עושות חשבון 6: בית מסוכן

liorp · שליחה #1 11/02/2018 1:46

מהם המכשירים שמחוברים לאינטרנט הבייתי? איך הם מסכנים את בטחונינו ובטחון ילדינו?

תחקיר של ערוץ 10.

https://www.10.tv/osotheshbon/154922

מעניין איך הם הצליחו להיכנס לרשת האלחוטית של המשפחה, בהנחה כמובן שהסיסמא שלהם טובה.

eran89 · שליחה #2 11/02/2018 5:51

כל סיסמא אפשר לפרוץ הפקטור היחידי הוא כמה זמן זה יקח.
ברמה הכי ברברית אפילו כלי דיי טיפש כמו ברוט פורס במחשבים של היום תוך לא הרבה זמן יהיה לך את הסיסמא.
אם כבר מעניין מה יכול להיות יהיה הפיתרון בעתיד, קוד מתגלגל או אימות דו שלבי?, תאכלס גם מעבר לip v6 היה יכול לפתור את הבעיה אבל העלויות יהיו אדירות

עריכה:
עוד פיתרון שעלה לי לראש שקצת יותר פרקטי, אולי אישורים ברמת כתובות הmac ?, למרות שגם לזה יש פריצות, אבל נראה לי פחות

liorp · שליחה #3 11/02/2018 6:42

נכון, אבל אם מדובר בסיסמא בת 30 תווים אקראיים, לדוגמא, שמיוצרת במחולל סיסמאות, אני מניח שלא יוכלו לנחש אותה תוך שעתיים, לא?

איך קשור ip v6 לאבטחת הרשת האלחוטית?

כתובת mac אגב לא מסובך לשנות.

Grappa · שליחה #4 11/02/2018 12:32

המלצתי היא לעשות את המירב.
1. רשת מבצעית (בית חכם) נפרדת ולא גלויה כשה SSID מוסתר והפרדה בין הרשתות.
2. מה שאפשר לחבר בכבל מחברים בכבל.
3. סיסמא חזקה וארוכה ככל האפשר.
4. הזנת כל ה MAC לנתב ונעילה של גישה ממוצרים שה MAC שלהם לא הוזן לנתב.
5. שימוש באפליקצית או נתבים שמדווחות במיל או לאפליקציה על חיבורים חדשים לרשת המבצעית (בזק נותנת את השירות הזה אבל הוא לא ממש יעיל).
6. כיבוי או ניתוק אוטומטי של מצלמות בתוך הבית בזמן שמשהו בבית (מורכב אבל ישים)

אכן זו הרבה עבודה וכמובן שגם אחרי כל ההגנות האלה עדיין יהיה אפשר לפרוץ לרשת במאמץ מסויים אבל זה יקשה על הפורץ ובסיכוי סביר ייגרום לו לנטוש ולעבור למקום קל יותר (הכל במידה ואין לכם כספת מלאה ביהלומים בבית

)

ahiel · שליחה #5 11/02/2018 14:40

אל תשכח שהם היו צריכים להיות ליד הבית בשביל לפרוץ ל-wifi שלו...
עוד כלל בסיסי, לא לאפשר לשלוט על הראוטר מחוץ לבית.

eran89 · שליחה #6 11/02/2018 20:38

מה זאת אומרת לא לאפשר לשלוט על הראוטר מחוץ לבית?

בקשר לכתובת פיזית, זה לא כזה קל למיטב הבנתי, רק כרטיסי רשת ספציפים נותנים את האופציה הזאת, האם יש אפשרות בלינוקס לשנות כתובת mac של כל כרטיס רשת ?, אם כן חידשת לי, ונתת לי כמה רעיונות משונים חח.

בקשר לip v6, הכוונה היא אם גירסא 4 מכילה 2 בחזקת 32 כתובות שתאכלס זה כלום 6 מכילה 2 בחזקת 128, מה שאומר שתאכלס תוכל לתת לכל בנאדם כתובת אחת קבועה שתהיה רק שלו בכל העולם

Grappa · שליחה #7 11/02/2018 20:48

eran89 כתב:מה זאת אומרת לא לאפשר לשלוט על הראוטר מחוץ לבית?

...

·
יש בראוטרים מסוימים אופציה להפעיל או להפסיק את השליטה על הגדרות הראוטר מהאינטרנט (WAN).

