WiFi security breach? Help!

Wireless

Router: Linksys E900
Sw: Tomato Version 1.28 by shibby
Security: WPA2 Personal (PSK) + TKIP / AES
Rengeteg ember rálát a hálózatra, társasház.

Időnként ellenőrzöm a Device list-et, és mindig ismerős eszközöket látok, kivéve ma:

Nov 26 17:38:05 RT-b4750ed151d7 daemon.info dnsmasq-dhcp[24084]: DHCPREQUEST(br0) 192.168.80.53 a8:16:b2:ff:82:10
Nov 26 17:38:05 RT-b4750ed151d7 daemon.info dnsmasq-dhcp[24084]: DHCPNAK(br0) 192.168.80.53 a8:16:b2:ff:82:10 wrong network
Nov 26 17:38:08 RT-b4750ed151d7 daemon.info dnsmasq-dhcp[24084]: DHCPDISCOVER(br0) a8:16:b2:ff:82:10
Nov 26 17:38:08 RT-b4750ed151d7 daemon.info dnsmasq-dhcp[24084]: DHCPOFFER(br0) 192.168.1.106 a8:16:b2:ff:82:10
Nov 26 17:38:08 RT-b4750ed151d7 daemon.info dnsmasq-dhcp[24084]: DHCPREQUEST(br0) 192.168.1.106 a8:16:b2:ff:82:10
Nov 26 17:38:08 RT-b4750ed151d7 daemon.info dnsmasq-dhcp[24084]: DHCPACK(br0) 192.168.1.106 a8:16:b2:ff:82:10 android-3203a90c7692c0f4

Összes adat forgalmazása:
2015-11-26 192.168.1.106 161.00 KB 111.00 KB 272.00 KB

A hostnév és a mac addr alapján androidos telefon, LG. Viszont nagyon érdekes hogy 192.168.80.x -ként DHCPREQUEST -el, és kapott is utána valid címet.
Ez eleve nem érvényes IP cím az én hálózatomban. Már nincs fent, és a tomato naplózza hogy utoljára milyen jelerősséggel bírt (übergyenge, tehát biztosan nem lakáson belülről).

Mivel noob vagyok a témában, csak annyit tudok tenni hogy jelszót váltok.
Aki lát valami okosságot ebből a logból, ne tartsa vissza. Köszi!

  • 5199 megtekintés

( Lacyc3 v | 2015. 11. 26., cs – 23:45 )

Ez így nem sok infó.
- Ha nem muszáj valamilyen eszköz miatt, akkor hanyagold a TKIP-t, csak AES-t használj.
- Kapcsold ki a WPS-t.
- Legyen a wifi jelszavad minimum 16 karakter, pwgen -y -s -B -n -C 16 megteszi.
- Alkalmazz MAC szűrést.
- Kapcsold ki a DHCP-t, állíts be statikus IP címet az eszközöknek. Az IP tartomány lehetőleg minél szűkebb legyen, ne ajánld ki a /24-et 10 eszköznek.
- Vedd vissza a használható minimumra a router-ed teljesítményét.

" - Kapcsold ki a DHCP-t, állíts be statikus IP címet az eszközöknek. Az IP tartomány lehetőleg minél szűkebb legyen, ne ajánld ki a /24-et 10 eszköznek."

Ez mire jó biztonság szempontjából? Arra gondolok, hogy ha valaki DHCP requestekkel akar forgalmat generálni (WEP törésnél ugye ez fontos volt), akkor a jelszót tudnia kell, akkor meg már minek. Vagy mire lehet még jó a DHCP támadói odlalról nézve illetve "mit fog meg" a hálózat megvédése szempontjából?

Ez akkor lehet érdekes, mikor már tudja a jelszót. Ugye szűkre vesszük a hálózatot, ideális esetben a teljes tartományt lefedtük eszközökkel. Ebben az esetben, ha "jókor" próbálkozik a támadó, nem lesz "helye" beülni. Az IP cím ütközés pedig nyilvánvalóan olyan dolog, ami elég hamar feltűnik.
Igen, ez is egy olyan érv, ami mellett sokkal nagyobb fajsúlyú a DHCP által nyújtott kényelem.

Másrészről a http://www.cvedetails.com/cve/CVE-2011-2716/ -hez hasonló sebezhetőségek lehetnek az eszközök DHCP klienseiben.

Köszi!
- megnézem majd
- nem hiszem hogy be van kapcsolva, mert nem a gyári sw fut, a tomato szerintem nem támogatja (megnézem majd)
- jelszó váltva
- mac szűrést sajnos nem tudok beállítani, mert a feleségem nexus4-ese rebootkor randomizál új macaddr-t magának, valszeg gyártási hiba
- a statikus dhcp a fenti miatt szintén nem műkdöik
- ez miért tud segíteni? mert kisebb körben látszódik a jel?

--
arch,debian,openelec,android

( sibike | 2015. 11. 27., p – 10:54 )

Nem lehet, hogy valaki ismerősöd volt nálad, és megadtad a jelszót neki?

( ricsip v | 2015. 11. 27., p – 12:39 )

Nem tudom android hogy működik, de windows újrapróbálja a legutolsó DHCP címet, hátha megkapja ugyanazt és használhatja tovább. Ha közben változott a LAN (pl. irodai LAN - otthoni LAN váltás történt), és különbözik az IP tartomány, akkor nyilván a jelenlegi DHCP szerver el fogja utasítani a másik DHCP-től korábban kapott tökmás IP-t, aztán ad helyette az aktuális helyszínen érvényeset. De ez mind nyilván már csak azután történik, h. a WIFI jelszó stimmelt.

--
WP8.x kritika: http://goo.gl/udShvC

( blackluck v | 2015. 11. 30., h – 00:00 )

Szerintem az asszony tilasban jart :)

Komolyra forditva a szot, ha jol ertem az zavar hogy miert probalt meg valamelyik eszkoz 192.168.80.53-as ip-t kerni?
Ez csak annyi hogy elozoleg olyan halozatra lepett fel (munkahely, baratnonel, nyilt wifi a vonaton stb. gondolj amit realisnak latsz) ahol azt az ip-t kapta es megprobalta visszakerni azt toled is, mivel nalad az nem valid igy kapott egy masikat a te tartomanyodbol, ez normalis mukodes.

Ha komolyabban erdekel akkor mac address alapjan keresd ki melyik eszkoz volt es tudd meg elotte hol csatlakozott wifire ahol abbol a tartomanybol kaphatott ip-t.