Wireless on Cisco Redes

BLOG – Cisco Meraki – Radius em Cloud

Thu, 31 Mar 2022 00:00:00 +0000

Olá Pessoal,

Já faz um tempo que não escrevo aqui para vocês, entretanto acabei ficando sumido devido a outras características e obviamente não podemos negar que nosso tempo fica cada vez mais escasso.

Enfim, não é lugar para “muro de lamentações” o importante que sempre estamos por aqui e tentando apresentar novos conteúdos para vocês e alguns produtos que vocês podem utilizar/pesquisar para ajudar no entendimento maior do seu dia-a-dia.

Radius no Meraki

Como todos sabem hoje cada vez mais, estamos procurando formas de amenizar os impactos relacionados a segurança, e claro não podemos esquecer de utilizar o protocolo 802.1x para garantir o acesso seguro de seus usuários ao ambiente de WI-FI.

Desta forma, fiz alguns testes para habilitar o Radius no Meraki fazendo com ele pudesse especificamente em um SSID, fazer autenticação através de Radius + 802.1x.

Entretanto, estava procurando algo em cloud free que eu pudesse testar e não precisasse trabalhar localmente com algum free radius. Hoje sabemos que temos o free-radius, que acredito que ainda vou escrever sobre ele em nosso BLOG, entretanto fui em algo talvez mais rápido para testar os recursos.

Configuração no Meraki

Para esses recursos temos parâmetros rápidos e práticos que podem ser visualizados conforme abaixo:

Baseado na figura acima, precisamos garantir que estamos configurando no modo “Enterprise”, porém com a definição de seu Radius Server.

Após configurar no drop-down, podemos observar as configurações adicionais que necessitam ser executadas, para que eu possa autenticar em um servidor Radius. Vale ressaltar, que devido ao ambiente Meraki ser em Cloud, as definições podem também serem executadas em seu ambiente on-prem, porém o acesso ao servidor precisa ser liberado para que a Cloud Meraki possa alcançar esse servidor.

As configurações de EAP+EAPOL foram mantidas em modo “default”, pois são ambientes de testes, entretanto caso necessite executar no ambiente de produção você pode adequar as suas necessidade do ambiente de produção.

Os endereços adquiridos da JumpCloud pode ser visualizados através dessa documentação.

OBS.: Existe uma limitação via JumpCloud que a porta Radius 1813(accounting) não é suportado.

Configuração no JumpCloud

Para quem deseja conhecer um pouco do portfolio da JumpCloud recomendo acessar o site deles e visualizar as possibilidades de atendimento.

Eu acabei encontrando por acaso, pesquisando sobre opções de integração com o Meraki, na qual achei bastante documentação para fazer não somente o uso de Radius mas de outras facilidades, ainda como sendo um plano free. Futuramente, vou trazer alguns conceitos de SSO(Single Sign On) entre as plataformas.

Para configurar o Radius, basicamente precisamos obter o IP Público, executar o “match” da senha que será adicionada em ambas plataformas.

Conforme pode ser visualizado acima, temos a opção de utilização de MFA, porém na característica de autenticação do WIFI pelos documentos não é recomendado e poderia ser um caso em utilizar essa autenticação para uma característica de VPN.

Após esses passos devemos cadastrar os usuários na plataforma(10 são free), ou seja, será através desse “user” que você deverá utilizar quando solicitado o “join” para o SSID escolhido.

OBS.: Pode observar que para esse usuário eu criei um MFA para eu logar no portal Jumpcloud, caso em futuros testes(VPN, SSO) eu possa utilizar ele para adicionar mais uma camada de segurança.

Talvez vocês já devem estar pensando em uma situação onde tenho IP dinâmico que fica atrelado ao acesso para o ambiente que esta nosso AP, ou seja, vou ficar trocando o IP? Sim. Porém, existe uma forma de fazer atualização deles via API :). Caso, tenham interesse avise nos comentário, pois posteriormente executo um post explicado como fiz esse processo.

Autenticação no WI-FI

Para executar autenticação podemos observar que nesse momento é solicitado “user+pwd”, ou seja, não estamos mais no modo PSK. 🙂

Após autorização será notificado sobre o certificado, pois devido a estarmos utilizando EAP-TTLS/PAP ou EAP-PEAP e deveremos usar essa autenticação para garantir maior segurança nos dados transmitidos entre as pontas (Meraki+JumpCloud).

Conforme abaixo será apresentado o certificado para que você confirme a autenticação, bem como garantir a validade do certificado.

Vale lembrar que você também poderia fazer o download desse certificado e fazer a instalação do mesmo em seu ambiente para garantir que não tenha essa validação ao seu usuário. Você pode obter mais informações sobre o certificado.

Logs

Após todo o processo de configuração e autenticação sempre é interessante avaliarmos os logs capturados nas plataformas, para verificar se de fato como poderemos fazer um futuro “troubleshooting” e consequentemente observar se funcionou da forma que deveria. 🙂

Logo abaixo, podemos observar log sendo exposto pela ferramenta JumpCloud que pode ser visualizada através do menu Insight->Directory. Desta forma, vimos que autenticação foi executada utilizando serviço de Radius com os parâmetros EAP-PEAP via usuário especifico.

Após isso podemos observar ao mesmo tempo essa notificação no portal Meraki, onde conseguimos observar EAP e a característica de sucesso do usuário sendo autenticado via 802.1x. Temos ainda uma possibilidade de fazer um “check” ao servidor radius através do portal Meraki, para assim garantirmos e identificarmos como está o tempo de resposta até o seu servidor na Cloud(JumpCloud)

Posteriormente podemos ainda consolidar através do menu “Clients” e avaliar como está sendo feita associação desse usuário e ao mesmo tempo garantir qual “user” foi autenticado, bem como garantir associação via 802.1x.

Conclusão

Observando a facilidade de efetuar as configurações em ambas as plataformas, na minha visão faz todo sentido termos algo de Radius como serviço em Cloud, ainda mais quando temos ambas as soluções sendo gerenciadas em cloud. Obviamente, ainda existe muita coisa que acaba acontecendo nos “bastidores” e que com certeza iremos analisar posteriormente, principalmente nas características de segurança observando na perspectiva de como esse usuário e hash estão sendo encaminhado entre as pontas.

