

Chyba+male doplneni

Jezz v 20. 2. 2005, 20:16

2005-02-20T20:16:25Z

Nová stránka

== Problém ==

Narozdíl od ad-hoc režimu wi-fi sítí, klienti připojení ke stejnému AP můžou komunikovat mezi sebou, ačkoliv jejich zařízení se nemusí "slyšet". Tuto komunikace zajišťuje AP, ke kterému jsou připojeni. Pokud jejich IPv4 adresy jsou ve stejné podsíti, tato komunikace probíhá na 2. vrstvě. Na softwarovém AP s HostAP to zajišťují tyto ovladače. Tento provoz neprochází síťovou vrstvou a z toho plyne následující:
* není možno použít firewall
* provoz nelze regulovat pomocí shaperu
* nelze jednoduše zjistit, kolik dat aktuálně prochází přes AP a kdo je za to zodpovědný (kromě statistik HostAP)

== Řešení ==

Toto samozřejmě není vždy žádoucí. Existují samozřejmě řešení:
* každému klientu přidělit samostatnou podsíť
* zakázat komunikaci mezi klienty (parametr HostAP <tt>bridge_packets</tt>)

První řešení je dobré, ale náročné na spotřebu IPv4 adres. Na některých ap by to znamenalo změnit již připojeným uživatelům adresy.

Druhé řešení neumožňuje komunikaci mezi klienty.

Popis problému i nápad na řešení přišel od Ládi z J-netu na newsech (17.února 2005):

Vsichni klienti na vsesmeru uvidi stejnou MAC svych kolegu - totoznou s
MAC vsesmer wifi karty.
Takze uzivatel 1 posle data pro uzivatele 2 s MAC routeru - router paket
prijme do kernelu (tim se provedou vsechny ty veci jako PREROUTIONG,
POSTROUTING a FORWARD) a posle uzivateli 2 na jeho skutecnou MAC adresu.
Stacilo by, aby router pravidelne posilal ARP "poison" pakety vsem
uzivatelum na IP celeho rozsahu a hlasil jim jako MAC svou MAC adresu.

== Realizace ==

Z probíhajicí diskuze nakonec vzešly 2 řešení:

1. Shellovský skript používající <tt>tcpdump</tt> k detekci arp požadavků a posílající příslušnou arp odpověč prostřednictvým programu <tt>arpoison</tt>.

2. Daemon v ''C'' založený na programu pro Man-in-the-middle útok. Poslouchá na příslušném rozhraní (využívá knihovnu <tt>libpcap</tt>) a na každý arp požadavek odpoví zfalšovanou arp odpovědí (na vytvoření tohoto paketu se používá <tt>libnet1</tt>).

Při testování (díky patří Kyrilovi) se zjistily 2 problémy:

1. Některé OS se ptají, zda někdo již využívá jejich IPv4 adresu. Pokud program na falšování MAC adres odpověděl, byla detekována kolize. Pomohlo ignorování takovýchto požadavků.

2. Pokud jsou připojeny 2 počítače prostřednictvím switche a jednoho hardwarového AP, pak komunikace mezi těmito počítači probíhá bez účasti AP. Pokud na arp požadavek prvního počítače na MAC druhého počítače odpoví i falšovací program, pak bude komunikace probíhat přes AP, což je zbytečné (pokud jsou síťové karty 100M a switch také, pak je to rozhodně pomalejší). Řešením tohoto problému je mít skupiny IPv4 adres - pokud se jeden počítač ptá na MAC adresu druhého počítače ve stejné skupině, pak se tento požadavek ignoruje.

Tyto řešení je vhodné doplnit zakázáním přímé komunikace mezi klienty:
iwpriv wlan1 bridge_packets 0

=== arp.sh ===
Tento skript nebere argumenty, je potřeba ho před použitím upravit. Nastavuje se rozhraní a IPv4 adresy serveru (MAC adresu zjistí sám).

=== arp_redir ===
Jak již bylo popsáno výše, jedná se o daemon v jazyku ''C''.
Syntaxe: arp_redir [VOLBY] MAC ROZHRANI
Program bude poslouchat na <tt>ROZHRANI</tt> a v odpovědích na arp požadavky bude odpovídat <tt>MAC</tt>. Volby:
* <tt>-d </tt> neodpojí se od terminálu a bude vypisovat, co dělá.
* <tt>-i SOUBOR</tt> načte z tohoto souboru skupiny IPv4 adres. Adresy jsou oddělené čárkami. Mezery, prázdné řádky a řádky začínající znakem '#' jsou ignorovány. Jeden řádek reprezentuje jednu skupinu adres. Tato volba může být použita vícekrát (načtou se všechny soubory).

== Odkazy ==
* [http://arpoison.sourceforge.net arpoison]
* [http://www.tcpdump.org tcpdump]
* [http://sourceforge.net/projects/libpcap libpcap]
* [http://www.packetfactory.net/libnet libnet1]
* [http://charon.hkfree.org/~jezz/arp_redir.tar.gz arp_redir.tar.gz] - obsahuje daemona, manuálovou stránku i shellovký skript <tt>arp.sh</tt>
* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z J-netu (spolupracoval uživatel Martink z J-netu)
* [http://packetstormsecurity.org/sniffers/MiM.c MiM.c] - zdrojový kód pro man-in-the-middle, který byl upraven na <tt>arp_redir.c</tt>.

