Acompanhando todas as coisas do WiFi
Acompanhando todas as coisas do WiFi
Você usa uma conexão Wi-Fi para colocar seu laptop e outros dispositivos na Internet quando não há um ponto de acesso WiFi por perto. Eu estou apostando que muitos de vocês. Você ativa essaconfiguração de ponto de acesso pessoal no seu telefone e, magicamente, você tem um ponto de acesso Wi-Fi para o seu equipamento.
Você ficaria surpreso se eu dissesse que, se você usa uma conexão MiFi ou WiFi, as pessoas estão rastreando sua localização? Eles são e têm sido desde o ano 2000. Mas antes de pularmos para nossas evidências, vamos aprender um pouco sobre redes sem fio, Wardriving, SSIDs, endereços MAC e hotspots.
Primer sem fio
Antes de mergulharmos nos detalhes, vamos primeiro passar por cima de alguma terminologia básica em relação ao WiFi. Mesmo que todo mundo use, há mais para explicar do que ser apenas uma rede sem fio. Primeiro de tudo temos o nome da rede, ou SSID (Service Set identifier), que você se conecta. Mesmo que esse nome não precise ser exclusivo, ele pode, às vezes, revelar informações sobre as pessoas ou a empresa a que pertence.
Em seguida, temos o BSSID (Basic Service Set Identifier) que é o endereço MAC do ponto de acesso. Um endereço MAC (endereço Media Access Control) é um identificador exclusivo usado por um dispositivo de rede para se identificar na rede subjacente. Como o SSID é usado para se identificar para um usuário final, o endereço MAC ou BSSID é usado pelo hardware para coisas como roteamento no resto da rede. E mesmo que alguém que se conecte a um hotspot WiFi geralmente não veja esse endereço, é de extrema importância para sua conexão.
Quando iniciamos um ponto de acesso em nosso telefone para que outros dispositivos usem a mesma conexão à Internet, chamamos isso de "tethering". Quando você liga sua conexão WiFi em seu telefone enquanto está fora, provavelmente verá exemplos como " iPhone de John" ou o " AndroidAP " padrão .
Guerra Xing
Por volta de 2000, um engenheiro chamado Peter Shipley decidiu mapear endpoints WiFi inseguros. Montando uma antena Wi-Fi em seu carro e usando um receptor GPS, ele conseguiu mapear os sinais de rede sem fio em áreas de forma rápida e precisa. Ele cunhou o termo Wardriving para descrever essa prática. Algumas outras variantes menos conhecidas de mapeamento da geolocalização de redes sem fio são " Warcycling " (usando uma bicicleta), " Warwalking " (a pé) ou " Wardroning " (usando um drone).
Wigle.net
Desde o início dos anos 2000, o Wigle.net tem sido um recurso incrível para a comunidade. É o ponto único para dados de redes sem fio reportados pelo usuário. Sabemos que outras pessoas, como o Google ( https://arstechnica.com/tech-policy/2010/05/google-says-wifi-data-collection-was-a-mistake/ ), coletaram dados da rede sem fio para usar em seus serviços privados (como os Serviços de Localização WiFi do Google). Wigle.net nos dá acesso a dados semelhantes de sistemas de computador em todo o mundo.
Os dados do Wigle.net são carregados no site por pessoas que coletam essas informações em seus telefones, tablets e laptops usando ferramentas de detecção de Wi-Fi ou o aplicativo Android da Wigle . Após o upload, usuários como nós podem pesquisar e mapear o conteúdo e usá-lo em nossas investigações
Criar uma conta gratuita
Enquanto você “pode” acessar o Wigle.net por meio de uma conta anônima, os recursos de pesquisa que você provavelmente desejará usar exigem que você seja autenticado. Suas contas são gratuitas e eles notam que você não precisa fornecer um endereço de e-mail REAL, apenas algo único (veja a imagem abaixo).
O BSSID de viagem no tempo
Para o nosso primeiro exemplo de OSINT, vamos para Londres, Grã-Bretanha. O centro de conferências De Vere Grand Connaught Rooms ( 61-65 Great Queen Street Londres, WC2B 5DA GB ) é o local onde o SANS Institute tem muitos dos seus eventos em Londres . Sabe como nós sabemos disso? As redes WiFi nos dizem!
Abaixo está um mapa normal do Google da área.
Olhando para esta mesma região no site Wigle.net, procurando por esse endereço produz a imagem abaixo.
Uau! Essa é uma imagem com aparência OCUPADA. Cada um desses pontos roxos representa uma rede sem fio que o dispositivo de alguém “encontrou” e foi carregada no site da Wigle.net. É comum que regiões densamente povoadas tenham essa aparência, com centenas ou milhares de redes sem fio em uma região muito pequena. Isso, é claro, torna o uso desses dados mais desafiador.