Entretanto, vale ressaltar que baseado no protocolo 802.1x já podemos ter a garantia de algumas metodologias de segurança para garantir essa autenticidade, bem como evitar alguns “eavesdropping” localmente.

O que vocês acharam desses parâmetros? Desejam observar mais algum detalhe sobre o que foi apresentado? Deixe seus comentários.

Abs,
Rodrigo

BLOG – Certificação WIFI Juniper – MistAI

Wed, 17 Nov 2021 00:00:00 +0000

Olá Pessoal,

Recentemente fiz uma prova da Juniper, pois no final deste ano (2021), eu teria minhas duas certificações expiradas, portanto resolvi obter um conteúdo que acabou surgindo por acaso em minha “timeline” e acabei achando interessante estudar para agregar alguns pontos, que estava buscando para um melhor entendimento da tecnologia, ou seja, o famoso ditado “unir útil ou agradável”.

Trajetória para Re-Certificação

Conforme mencionei anteriormente, eu precisava renovar minhas certificações(Cloud e Design), com isso fui verificar quais os caminhos eu poderia seguir dentro da carreira de Juniper, na qual de momento não tenho intenções se crescer na pirâmide vertical, ou seja, queria andar mais lateralmente.

Como observo, esse modelo atual da Juniper é como estavamos anteriormente com a Cisco(em Fevereiro 2020), para qual eles criaram diferentes níveis de Associate para sua derminada torre de tecnologia (WIFI, Cloud, Security, R&S, Automation).

Com isso fiz a confirmação sobre a re-certificação, e através da confirmação para validação de mais 3 anos, eu obrigatoriamente precisaria passar em mais um exame da cadeia de associate, ou seja, tomado a decisão vamos agora perseguir os ítens.

Treinamento

Após essa decisão, acabei verificando através do Twitter, que a Juniper havia liberado os treinamentos de WIFI para certificação, ou seja, acredito que os pontos se uniram e acabei resolvendo de fato estudar um pouco sobre essa certificação.

Desta forma, como já faz parte de um programa da Juniper, esse treinamento está free, bem como o acesso ao treinamento, após sua inscrição, você terá até 6 meses para consumir todas as informações, inclusive após o término do treinamento e atingir a pontuação mínima no exame final de 70%, você ganha 75% desconto em seu voucher. Para os interessados segue o link para o treinamento da Juniper de WIFI.

Lembrando que a prova não terá um desconto 100%, como era feito anteriormente, porém após a conquista desse voucher você irá pagar $50 dólares, o que de uma certa forma é um investimento baixo com o valor atual das provas.

Juniper MistAI – WIFI

Acredito que todos devem saber, mas a Juniper fez aquisição da MistAI, se não me falha a memória em meados do ano de 2019, na qual agregou ao seu portfolio de produtos, principalmente devido a grande adesão que a plataforma estava tendo dentro do mercado de WIFI(trazendo o conceito de administração em Cloud).

Nesse atual momento, existem outros frentes de trabalho que a plataforma esta absorvendo e logicamente, alguns ítens dela esta sendo endereçado como ítens adicionais para sua composição.

Nessa linha temos hoje o dashboard MistAI já associando alguns equipamentos na linha de Switches(EX) e Firewall(SRX) para serem gerenciados através dessa mesma plataforma, e as intenções sobre o Marvis é estar se associando a plataforma de SDWAN denominada pela aquisição feita no inicio desse ano da 128Tecnology.

Caminhos para Estudo e Certificação

Conforme eu já havia mencionado anteriormente, o primeiro ítem para absorver o conteúdo foi executar o treinamento através da plataforma e inscrição já indicado acima.

Sinceramente, o treinamento deu uma abordagem bem interessante sobre os conceitos básicos da tecnologia, trouxe as principais menções sobre o produto, detalhando com evidências as formas básicas de configurações e entendimento da plataforma.

Infelizmente, eu não consegui identificar nenhuma forma de utilizar um ambiente demo para exercitar as características de cada menu, porém acredito que no meu entendimento não ia ajudar nos finalmente(prova de certificação), pois não caiu nenhuma questão nessa linha de identificação.

Após fazer todo o treinamento, resolvi ler as documentações do fabricante, que nos ajuda a entender outros conceitos não explorados ou inscritos de forma diferente, portanto conseguimos absorver tópicos distintos que nos leva a fomentar seu conteúdo. Com isso vou colocar abaixo, em cronologia como foi a metodologia e conteúdos que me ajudaram nessa trafetória.

Treinamento via Plataforma Juniper – MistAi
Leitura da documentação no site do MistAI
BLOGs espalhados para entendimento de conceitos:
1. Tópicos de WFI
2. Modulação
3. Influência de seu cliente no tráfego
4. Conceitos abordados pelo CWNA
5. Design e Troubleshooting – Nestes vídeos alguns conceitos seriam como revisão do treinamento, porém temos itens adicionais não abordados.
6. Revisões do teste executado no Learning Portal

Conclusão

Acredito que eu tenha exposto um pouco da experiência que obtive nos estudos para certificação, espero que isso possa clarificar um pouco a metodologia que você pode seguir para alcançar essa certificação.

Obviamente, talvez em seus estudos você possa encontrar novas fontes ou caminhos para estudar determinados tópicos, e claro sempre vale lembrar de consultar os tópicos que foram colocados no Blue Print

Caso você obtenha novos conteúdos que ajudaram em sua trajetória para essa certificação deixe em nosso comentários, pois podem ajudar aos outros alcançarem mais essa certificação.