מציע שכל מי שיכול ישתף כאן רעיונות אבטחה לרשימה שהתחלתי למעלה.
אפשר גם לא רק רעיונות אבטחה אלא גם רעינות לנקודות כשל במערכות שונות או בכלל.

singera · שליחה #8 11/02/2018 22:43

Grappa כתב:המלצתי היא לעשות את המירב.
1. רשת מבצעית (בית חכם) נפרדת ולא גלויה כשה SSID מוסתר והפרדה בין הרשתות.
2. מה שאפשר לחבר בכבל מחברים בכבל.
3. סיסמא חזקה וארוכה ככל האפשר.
4. הזנת כל ה MAC לנתב ונעילה של גישה ממוצרים שה MAC שלהם לא הוזן לנתב.
5. שימוש באפליקצית או נתבים שמדווחות במיל או לאפליקציה על חיבורים חדשים לרשת המבצעית (בזק נותנת את השירות הזה אבל הוא לא ממש יעיל).
6. כיבוי או ניתוק אוטומטי של מצלמות בתוך הבית בזמן שמשהו בבית (מורכב אבל ישים)

אכן זו הרבה עבודה וכמובן שגם אחרי כל ההגנות האלה עדיין יהיה אפשר לפרוץ לרשת במאמץ מסויים אבל זה יקשה על הפורץ ובסיכוי סביר ייגרום לו לנטוש ולעבור למקום קל יותר (הכל במידה ואין לכם כספת מלאה ביהלומים בבית )
...

אני מתכנן על ראוטר PFSENSE כאשר יהיו לו:
1. גלויה לאורחים עם סיסמא
2. רשת חוטית LAN למחשבים.
3. סודית בשביל בית חכם
4. רשת אלחוטית בסגימנט של הLAN.

כל הרשתות יהיו מופרדות ע"י הSUBNET MASK אבל יהיה RULE בFIREWALL שיאפשר להכנס מהLAN לGUEST ולבית החכם.

דבר נוסף לפי דעתי בלי שום קשר לאבטחת מידע לשים AP יחודי רק לבית החכם ליציבות המערכת היות ששם התעבורה נמוכה זה מקנה יציבות.

Chura · שליחה #9 12/02/2018 1:54

הכי חשוב, לכבות WPS.
ברגע שזה מופעל ניתן לפרוץ את הרשת אלחוטית בשניות.

roeylee · שליחה #10 12/02/2018 8:18

בדיוק לאחרונה קניתי Google Wifi. האם ידוע אם יש לו יתרון מבחינת האבטחה? הבנתי שגוגל אפילו לא מאפשרים גישה מדפדפן של מחשב אל הראוטר הזה אלא רק מטלפון או טאבלט, כי בטלפון יש הזדהות מול חשבון גוגל.

אשמח לשמוע דעתכם בעניין.

liorp · שליחה #11 12/02/2018 9:24

roeylee כתב:בדיוק לאחרונה קניתי Google Wifi. האם ידוע אם יש לו יתרון מבחינת האבטחה? הבנתי שגוגל אפילו לא מאפשרים גישה מדפדפן של מחשב אל הראוטר הזה אלא רק מטלפון או טאבלט, כי בטלפון יש הזדהות מול חשבון גוגל.

אשמח לשמוע דעתכם בעניין.
...

אני לא מכיר את הראוטר של גוגל, אבל מבחינת אבטחה נראה שגוגל עושה דווקא עבודה לא רעה במוצרים שלה.

אני הייתי דואג מכיוון אחר - הפרטיות - למרות שכמובן גם לי יש טלפונים וסטרימרים של גוגל, אני אעדיף ראוטרים של חברות אחרות מכיוון שזה מכשיר שדרכו עוברת כל תעבורת הרשת הביתית.

roeylee · שליחה #12 12/02/2018 9:44

@liorp

לגבי פרטיות:
אני מפריד בין 2 "נזקים" מפגיעה בפרטיות. אחד זה שישלחו לי פרסומות וכד',
ואחד זה שישתמשו במידע שלי כדי לגרום לי נזק ממשי, כגון לגנוב לי כספים מחשבונומ בנק, למנוע ממני גישה לאינטרנט וכד'.