Para ler as informações anexadas a cada ponto roxo, precisamos aumentar o zoom. Na imagem acima, ampliaremos o retângulo marcado com um "1" à esquerda.
No mapa acima, aplicamos um zoom enorme e ainda assim o tamanho da fonte das redes sem fio da Wigle.net é pequeno. Podemos ver alguns nomes de redes sem fio interessantes nesse nível. Vamos examinar esses três pontos na imagem acima com o 1, 2 e 3 perto deles.
- 1 - sansmay2017 - Rede sem fio geral para o evento de treinamento da SANS em maio de 2017 neste local.
- 2 - sanssept2017 - Rede sem fio geral para o evento de treinamento da SANS em setembro de 2017 neste local.
- 3 - FOR508 - Rede sem fio para a classe FOR508 SANS quando foi executada em algum ponto deste local.
De uma perspectiva OSINT, os números 1 e 2 acima podem ser interessantes. Temos duas redes sem fio que afirmam que são para eventos ao longo do tempo. Aqui aprendemos o que é o esquema de nomenclatura da rede sem fio e quando determinados eventos podem ter sido.
No OSINT, coletar dados é importante. A análise desses dados é essencial. Vamos realizar uma pesquisa nas redes “sansmay2017” e ver quando elas foram descobertas pelo usuário do Wigle.net que as carregou. A página https://wigle.net/search?ssid=sansmay2017realiza a pesquisa desejada e a saída dela é mostrada abaixo.
Na imagem acima, algo parece estar errado. Quero dizer, o nome do ponto de acesso afirma claramente “sansmay2017”, certo? Mas as pessoas descobriram esses caminhos antes de maio de 2017 (coluna marcada com 1). Eles viajaram no tempo? Algo suspeito está acontecendo aqui? Não. É uma rede sem fio básica.
O que acontece é que Wigle observa quando o transmissor (endereço BSSID / MAC) de um dispositivo foi visto pela primeira vez e pela última vez. Como a rede sem fio (SSID) para um dispositivo pode mudar, catalogar um dispositivo pelo BSSID, que não deve ser alterado, é melhor, pois ele será exclusivo e duradouro.
OK, então o que está acontecendo na imagem acima? É provável que esses transmissores sem fio (roteadores ou dispositivos de ponto de acesso) tenham sido usados no passado e tenham sido descobertos antes do evento de maio de 2017. Vamos verificar isso clicando no primeiro BSSID 04: 4F: AA: 72: 9C: 58.
SIM! Nós estávamos corretos! A imagem acima mostra que esse transmissor (BSSID) foi descoberto transmitindo outros nomes de redes sem fio antes do evento de maio de 2017.
Acompanhando seu iPhone
Então, vamos pensar no último exemplo por um momento. Houve um dispositivo que transmitiu uma rede sem fio que foi anotada várias vezes no mesmo local. ESTÁ BEM. Muitos de vocês carregam um transmissor de rede sem fio com você em sua bolsa, bolso ou bolsa: seu celular ou MiFi. Esses dispositivos têm BSSIDs exclusivos e, quando você conecta-os sem fio, eles emitem um SSID que pode ser gravado no Wigle.
Vamos escolher os iPhones, pois eles simplificam o exemplo. Ao obter um iPhone, você insere seu primeiro nome (ou um nome que você escolhe) no dispositivo na configuração inicial. Quando você ativa o recurso de tethering de Wi-Fi ou hotspot móvel, o iPhone cria uma rede sem fio com “SEU iPhone do iPhone”. Se, por exemplo, eu colocasse o nome “Micah” no meu novo iPhone quando eu o configurasse, quando eu ligasse o Wi-Fi, eu esperaria um nome de rede sem fio (SSID) do “Micah's iPhone”.
Agora que entendemos como esse dispositivo funciona, vamos ao Wigle.net e realizar uma pesquisa SSID curinga para o "iphone" e ver o que volta.
OH MEU! Fomos bem-sucedidos com essa pesquisa recuperando mais de 363.000 entradas desde 2001. A pesquisa real que enviamos (seta 1 acima) é “% s iphone”, onde o “%” é um curinga que diz ao Wigle para corresponder a qualquer coisa que surja antes disso.
Bem, isso pode ser ruim para a privacidade de alguém. Observe que cada SSID acima (seta 2) tem uma localização geográfica onde foi encontrado. E se passarmos para uma dessas entradas e descobrirmos TODOS os lugares onde a rede sem fio foi geolocalizada. E se fosse encontrado em:
- a casa do dono do aparelho?
- o trabalho do dono do aparelho?
- o site do cliente do proprietário do dispositivo?
- bares, cafeterias, aeroportos, hotéis e outros locais onde o proprietário pode usá-lo?
[Para a próxima seção, estamos usando dados reais do site da Wigle.net e, embora seja público, estamos apagando detalhes específicos para proteger um pouco a privacidade do proprietário do dispositivo. No site Wigle.net, você pode ver todos esses dados.]