O que acharam do resumo? Pode ajudar nessa trajetória? Gostaria de mais detalhes? Deixe seu recado! 🙂

Abs,
Rodrigo

Resumo do BLOG – Referência 2020

Sun, 03 Jan 2021 00:00:00 +0000

Olá Pessoal,

Gostaria de compartilhar um pouco sobre nossa trajetória de 2020, um pouco atrasado, pois já estamos em 2021 ( rs ), porém devido a um outro projeto que logo mais vocês irão descobrir, eu acabei atrasando um pouco com as informações, mas volto aqui para trazer alguns números e avaliar o que conseguimos ajudar a comunidade, bem como também conforme a promessa em nosso post executado em 2019, declarando um pouco sobre os temas que iria tentar abordar.

Todos sabem que esse ano foi complicado para todos, mas conforme demonstração de nossos números abaixo, posso dizer como sendo um blog que trata de assuntos específicos e sendo com um hobby adicional, eu declaro que os números estão ótimos ( rs!! ).

Logo abaixo, podemos ver os posts mais visitados, e diga de passagem é um tópico que foi abordado em 2016.

Nesta linha de raciocíonio, eu consegui postar um total de 32 posts ( contando este que seria de 2020..rs!), ou seja, seria 1,5 post por semana, que de alguma forma eu acho um valor expressivo.

Re-avaliando aquilo que havia pensado em 2019, eu até consegui fazer as tratativas, pois eu consegui trazer mais conteúdos técnicos explicando sobre a tecnologia Meraki ( Insight, Umbrella+MR, SDWAN ), Gerência via IPFabric, Segurança WIFI, adicionei mais alguns códigos em minha conta do GitHub, etc

Conquistas

Neste ano de 2020 eu continuei dentro dos 3 programas de comunidades que venho tocando ( Cisco Champion, vExpert, VMUG Leader ), e posso dizer que foram especiais os parâmetros para o CiscoChampion, onde fiz uma entrevista para DevNet Create para divulgar o evento no Brasil e também contar um pouco também sobre nossa comunidade no Brasil, sendo o primeiro blog brasileiro a difundir a informação sobre nossa comunidade e também de divulgar um resumo sobre o ” Kick Off “ executado com os líderes na abertura do evento.

Para nosso capítulo do VMUG São Paulo, onde nele conseguimos fazer 5 eventos durante o ano, com muitas palestras técnicas e também fizemos um encontro reunindo todos os capítulos do Brasil ( total de 6 ), onde foi chamado de VMUGão, inclusive com a presença ilustre de Sanjay Poonen ( COO ).

Certificações

Sobre esse quesito acredito que fiquei bem feliz, pois consegui desbravar algumas áreas que não são de meu cotidiano e posso dizer que vieram somente agregar mais conhecimentos para o dia a dia, e também ajudar no sentido de compartilhar mais tópicos para todos vocês que nos acompanham.

Dentro dessa trilha eu consegui obter a Certificação da Cisco ( CyberOps Associate ), Azure ( Fundamentals ), Aviatrix ( Engineer Multicloud ), Instrutor Netacad ( CyberOps Associate ), e um curso denominado BootCamp da IGTI ( Arquiteto de Cloud ).

Conclusão

Acredito que baseado neste resumo, posso dizer que foi um ano difícil, devido a diversos fatores que influenciaram durante a trajetória.

Tive os sucessos conforme demostrado acima, e que de uma certa forma foram excelentes, porém tenho que revelar que também tive deslizes, na qual teve a iniciativa de escrever um livro, onde não conseguimos evoluir, atualizar meu treinamento que também acabei não executando. Entretanto, acho que essas reflexões nos ajudam também a focar nas necessidades e avaliar para que não tenhamos punições se avaliar como um todo.

Como recomendação façam uma reflexão e sempre verifiquem os lados positivos, para que você não veja somente o lado negativo e possa se punir de forma injusta.

Abs,
Rodrigo

Segurança – Exploração de Protocolos Autenticação – Dicas – Parte 3

Mon, 26 Oct 2020 00:00:00 +0000

Olá Pessoal,

Como vocês vem acompanhando nossos posts sobre o detalhamento de segurança na perspectivia inicial de um ambiente WI-FI, onde inicialmente trouxe a menção sobre a captura de pacotes usando ” air-crack “, em nosso segundo post foi explicado quais os pacotes são trafegados por esse ambiente, então espero nesse post falar um pouco sobre as metodologias que podem ser agregadas a esses ambientes.

Metodologias

Vale lembrar que as características mencionadas aqui, não necessariamente são aplicadas a somente ao ambiente de WIFI ou vice-versa, pois as soluções são intercambiavéis entre elas depedendo da característica de cada aplicação/solução.

Como estamos fazendo as tratativas em relação a conectividade e captura de pacotes via WIFI, então vou mencionar os tipos de criptografia, ou seja, os protocolos de segurança disponivéis para ser configurado.

WEP ( Wired Equivalent Privacy ): O protocolo foi desenvolvido em 1999, no entanto, existem diversos problemas de segurança conhecidos no WEP, bem como é fácil de ser quebrada a chave, baseando-se no tipo de ” hash ” que é executado. O protocolo foi oficialmente abandonado em 2004 pela WI-FI Alliance.
WPA ( WI-FI Protected Access ): Ele iniciou-se justamente com a idéia de melhorar o protocolo que usava-se na época ( WEP ), ou seja, ele foi lançado 1 ano antes de o WEP ser abandonado.

Na maioria dos casos WPA utiliza-se de uma chave pré-compartilhada ( PSK -> Pre-Share Key ) que por sua vez é adicionado em conjunto com TKIP ( Temporal Key Integrity Protocol ) e AES ( Advanced Encryption Standard ).

Lembrando que esse protocolo também é muito vulnerável, e ameaça maior é feita através do WPS ( WI-FI Protected Setup )

WPA2: Como devem imaginar ele é uma evolução de seu antecessor e a principal menção foi devido a ter adicionado um ítem importante que é a utilização do AES, bem como ela havia sido liberada pelo governo americano. Mas novamente, ainda existe um risco em relação a utilização do WPS que torna-se a sua rede mais vulnerável.

Dentro desse protocolo teremos também as mesmas menções citadas acimas, onde pode ser agregado com TKIP ou AES. Sempre o recomendado é você trabalhar com AES, pois o TKIP já foi excluido do WIFI Alliance, mas infelizmente alguns hardware ainda não suportam a utilização de criptografia AES, o que acarretá a você a trabalhar ainda com o TKIP.