אני מודאג רק מהפגיעה השנייה שציינתי.

Grappa · שליחה #13 12/02/2018 10:42

roeylee כתב:בדיוק לאחרונה קניתי Google Wifi. האם ידוע אם יש לו יתרון מבחינת האבטחה? הבנתי שגוגל אפילו לא מאפשרים גישה מדפדפן של מחשב אל הראוטר הזה אלא רק מטלפון או טאבלט, כי בטלפון יש הזדהות מול חשבון גוגל.

אשמח לשמוע דעתכם בעניין.
...

·
לדעתי הייתרון הגדול בגוגל הוא הדיווח על כל חיבור של מוצר חדש (אורח) לרשת ושליטה מרחוק על כל החיבורים.
כמובן שגם על זה ניתן להתגבר ע"י זיוף MAC של מוצר שכבר מאושר בראוטר אבל קודם הפורץ צריך להשיג את רשימת ה MAC המאושרים או לפחות אחד מהם.

החיסרון הגדול הוא המעקב שגוגל מבצעת אחרי הפעילות בראוטר וברשת הביתית כולל איזה מוצרים מחוברים....

ahiel · שליחה #14 12/02/2018 12:16

Grappa כתב:5. שימוש באפליקצית או נתבים שמדווחות במיל או לאפליקציה על חיבורים חדשים לרשת המבצעית (בזק נותנת את השירות הזה אבל הוא לא ממש יעיל).

...

·מישהו מכיר נתבים ברמה (למעט google wifi), או אפליקציות ליוניקס שעושות את זה?

שליחה #15 12/02/2018 12:39

@Chura
·אתה מתכוון ל-WPS PIN, נכון? מי משתמש בדבר הזה?

אגב, ראיתי שהבחור שם יושב בחוץ שעה ופרץ את הרשת. השאלה איך בדיוק הוא עשה את זה? האם כל רשת ניתנת לפריצה באופן כל כך פשוט? אם כן, זו בעיה הרבה יותר רחבה מסתם "בית חכם".

liorp · שליחה #16 12/02/2018 15:26

@oferlaor
זו גם השאלה שלי - איך הם נכנסו לרשת האלחוטית הביתית. בהנחה שהנתב של המשפחה מוגדר על wpa2 psk והסיסמא חזקה, זה לא משהו טריוואלי להצליח להתחבר לרשת למיטב ידיעתי.

שליחה #17 12/02/2018 16:57

הם דילגו על החלק הזה. אני ישר קפצתי שאם הם כבר ברשת שלי אז הבית החכם זה כבר least of my worries....

ישר קפצתי לרשת לבדוק אם כלי הפריצה ל-WPA2 השתפרו מאז שראיתי אותם לאחרונה... התחלתי לנסות ולפרוץ לעצמי את הרשת ואחרי איזה חצי שעה התייאשתי... אולי יש כלים טובים יותר בלינוקס (הייתי מוגבל ל-windows).

liorp · שליחה #18 12/02/2018 17:51

אני אבדוק את זה בהמשך, אבל למיטב זכרוני אין חולשות מוכרות ל-wpa2.
בהנחה שאין, אפשר רק לנסות צירופי סיסמאות שונים, אבל זה כבר בגדר הבלתי אפשרי, כי זה ייקח כל כך הרבה זמן, אני מניח בטווח של שנים.

Chura · שליחה #19 12/02/2018 19:24

WPS PIN אפשר לפרוץ בשניות (צריך רק כרטיס רשת תומך)
WPA2 ניתן לפרוץ בלי בעיה, עם Bruteforce, ולא צריך לשבת ליד הבית.
מקליטים אימות אחד, לוקחים הביתה ומריצים Bruteforce, אפשר להעלות לענן ולפרוץ בדקות (כמובן תלוי באורך הסיסמא)
וגם, יש מספר מפגעים בWPA2, חלקם ישימים בקלות וחלכם בפחות.

באמת שחשוב לבטל WPS למי שיש

שליחה #20 12/02/2018 20:00

מה הכוונה אימות?

מכשיר חדש שעושה לוגאין או פשוט לשבת ולהקליט?

הכוונה היא שהפורצים קיבלו את המיקום מראש, ישבו בחוץ והקליטו תקשורת, פרצו את זה ואז חזרו למחרת לצילומים?