Escolheremos um iphone "%" aleatório e veremos se vários locais estão registrados no sistema Wigle.net. Para a privacidade do proprietário, não lhe diremos qual SSID escolhemos, mas a imagem abaixo mostra que, sim, sim, você pode encontrar dispositivos em locais diferentes.
Como temos as latitudes e longitudes, podemos usar um site de mapeamento online para traçar os pontos. Escolhemos o site https://www.mapcustomizer.com/, mas há muitos para escolher (ou você pode usar o Google Earth ou outro software local). A imagem dos pontos plotados é mostrada abaixo e mostra claramente os agrupamentos (marcados 1 e 2) que podem ser casa e escritório ou café e hotel.
[Enquanto, em uma investigação real do OSINT, nós detalharíamos esses agrupamentos para descobrir quais edifícios, residências e empresas estão lá, para o bem da privacidade do proprietário do iPhone, pararemos aqui.]
Uma ressalva. Qualquer pessoa pode fazer com que seu MiFi ou telefone ou até mesmo a rede sem fio doméstica tenham o formato de nome “% s iphone”. Só porque o nome da rede sem fio usa este formato, não podemos assumir que o dispositivo é, de fato, e o dispositivo da Apple. Podemos descobrir isso usando os dados do BSSID.
Pesquisas BSSID para empresa
O IEEE ( http://ieee.org ) mantém a lista oficial de qual endereço MAC (BSSID) está registrado para qual empresa. Veja, os primeiros 6 dígitos no BSSID são a empresa que fez o transmissor ou o dispositivo (depende). Podemos procurar essas informações em http://standards-oui.ieee.org/oui/oui.txt .
Então, se eu vejo um dispositivo que tem um BSSID de "A0: 04: 60: 1A: 33: 8C", eu posso procurar o "A0: 04: 60" na lista IEEE (traduzir o formato para usar "-" em vez de “:”) e descubra que o proprietário / fabricante do dispositivo é “Netgear” (veja abaixo).
Voltando a verificar nossos dados do Wigle.net. Vamos ver a lista de dispositivos e os primeiros 6 dígitos de seus BSSIDs e procurar um deles. O Wigle.net identifica o seguinte dispositivo como o nome de rede do “iphone do paolo”. Mas é um dispositivo da Apple?
08: EC: A9: 5B: C8: 34 O iPhone de Paolo
Espere um segundo! Isso não é um dispositivo da Apple. Esse transmissor sem fio está registrado para a empresa Samsung Electronics. Existem vários motivos pelos quais podemos ver esse tipo de incompatibilidade no BSSID e o nome da rede, incluindo o dispositivo, que é um dispositivo Samsung e está usando o nome sem fio “paolo's iphone” para enganar as pessoas e pensar que se trata de um dispositivo iPhone.
Conclusões
Dados de rede sem fio e informações de geolocalização precisam ser interpretados como úteis. Mais uma vez, a análise dos dados torna-se importante no trabalho do OSINT. Vimos que as informações da rede sem fio foram armazenadas e estão acessíveis on-line desde 2001. Mesmo com as incertezas, esses dados sem fio podem ser valiosos no seu trabalho OSINT.
De uma perspectiva de privacidade, também temos alguns resultados do nosso trabalho aqui:
- Não use o dispositivo para amarrar dispositivos sem fio . Em vez disso, use o tethering de USB.
- Entenda que os dispositivos que transmitem sinais sem fio estão sendo gravados e catalogados e podem fornecer locais e datas. Se você possui um dispositivo MiFi e viaja com ele, pode estar fornecendo a outros locais onde seu dispositivo (e você) estavam em determinadas datas e horários.
- Entenda que o nome do SSID escolhido pode facilitar ou dificultar a localização do (s) seu (s) dispositivo (s) no Wigle.net.
- Remova suas redes do banco de dados Wigle.net (veja abaixo para detalhes).
O pessoal da Wigle fornece um recurso incrível para o mapeamento WiFi. Eles também respeitam a privacidade de quem solicita que suas informações sejam removidas do banco de dados, como visto na parte inferior do site:
“O WiGLE respeita sua privacidade. Para remover registros de seu ponto de acesso de nosso banco de dados, ou se você tiver dúvidas ou sugestões, envie um email para: WiGLE-admin [em] WiGLE.net (inclua BSSID (MAC) em solicitações de remoção). ”https://wigle.net
Uma outra coisa que você pode fazer para melhorar a privacidade de suas redes WiFi é anexar a tag "_nomap" ou "_optout" ao seu SSID.
“O WiGLE oculta automaticamente as redes (atualmente 16.644) com essas tags _nomap e / ou _optout no ssid.”https://wigle.net/phpbb/viewtopic.php?t=2330
Blog escrito por: Micah Hoffman, Sector035, baywolf88.
Comentários
Postar um comentário