Isso deve-se até porque a metodologia de processamento sendo usada para o AES é maior, e por muitas situaçõe se observar o equipamento, o mesmo pode deixar seu acesso mais lento.

WPA2 Enterprise: Neste modelo como podem imaginar estará mais relacionado algumas metodologias de autenticação diferenciada, que é especificamente se autenticar através de recursos externos ( RADIUS ) associados ao seu protocolo 802.1x. A ideia ainda não é se aprofundar neste paramêtro, porém ele acaba utilizando-se do EAP e normalmente iremos visualizar mais em ambientes corporativos, pois a implementação é mais complicada e nem todos os equipamentos suportam o 802.1x, dado na equação de visualizar em ambientes residencias.
WPA3: De fato é o novo protocolo liberado pela WIFI Alliance em 2018, e atualmente o mais seguro ( a principio – rs ). Como já alertado, hoje ainda muitos equipamentos não estão preparados para esse novo protocolo, bem como os endpoints para aceitar essa metodoliga de criptografia, mas acredito que mais 2 anos todos já vão estar utilizando esse protocolo.

Basicamente a ideia dele é proteger do famoso ataque de dicionário implementando a inovação sobre a troca de chaves. No WPA2 como vimos no post anterior utilizava-se de 4 vias entre o cliente e o AP para autenticar ( 4-way handshake authentication ), onde no WPA3 as senhas são mais difíceis de quebrar, pois o invasor precisa interagir diretamente com seu WI-FI para descobrir a senha, ficando mais doloroso o processo.

No WPA2 depois de capturado o trafego você poderia ficar executando o ataque dicionário por varios dias, semanas e meses, com isso conseguiria ver de forma clara seus dados. Entretanto, o WPA3 suporta o ” forward secrecy “, o que significa que se um atacante capturar quaisquer dados criptografados de sua máquina e depois aprender sua senha mais tarde, eles não serão capazes de decodificar os dados antigos que capturaram. Obviamente, eles só serão capazes de decodificar os dados recém-capturados, pois como mencionando acima precisa ser interagido diretamente.

Obs: Vale lembrar que baseado em todos esses modelos, de fato ainda não estamos totalmente resgardados em alguma dessas metodologias, pois as chaves podem ser capturadas, ou seja, a recomendação é sempre que use senhas fortes utilizando no mínimo 12 caracteres e sempre mesclar números, letras maiúsculas e minúscula, caracteres especiais.

Segue um dado que trafegou pela Internet, comparando a quantidade de caracteres X tempo. Infelizmente, não sei de onde veio esses dados, porém acredito que é interessante para pensar em suas metodologias de senhas.

Proteção

Após visualizar todos os protocolos acima, talvez você me pergunte estou confuso e temos muita ” sopa de letrinhas “, e de fato temos, e podem acreditar temos milhares ainda associadas a esses parâmetros.

Como podemos ter diferentes públicos lendo nosso BLOG, como usuários residencias e também de ambientes corporativos, vou tentar elencar da forma que vejo mais víavel para cada público, pois isso deve-se também sobre as questões de configurações que muita das vezes não é algo prático para o usuario final.

Residencial

Acredito que você pode observar em seu modem/router/WIFI para habilitar o protocolo nessa sequência e lembrando sempre sobre a criação da senha, pois ela é um dos principais fatores desse processo. Segue abaixo:

– WPA2+AES(PSK)
– WPA+AES(PSK)
– WPA2+TKIP(PSK)
– WPA+TKIP(PSK)
– WEP -> nunca 🙂
– Rede Aberta -> acredito que não existe a necessidade

Corporativo

Neste quesito podemos exigir um pouco mais pensando em sua infra-estrutura, bem como, pode solicitar serviços adicionais para autenticação. Segue abaixo:

– WPA2 Enterprise
– WPA2+AES(PSK)
– WPA3 ( analise para crescimento futuro )
– Rede Aberta -> Utilização de soluções NAC ( Network Access Control ), onde podemos explorar posteriormente.

Conclusão

Espero que vocês tenham gostado desses ítens adicionais, e possam ter explicado um pouco mais esses termos.

Caso você deseje mais informações sobre esses formatos, deixe seu comentário que podemos explorar mais esse conteúdo.

Agora vou deixar uma tarefa para vocês nesse post. Sobre qual tema vocês gostariam que fosse a parte 4 dessa série. Deixe sua dica que vou analisar e preparar o conteúdo.

Abs,
Rodrigo

Segurança – Entendimento dos Pacotes na Rede WIFI – Parte 2

Wed, 26 Aug 2020 00:00:00 +0000

Olá Pessoal,

Estamos de volta para detalhar um pouco mais sobre o processo iniciado em nosso post anterior, relacionado sobre o ambiente de WIFI. Entretanto, a idéia agora seria explicar sobre os pacotes que viajam pelo nosso meio, bem como interpretar de forma clara a funcionalidade de cada processo.

Vale lembrar que todos esses dados exemplificados abaixo foram capturados através de um processo de monitoração ( escuta do ambiente ), ou seja, esses dados não são visiveis quando você já esta conectado em seu SSID.

Caso você queira visualizar os pacotes reais de trafego ( http, ftp, etc ), você irá seguir o processo idêntico quando você executa seu sniffer em uma rede cabeada, porém selecionando agora apenas sua interface WIFI. 🙂

Autenticação

A autenticação é o processo de comprovação da identidade de uma estação para outra estação ou AP. Em um sistema sem autenticação do usuário ( sistema aberto ), todas as estações são autenticadas sem qualquer verificação.

Como exemplo temos a estação ” A ” envia um quadro de gerenciamento de autenticação que contém a identidade de ” A “, para a estação ” B “. A estação ” B ” responde com um quadro que indica o reconhecimento ( ACK ), endereçado a A.