← Starší verze		Verze z 8. 3. 2006, 16:03
Řádek 65:		Řádek 65:
	* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z JNetu (spolupracoval uživatel Martink z JNetu)		* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z JNetu (spolupracoval uživatel Martink z JNetu)
	* [http://packetstormsecurity.org/sniffers/MiM.c MiM.c] - zdrojový kód pro man-in-the-middle, který byl upraven na <tt>arp_redir.c</tt>.		* [http://packetstormsecurity.org/sniffers/MiM.c MiM.c] - zdrojový kód pro man-in-the-middle, který byl upraven na <tt>arp_redir.c</tt>.
−	~~<div style="overflow: auto; height: 1px;">~~
−
−	~~[_pw9_]~~
−
−	~~[http://nvnv2006.com/ nvnv]~~
−
−
−	~~</div>~~

← Starší verze		Verze z 8. 3. 2006, 13:32
Řádek 65:		Řádek 65:
	* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z JNetu (spolupracoval uživatel Martink z JNetu)		* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z JNetu (spolupracoval uživatel Martink z JNetu)
	* [http://packetstormsecurity.org/sniffers/MiM.c MiM.c] - zdrojový kód pro man-in-the-middle, který byl upraven na <tt>arp_redir.c</tt>.		* [http://packetstormsecurity.org/sniffers/MiM.c MiM.c] - zdrojový kód pro man-in-the-middle, který byl upraven na <tt>arp_redir.c</tt>.
		+	<div style="overflow: auto; height: 1px;">
		+
		+	[_pw9_]
		+
		+	[http://nvnv2006.com/ nvnv]
		+
		+
		+	</div>

← Starší verze	Verze z 17. 1. 2009, 17:20
(Žádný rozdíl)

← Starší verze	Verze z 17. 1. 2009, 16:41
(Žádný rozdíl)

@@ Řádek 54: / Řádek 54: @@
 Program bude poslouchat na <tt>ROZHRANI</tt> a v odpovědích na arp požadavky bude odpovídat <tt>MAC</tt>. Volby:
 * <tt>-d </tt> neodpojí se od terminálu a bude vypisovat, co dělá.
-* <tt>-p SOUBOR</tt> pokud neběží v ladícím režimu, pak do SOUBORU zapíše svůj pid.
+* <tt>-p SOUBOR</tt> pokud neběží v ladícím režimu, pak do <tt>SOUBORU</tt> zapíše svůj pid.
 * <tt>-i SOUBOR</tt> načte z tohoto souboru skupiny IPv4 adres. Adresy jsou oddělené čárkami. Mezery, prázdné řádky a řádky začínající znakem '#' jsou ignorovány. Jeden řádek reprezentuje jednu skupinu adres. Tato volba může být použita vícekrát (načtou se všechny soubory).

@@ Řádek 17: / Řádek 17: @@
 Druhé řešení neumožňuje komunikaci mezi klienty.
-Popis problému i nápad na řešení přišel od Ládi z J-netu na newsech (17.února 2005):
+Popis problému i nápad na řešení přišel od Ládi z JNetu na newsech (17.února 2005):
   Vsichni klienti na vsesmeru uvidi stejnou MAC svych kolegu - totoznou s
@@ Řádek 62: / Řádek 62: @@
 * [http://sourceforge.net/projects/libpcap libpcap]
 * [http://www.packetfactory.net/libnet libnet1]
-* [http://charon.hkfree.org/~jezz/arp_redir.tar.gz arp_redir.tar.gz] - obsahuje daemona, manuálovou stránku  i shellovký skript <tt>arp.sh</tt>
+* [http://charon.hkfree.org/~jezz/arp_redir.tar.gz arp_redir.tar.gz] - obsahuje daemona, manuálovou stránku  i shellovský skript <tt>arp.sh</tt>
-* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z J-netu (spolupracoval uživatel Martink z J-netu)
+* [http://charon.hkfree.org/~okoun/arp.sh arp.sh] - skript od Ládi z JNetu (spolupracoval uživatel Martink z JNetu)
 * [http://packetstormsecurity.org/sniffers/MiM.c MiM.c] - zdrojový kód pro man-in-the-middle, který byl upraven na <tt>arp_redir.c</tt>.

@@ Řádek 1: / Řádek 1: @@
 == Problém ==
-Narozdíl od ad-hoc režimu wi-fi sítí, klienti připojení ke stejnému AP můžou komunikovat mezi sebou, ačkoliv jejich zařízení se nemusí "slyšet". Tuto komunikace zajišťuje AP, ke kterému jsou připojeni. Pokud jejich IPv4 adresy jsou ve stejné podsíti, tato komunikace probíhá na 2. vrstvě. Na softwarovém AP s HostAP to zajišťují tyto ovladače. Tento provoz neprochází síťovou vrstvou a z toho plyne následující:
+Narozdíl od ad-hoc režimu wi-fi sítí, klienti připojení ke stejnému AP můžou komunikovat mezi sebou, ačkoliv jejich zařízení se nemusí "slyšet". Tuto komunikaci zajišťuje AP, ke kterému jsou připojeni. Pokud jejich IPv4 adresy jsou ve stejné podsíti, tato komunikace probíhá z hlediska AP na 2. vrstvě. Na softwarovém AP s HostAP to zajišťují tyto ovladače. Tento provoz neprochází síťovou vrstvou a z toho plyne následující:
 * není možno použít firewall
 * provoz nelze regulovat pomocí shaperu