Evil Twin EAP-TLS

Reading time: 4 minutes

En algún momento necesitaba usar la solución propuesta en la publicación a continuación, pero los pasos en https://github.com/OpenSecurityResearch/hostapd-wpe ya no funcionaban en Kali moderno (2019v3).
De todos modos, es fácil hacer que funcionen.
Solo necesitas descargar el hostapd-2.6 desde aquí: https://w1.fi/releases/ y antes de compilar nuevamente hostapd-wpe instala: apt-get install libssl1.0-dev

Analyzing and Exploiting EAP-TLS in Wireless Networks

Background: EAP-TLS in Wireless Networks

EAP-TLS es un protocolo de seguridad que proporciona autenticación mutua entre el cliente y el servidor utilizando certificados. La conexión solo se establece si tanto el cliente como el servidor autentican los certificados del otro.

Challenge Encountered

Durante una evaluación, se encontró un error interesante al usar la herramienta hostapd-wpe. La herramienta rechazó la conexión del cliente debido a que el certificado del cliente estaba firmado por una Autoridad de Certificación (CA) desconocida. Esto indicaba que el cliente confiaba en el certificado del servidor falso, lo que apuntaba a configuraciones de seguridad laxas en el lado del cliente.

Objective: Setting Up a Man-in-the-Middle (MiTM) Attack

El objetivo era modificar la herramienta para aceptar cualquier certificado de cliente. Esto permitiría establecer una conexión con la red inalámbrica maliciosa y habilitar un ataque MiTM, capturando potencialmente credenciales en texto plano u otros datos sensibles.

Solution: Modifying hostapd-wpe

El análisis del código fuente de hostapd-wpe reveló que la validación del certificado del cliente estaba controlada por un parámetro (verify_peer) en la función OpenSSL SSL_set_verify. Al cambiar el valor de este parámetro de 1 (validar) a 0 (no validar), se hizo que la herramienta aceptara cualquier certificado de cliente.

Execution of the Attack

1. Environment Check: Usa airodump-ng para monitorear redes inalámbricas e identificar objetivos.
2. Set Up Fake AP: Ejecuta el hostapd-wpe modificado para crear un Punto de Acceso (AP) falso que imite la red objetivo.
3. Captive Portal Customization: Personaliza la página de inicio de sesión del portal cautivo para que parezca legítima y familiar para el usuario objetivo.
4. De-authentication Attack: Opcionalmente, realiza un ataque de desautenticación para desconectar al cliente de la red legítima y conectarlo al AP falso.
5. Capturing Credentials: Una vez que el cliente se conecta al AP falso e interactúa con el portal cautivo, se capturan sus credenciales.

Observations from the Attack

• En máquinas con Windows, el sistema puede conectarse automáticamente al AP falso, presentando el portal cautivo cuando se intenta navegar por la web.
• En un iPhone, se puede solicitar al usuario que acepte un nuevo certificado y luego se le presenta el portal cautivo.

Conclusion

Si bien EAP-TLS se considera seguro, su efectividad depende en gran medida de la configuración correcta y del comportamiento cauteloso de los usuarios finales. Dispositivos mal configurados o usuarios desprevenidos que aceptan certificados no confiables pueden socavar la seguridad de una red protegida por EAP-TLS.

For further details check https://versprite.com/blog/application-security/eap-tls-wireless-infrastructure/

References

• https://versprite.com/blog/application-security/eap-tls-wireless-infrastructure/