Na arquitetura de rede fechada, as estações devem conhecer o SSID do AP a fim de se conectarem ao AP, onde pode ser conhecido como ” Hidden SSID “, ou também podemos ter o exemplo de que o SSID pode ser visível para qualquer dispositvo ” BSSID “. A autenticação da chave compartilhada usa um desafio e uma resposta padrão juntamente com uma chave secreta compartilhada.

Logo abaixo, podemos observar os estágios sobre esse processo, lembrando-se que você estar autenticado não é significado que você esta associado ao seu AP. Outra menção, que nesta figura também iremos observar sobre ” Association “

Para que possamos comprovar, logo abaixo temos a captura do pacote para visualizar o que temos em cada cabeçalho no momento de ” Autenticação “. Eu removi alguns ítens para que não fique confuso, entretanto você também vão observar nessa captura que temos a visualização do QoS para essa conectividade.

Associação

Os dados podem ser trocados entre a estação e o AP somente após uma estação ser associada a um AP ( Modo Tradicional ) ou com outra estação no modo ” ad hoc “. Todos os APs transmitem frames ” Beacon ” algumas vezes por segundo que contêm o SSID, tempo, capacidades, taxas suportadas, bem como as estações podem optar por associar-se a um AP em relação a sua intensidade de sinal de cada AP, etc.

A associação é um processo de duas etapas. Uma estação que atualmente não está autenticada e não associada escuta os frames ” Beacon “. A estação seleciona um BSS para se associar, após isso a estação e o AP se autenticam mutuamente, trocando as estruturas de gerenciamento de autenticação. O cliente agora está autenticado, mas não associado.

Na segunda etapa, a estação envia um quadro de Pedido de Associação, ao qual o AP responde com um quadro de Resposta de Associação que inclui um ID de Associação para a estação. A estação é agora autenticada e associada.

Para exemplificar podemos visualizar abaixo o estado de solicitação, na qual o esta sendo solicitado especificamente para um SSID ” ap34b “, e logo abaixo também já podemos visualizar sobre a capacidades de largura de banda pode suportar.

Como exposto, temos agora a nossa resposta a nossa solicitação.

PS.: Uma estação pode ser autenticada com vários APs ao mesmo tempo ( modo clássico onde ficam salvo todos os SSIDs no seu endpoint ), mas associada com no máximo um AP a qualquer momento. A associação implica em autenticação. Não há nenhum estado onde uma estação é associada mas não autenticada.

De-Authentication

Esse processo pode ser considerado ou co-relacionado como ” Man-in-the-Middle “, pois a proposto é enviar pacotes para o AP alertando que o cliente com o seu específico ” mac source address ” foi desautenticado e por essa característica o cliente vai solicitar novamente o processo de autenticação entre cliente->AP.

O que ocorre, é a execução de um ” flood ” de pacotes para justamente fazer com o cliente fique tentando se autenticar e como mencionado podemos relacionar o ” man-in-the-middle ” e capturar esses pacotes que estão trafegando pelo nosso meio. Logo abaixo podemos ter um exemplo do que é mencionado.

Como sempre precisamos demonstrar sobre essa caracteristicas visualizando nosso pacote sempre observando que estamos tendo nossa origem e destino.

Acredito que vocês devem estar perguntando sobre o filto aplicado no Wireshark. Pois bem, existem as flags que podemos controlar desta forma fica mais facil a visualização. Como facilidade segue o parâmetro e logo abaixo temos uma tabela com os principais valores para o filtro.

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 12)

Segue nossa tabela abaixo:


Frame Type/Subtype	Filter
Management Frames	wlan.fc.type eq 0
Control Frames	wlan.fc.type eq 1
Data Frames	wlan.fc.type eq 2
Association Request	wlan.fc.type_subtype eq 0
Association Response	wlan.fc.type_subtype eq 1
Reassociation Request	wlan.fc.type_subtype eq 2
Reassociation Response	wlan.fc.type_subtype eq 3
Probe Request	wlan.fc.type_subtype eq 4
Probe Response	wlan.fc.type_subtype eq 5
Beacon	wlan.fc.type_subtype eq 8
Announcement Traffic Indication MAP (ATIM)	wlan.fc.type_subtype eq 9
Disassociate	wlan.fc.type_subtype eq 10
Authentication	wlan.fc.type_subtype eq 11
Deauthentication	wlan.fc.type_subtype eq 12
Action Frames	wlan.fc.type_subtype eq 13
Request to Send	wlan.fc.type_subtype eq 27
Clear to Send	wlan.fc.type_subtype eq 28
ACK	wlan.fc.type_subtype eq 29

PS.: Vale ressaltar que esse spoof pode ser detectado pelo seu AP, obviamente se ele suporta essa característica, bem como hoje temos modelo de APs / Fabricantes que dedicam exclusivamente um radio para ficar visualizando isso na rede e por consequencia irá bloquear esses pacotes ou mesmo jogar a origem do spoof para uma blacklist.

Beacon

A definição para um ” Beacon Frame ” é de fato aquele pacote que fica sendo anunciado pelos APs ou até mesmo esses equipamentos de IoT ( Internet of Thing ) periodicamente para a rede, ou seja, para aquele ambiente que temos sinal sendo publicado para a infraestrutura.

Basicamente ele é um pacote de gerenciamento do 802.11, que contm todas as informações dos BSS ( Basic Service Set ), que por consequencia irá levar o nome de nosso famoso SSID, desta forma qualquer device escutando esses beacons irá interpretar que tem esse caminho para associar-se aquela infraestrutura.

Abaixo temos um exemplo de um pacote capturado com a flag de ” Beacon “, onde podemos observar sobre o anúncio do nome do SSID, bem como pegar que o endereço destino é de fato um broadcast. Logo na sequencia o periodo que estes beacon estão sendo transmitidos.

PS.: Uma informação para vocês pensarem e pesquisarem, pois não vou explorar esse tópico, mas não é uma boa pratica criar diversos SSID para segregar diferentes aplicações, acessos, regras, pois sua performance pode degradar em seus equipamentos.

EAPOL ( Extensible Authentication Protocol Over LAN )

Enfim, chegamos no protocolo que é utilizado para que possamos carregar nossa autenticação não somente do WIFI, mas é um protocolo usado por outras tecnologias.

