Prima di procedere
Un gruppo di esperti di sicurezza informatica ha recentemente rivelato un nuovo metodo di attacco alle reti Wi-Fi, denominato AirSnitch. Questa tecnica, insidiosa e sofisticata, opera a un livello molto basso dell'infrastruttura wireless, precisamente nei primi due strati del modello OSI. A differenza degli attacchi tradizionali, AirSnitch non si concentra sulla decifrazione dei dati crittografati, ma li aggira completamente, intercettando il traffico e manipolandolo in modo subdolo.
Il cuore dell'attacco AirSnitch risiede nello sfruttamento di una vulnerabilità che consente di superare l'isolamento tra i dispositivi client all'interno della stessa rete Wi-Fi. Agendo a livello fisico (canali a 2,4 e 5 GHz) e a livello di collegamento dati (trasmissione di pacchetti, indirizzi MAC e schemi di isolamento), AirSnitch intercetta il flusso di informazioni prima che raggiunga i livelli superiori del modello OSI, dove operano protocolli come HTTP/HTTPS, FTP e le applicazioni utente.
La chiave di volta di AirSnitch è la sua capacità di sfruttare la mancata sincronizzazione tra i livelli inferiori e superiori della rete. In altre parole, l'apparecchiatura di rete non riesce a collegare in modo univoco un client ai suoi livelli superiori, aprendo la strada a un attacco Man-in-the-Middle (MitM) bidirezionale. Un malintenzionato, anche se si trova in un segmento di rete diverso rispetto alla vittima (identificato da un SSID differente), può sfruttare questa falla di sicurezza. A livello inferiore, l'apparecchiatura gestisce i dispositivi dell'aggressore e della vittima come entità separate, con indirizzi MAC distinti. Tuttavia, a livello superiore, l'attaccante può falsificare l'indirizzo MAC e intercettare i flussi di dati destinati alla vittima. Questo può essere realizzato utilizzando una banda di frequenza diversa da quella utilizzata dalla vittima, ad esempio 2,4 GHz invece di 5 GHz, o viceversa.
Una volta che l'attacco è in corso, il criminale informatico può monitorare e alterare tutto il traffico non protetto, rubare cookie di autenticazione, password, dati di carte di credito e altre informazioni sensibili. Nelle reti aziendali locali, dove spesso il traffico non è crittografato, l'intercettazione diventa ancora più semplice. Anche se la vittima utilizza HTTPS, l'attaccante può comunque intercettare il traffico durante la ricerca di domini, avvelenare la cache DNS e visualizzare gli indirizzi IP dei siti web visitati, spesso associandoli agli URL specifici.
Un aspetto particolarmente insidioso di AirSnitch è la sua capacità di essere utilizzato come parte di una catena di attacchi, combinato con altre vulnerabilità per massimizzare l'impatto. Per evitare di disconnettere la vittima dalla rete Wi-Fi e quindi destare sospetti, l'attaccante invia una richiesta ICMP (ping) con un indirizzo MAC casuale. Questo distrae il dispositivo della vittima, e poiché le reti Wi-Fi sono intrinsecamente dinamiche, l'apparecchiatura di rete interpreta questo cambiamento come un normale evento e riassegna la connessione al dispositivo della vittima. L'attaccante può quindi connettersi e disconnettersi rapidamente, alternando tra l'identità della vittima e la propria, realizzando l'attacco MitM. Questo funziona anche quando due sottoreti apparentemente isolate (ad esempio, una rete "ospiti" e una rete "domestica") operano sullo stesso router, poiché condividono la stessa tabella di indirizzi MAC.
La vulnerabilità sfruttata da AirSnitch è presente in una vasta gamma di dispositivi di rete, inclusi router consumer e aziendali. I test hanno dimostrato che almeno uno dei metodi di attacco funziona su dispositivi di produttori come Netgear, D-Link, TP-Link, Asus, Cisco e Ubiquiti. Nemmeno i protocolli di crittografia WPA2/3 e di autenticazione RADIUS forniscono una protezione efficace.
Correggere le vulnerabilità alla base di AirSnitch con metodi puramente software sarà una sfida ardua, poiché derivano dalle caratteristiche intrinseche dei chipset e dell'architettura di rete. Non esiste una soluzione universale valida per tutti i dispositivi. Tuttavia, è possibile ridurre il rischio. Per lanciare un attacco, l'aggressore deve prima connettersi all'apparecchiatura di rete a cui è connessa la vittima, ad esempio una sottorete "ospiti" o "domestica". Isolare queste sottoreti utilizzando SSID diversi su VLAN separate può ridurre il rischio, anche se la configurazione può essere complessa e soggetta a errori. Un'altra misura di sicurezza è l'utilizzo di una VPN, anche se non garantisce una protezione completa. Infine, nelle reti aziendali, è fondamentale adottare una politica di "zero trust", considerando tutti i dispositivi client come potenzialmente pericolosi.