A autenticação 802.1X envolve três partes: um suplicante, um autenticador e um servidor de autenticação. O suplicante é um dispositivo cliente (como um laptop) que deseja associar-se à LAN/WLAN. O termo ” supplicant ” também é usado de forma intercambiável para se referir ao software executado no cliente que fornece credenciais ao autenticador. O autenticador é um dispositivo de rede que fornece um link de dados entre o cliente e a rede e pode permitir ou bloquear o tráfego de rede entre os dois, como um switch Ethernet ou ponto de acesso sem fio; e o servidor de autenticação é normalmente um servidor confiável que pode receber e responder a solicitações de acesso à rede, e pode dizer ao autenticador se a conexão deve ser permitida, e várias configurações que devem se aplicar à conexão ou configuração desse cliente.

Logo abaixo, temos um exemplo sobre esses processo observando os frames que são trafegados.

Trazendo para nosso exemplo, após completar os processo de ” Association Request ” e ” Association Response “, já mencionados acima teremos de fato a troca das chaves que esta associado aos pacotes capturados abaixo:

Podem observar que temos a menção de 4 ” Key Message ” que é a troca existente utilizada no procolo para garantir essa comunicação e obviamente garantir a utilização das chaves definidas neste processo.

Para facilitar no filtro em seu arquivo Wireshark pode-se utilizar a menção:

eapol.keydes.type == 2

Conclusão

Hoje vocês puderam entender um pouco mais sobre os pacotes que trafegam por este meio, com o intuito de avaliar quais os parâmetros principais são utilizados para identificar sua rede e obviamente executar sua autenticação.

Vale lembrar que não foi aprofundado sobre os protocolos de criptografia utilizados para esse processo de autenticação, mas por alguns screenshot espero que vocês possam ter observado esses detalhes.

O que vocês acharam? Muito teórico os ítens abordados? Você acredita que pode trazer um entendimento melhor do funcionamento para agregar segurança em sua rede? Responda em nossos comentários e deixe-me saber o que você esta achando/observando/pensando. 🙂

Em nosso próximo post vou mencionar sobre esse quesito da segurança, já que estamos expostos para que nossos pacotes sejam capturados de qualquer forma em um ambiente que pode estar exposto a qualquer indivíduo.

Abs,
Rodrigo

Segurança – Analise de WIFI – Entendimento via Air-Crack

Mon, 03 Aug 2020 00:00:00 +0000

Olá Pessoal,

Como vocês sabem nosso BLOG acaba tendo uma diversidade de conteúdo e nem sempre seguimos uma linha, adicionando apenas conteúdo específico daquela tecnologia ou dedicado aquele fabricante.

Meu objetivo aqui é sempre compartilhar um pouco daquilo que eu estudo, aprendo, bem como ítens que preciso pesquisar e obviamente aprender, pois como sabem também leciono. Devido a isso, sempre precisamos encontrar maneiras para explicar conteúdo específicos ou até de criar laboratórios para explicar determinado funcionamento dentro de nosso ambiente.

Desta forma, hoje iremos ter um conteúdo totalmente diferente que é explicar um pouco sobre Wireless, utilizando algumas análises de ferramentas que ouviamos falar bastante em nosso meio. As ferramentas mencionadas, podem ser utilizadas para critérios de avaliação de segurança em sua infra, ou pode ser utilizada por pessoas mal-intecionadas para usufruir desse descuidado dos usuários em ambientes compartilhados.

Vale lembrar!!! O que iremos detalhar tem a intenção disseminar ítens para conhecimento no âmbito para entendimento do funcionamento da tecnologia, e correção de falhas para seu ambiente. Todo ato mal intencionado é por conta e risco de cada usuario e não temos nenhuma responsabilidade.

Para conhecimento a ferramenta que iremos utilizar será AirCrack-ng.

Talvez muito de vocês vão perguntar. Porque você não fez isso usando o Kali Linux? Porquê precisamos usar uma ferramenta de PenTest para aprender?

A ideia aqui é explorar os caminhos, pois essas bibliotecas não são exclusivas da distribuição Kali Linux, e sim pode ser instalada qualquer distribuição ( inclusive Windows ). Não necessariamente é uma ferramenta de pentest, mas sim algo que você possa entender o que de fato está ocorrendo em sua conectividade WIFI.

Instalação

Neste exemplo, vou executar a instalação “default” dos pacotes através disponibilização feita pela distribuição instalada na máquina virtual (XUBUNTU-18.04). Desta forma segue abaixo:

Podemos observar a versão instalada:

root@ubuntu:/home/rodrigo# aircrack-ng --help

Aircrack-ng 1.2 rc4 - (C) 2006-2015 Thomas d'Otreppe
http://www.aircrack-ng.org

usage: aircrack-ng [options] <.cap / .ivs file(s)>

Obviamente a melhor forma seria adicionar o repositório, porém algumas pessoas não gostam devido a não ter homologação da distribuição em seus respositórios. Entretanto, para que você possa sempre obter a última atualização do código, pode ser executado conforme abaixo. Caso tenha interesse de ler mais sobre esse desenvolvimento, recomendo olhar a documentação.

$curl -s https://packagecloud.io/install/repositories/aircrack-ng/git/script.deb.sh | sudo bash

root@ubuntu:/home/rodrigo# aircrack-ng --help

Aircrack-ng 1.6 rev cd77600 - (C) 2006-2020 Thomas d'Otreppe
https://www.aircrack-ng.org

usage: aircrack-ng [options] <input file(s)>

Funcionalidades

Após consolidação da instalação podemos observar algumas formas de avaliar os comandos disponivéis através dessa biblioteca, e para nosso exemplo iremos utilizar:

airmon-ng: Processo para consolidação sobre se nossa porta ( conectividade ) WIFI irá monitorar o tráfego, ou seja, trazer a concepção de que estou trabalhando em ” Monitor Mode ” ou ” Managed Mode “.
airodump-ng: Processo para capturar os pacotes que estão sendo escutados pela sua conectividade WIFI, em modo de ” Monitor Mode “.
aireplay-ng: Processo para gerar tráfego na rede, tendo o propósito de capturar pacotes de “deauthentication” para usufruir deles com intenção da visualização dos pacotes.
aircrack-ng: Processo para executar “brute-force” nos dados capturados e avaliar a segurança da conectividade.

Inicialização dos comandos

Para que você consiga monitorar através de sua conexão WIFI, já mencionado acima terá que iniciar sua placa ou USB em modo ” Monitor “, para validar é interessante executar as validações:

$ sudo airmon-ng check

Caso seja necessário você pode matar o processo para iniciar em modo monitor

$ sudo airmon-ng check kill

Consolidar iniciando

$ ip a ( para capturar o nome definido da placa )

$ sudo airmon-ng start wlan0

A nomenclatura wlan0 pode modificar validando o que de fato o seu SO ( Sistema Operacional ) identificou para essa conectividade WIFI. Baseado em seu output, você precisa nesse momento fazer a referência conforme evidenciado, na qual em meu caso ele definiu para **wlan0mon**

PS.: Pode ser que seu USB não suporte a menção para atuar como “monitor”, portanto terá que avaliar um novo dispositivo ou pesquisar sobre o device.

Capturar os BSSID co-relacionado com os APs próximos, e mapear o nome do SSID.

$ sudo airodump-ng wlan0mon

Para que possamos acelerar o processo de captura podemos forçar a DE-AUTH dos endpoints, mas faça com cautela pois isso pode impactar a rede e também existe a forma de captura de seu MAC-Address.

$ sudo aireplay-ng --deauth 1000 -a [ MAC AP Destino ] -c [ MAC Endpoint Destino ] wlan0mon --ignore-negative-one

Proximo passo é começar a capturar dados para obter o handshake entre o AP e o host ( usuario ). Observe para validar em qual canal esta operando essa comunicação.

$ sudo airodump-ng -c [ canal ] --bssid [ MAC AP Destino ] -w [ nome do arquivo salva a captura.pcap ] wlan0mon --ignore-negative-one

PS.: Depois de rodar por algum tempo devemos observar se iremos obter algo no sentido de **WPA handshake: BSSID**, ou seja, caso isso ocorra você já conseguiu obter a captura do pacote que esta contido o handshake de autenticação.

Outro lembrete que caso queira visualizar outras formas/combinações, é possivel também utilizar sempre o comando de ” help ” de cada comando para lembrar o que de fato você tem necessidade para visualizar.

E agora?

Obviamente sempre irá ter a pergunta. E agora o que faço com isso?

Na verdade temos um caminhão de informação capturada que irei explicar em outros post, pois vamos analisar através do Wireshark, mas de fato temos agora os dados e precisamos unicamente tentar fazer um ” brute-force “. Mas para isso existe milhões de opções para esse caso, e os mais tradicionais são as ” Word Lists “.

A mais conhecida seria chamada de ” John the Ripper “, onde tem listas com milhões de combinações.

Você pode fazer um teste criando uma lista rapida apenas para validar e entender o funcionamento, porém novamente, não temos a intenção aqui de trazer risco para vocês, então fique claro que isso fica a critério de cada usuario.

Para efetuar brute force, segue o exemplo:

$ aircrack-ng -w Downloads/teste.txt -b [ MAC AP Destino ] pacote_capturado.pcap

Esse processo pode demorar horas ou segundos, variando em relação ao tamanho de sua ” Word List “, ou a complexidade da senha criada. Lembrete, pode ser que depois de rodar horas você ainda não consiga obter a senha, pois não existe a senha no seu arquivo de teste. 🙂

Conclusão

Neste caso apenas quis compartilhar os ítens que foi pesquisado e também para alavancar novos conteúdos em relação essa tecnologia.

Como mencionado vou trazer nos post posteriores uma explicação sobre esses pacotes capturados, como eles são trafegados em nosso ambiente e também algumas dicas de como se prevenir para melhorar sua segurança.

Espero que tenha gostado e postem seus comentários abaixo se gostaram, se é valido explorarmos esse mundo.

Abs,
Rodrigo

Cisco – 4 Free ebooks- Você sabia?

Wed, 17 Oct 2018 00:00:00 +0000

Olá Comunidade,

Como todos vem observando a Cisco já mudou bastante algumas culturas, na qual você já pode pensar/refletir sobre elas. Baseado nisso venho aqui para trazer mais uma facilidade que a Cisco vem trabalhando para conseguir atender uma demanda maior de pessoas, bem como divulgar cada vez mais seus produtos e caminhando para área de Automação, Intuitiva, Programável.

Todo esse progresso está muito relacionado com a cultura agora da empresa de ” Developer ” e com isso atingindo cada vez mais as comunidades e pessoas que buscam essas informações e de alguma forma divulgam elas.

Hoje venho para compartilhar 4 Livros disponibilizados gratuitamente. Ainda não consegui ler todos, pois temos muito conteúdo, porém já estou na metade do livro de IOS XE. Segue abaixo os livros:

Todo esse projeto foi possivel através de uma parceria que iniciou-se em 2014 e que está produzindo os livros com muito menos burocracia e agilidade de editoração e tempo de impressão. A parceira é a BookSprints.

Espero que apreciem a leitura e seja de alguma forma um incentivador para iniciar sua trajetoria nesse segmento.

Abs,
Rodrigo

Cisco Meraki – Clientes Bluetooth

Thu, 21 Jun 2018 00:00:00 +0000

Olá Pessoal,

Voltando para nossos tópicos de Meraki, hoje gostaria de trazer algumas facilidades que podemos obter para identificar via ” Access Point ” nossos clientes bluetooth.

Obviamente, para que isso ocorra seu equipamento precisa suportar essa demanda, porém se olharmos os modelos de AP da Meraki, podemos observar que praticamente quase todos os modelos já tem essa funcionalidade, com excessão apenas do MR20 e o MR70.

Hoje as funcionalidades de Bluethooth podem ser utilizadas para outras características dentro de algumas soluções, com o intuito de observar o comportamento de algum usuário, rastreabilidade desses elementos dentro de algum espaço para capturar comportamentos e até fazer notificação via ” push ” e ” pull ” por alguma aplicação desenvolvida e que possa avisar seus usuários no momento que eles entram em algum estabelecimento. Essas demandas devem ser tratadas através dos “ beacons ” e gerenciadas através das ” UUIDs ” o qual será gerada pelo proprio portal da Meraki. Para ativar a funcionalidade devemos seguir para Wireless -> Bluetooth Settings, conforme abaixo, porém não vou detalhar muito sobre UUIDs devido a não conseguir emular nesse momento para vocês.

A partir desse momento seus APs irão iniciar o escaneamento procurando esses elementos dentro de seu alcance, para que ele possa popular e informar os ativos que estão com o bluetooth ativado. Para que possamos verificar esses clientes devemos selecionar no equipamento em Wireless -> Bluethooth. Após isso, podemos observar abaixo os elementos.

Após selecionar elemento você pode criar algumas politicas relacionado aos alertas, no momento que ele entra no seu alcance e quando ele sai de seu alcance. Essas notificações são executadas através de um e-mail para o administrador da conta.

Após selecionar ” Edit Alerts ” você pode selecionar as notificações.

Para ter um detalhamento maior sobre os “ scanning ” das APIs para o Bluetooth recomendo visualizar essa documentação Meraki para entender um pouco melhor, se por acaso você deseja analisar isso dentro de seu ambiente.

Em nosso proximo post vou detalhar um pouco sobre o escanamento via APIs para identificar os usuarios de WIFI e montar nosso mapa de “ heatmap “.

Abs,
Rodrigo

Cisco Meraki – RF Spectrum

Mon, 09 Apr 2018 00:00:00 +0000

Olá Pessoal,

Dando sequência ao nossos posts e trazendo como sendo mais uma facilidade dentro de nossa estrutura sobre o assunto Wireless, hoje venho para detalhar um pouco sobre esse recurso disponível no Portal Meraki, chamado de RF Spectrum ( Espectro de Frequência ).

Os access points Meraki tem uma funcionalidade denonimada como WIPS ( Wireless Intrusion Prevention System ), que irei tratar sobre esse assunto em um outro post detalhando sobre o Air Marshal.

Acredito que vocês observaram em nosso primeiro post que estou mostrando baseando-se em nosso modelo MR33, para qual ele contém 3 radios distintos, na qual o 3 radio está relacionado ao item mencionado anteriormente ( Air Mashal ). Pra que possamos acessar esses recurso de espectro devemos ir em Wireless -> RF Spectrum.

Nessa tela já podemos observar os canais que estão sendo utilizado pelos seus access points, bem como a utilização para as frequências de 2,4GHz e de 5GHz.

Neste modelo os endpoints que tenho conectado dentro do meu segmento não tem a funcionalidade de trabalhar com 802.11n e 802.11ac, devido a isso podemos observar somente a utilização em nosso canal de 2.4GHz.

Após consolidar essas informações podemos agora verificar nosso espectro de frequencia e analisar onde temos maior ” poluição ” em nosso sinal, ou seja, endpoints que estão gerando interferências nessas frequencias ( outros APs, telefone sem fio, microondas, etc ).

No primeiro momento vamos observar o sinal na frequencia de 2.4GHz.

Após essa validação já conseguimos concluir que a maior ” poluição ” ( interferência ) está entre os canais de 3 a 6, devido a isso nosso AP ( access point ) escolheu trabalhar no canal 1, obviamente isso ocorreu porque deixamos habilitado para que ele escolha isso dinamicamente e altere esse canal, pois as interferências podem alterar e um determinado momento será mais interessante ficar no canal 6 ou 11. Tradicionalmente, quando estamos trabalhando na frequência de 2.4GHz os canais mais indicados para configurar em nossos equipamentos é 1, 6 ou 11, isso se deve a faixa de frequência, como visto abaixo.

Devido ao nosso AP ter a funcionalidade de 5GHz podemos ter uma outra percepção de como neste sinal temos resultados totalmente opostos em relação interferência, pois temos menos equipamentos que estão concorrendo dentro desse espectro de frequência. Logo abaixo temos as informações relacionadas:

Desta forma temos a informação da utilização no canal 157 e quase nenhuma influência de outros equipamentos nesse espectro de frequência, vale ressaltar sobre a segmentação das faixas de frequência para esse exemplo, bem como mencionar que aqui estou demonstrando o 5GHz em um plano pegando como o Estados Unidos, devido ao meu gráfico estar demonstrado esses canais, que são atendidos pelo termos de UNII-1 (5.150 to 5.250 GHz) e UNII-3 (5.725-5.825). Segue o gráfico:

Após isso, ainda temos a visibilidade por faixa ( 2.4GHz e 5GHz ) como está utilização por canais e quais são os APs que estão interferindo nesse espectro. Vou apresentar aqui somente a utilização da faixa de 2.4GHz.

Você deve-se lembrar que havia comentado que o AP faz por padrão a seleção de seu canal automático, entretanto existe opção de você colocar manualmente esse canal, o que acaba não sendo muito interessante desde que você tenha um controle mais rigido dentro de sua estrutura para trabalhar manualmente selecionando esses canais, ou de você já ter feito todo seu trabalho de site survey e já definido as células que vão trabalhar em cada canal, não tendo a interferência em seus demais APs. Para isso é possivel fazer alteração em Wireless – Radio Settings e selecionando ( item 1 ) qual a faixa que deseja alterar e através do canal ( item 2 ) selecionar qual o canal desejado para esse AP. Segue o exemplo abaixo:

Enfim, aqui encerro o tópico sobre espectro disponível para analise automaticamente pelo Dashboard da ferramenta. Espero que você tenha gostado e deixe seu comentário abaixo o que esta achando dessa serie. 😉

Em nosso próximo post vou mencionar sobre Air Marshal com a tratativa baseado em rogue APs e spoofs.

Abs,
Rodrigo