Wireless Forensics

A volte la parte più difficile del lavoro di un investigatore è semplicemente identificare il traffico wireless. Come abbiamo visto nel capitolo 3 (Reti Wireless) c'è un grande numero di frequenze su cui i dati possono essere trasmessi.

Ogni range di frequenze ISM usate dall' 802.11 è diviso in un certo numero di canali che variano da Stato a Stato. Di conseguenza un apparato costruito per funzionare in Europa generalmente non è ingrado di trasmettere e ricevere pacchetti su alcuni canali usati in Giappone.

Questo è da tenere in considerazione da parte di un investigatore in quanto, per esempio, un attacker potrebbe acquistare un WAP prodotto per il Giappone che supporta 14 canali e installarlo in azienda Italiana: durante una scansione da parte di un client per la ricerca delle reti disponibili, il suddetto WAP risulterebbe nascosto, un pò come succede per i device standard 802.11n in modalità Greenfield, quest'ultimi non vengono visti dai dispositivi che supportano standard 802.1a/b/g.

Quindi, quando si fa una scansione dello spettro per rivelare la presenza di reti wifi è bene conoscere a priori le capacità di analisi del dispositivo utlizzato. Esistono dei dispositivi chiamati Spectrum Analyzer in grado di rivelare anche comunicazioni su frequenze diverse da quelle utilizzare da 802.11 e scovare così, rogue router, router bluetooth, RF Jammers o altri dispositivi installati da un attacker che usano altre frequenze o tecnologie wireless per la trasmissione di dati. Per la cattura del traffico, l'investigatore ha bisogno di un dispositivo che supporti la modalità Promiscua o monitor mode.

Si tratta di una modalità di controllo in cui l'interfaccia di rete wireless filtra tutto il traffico di rete che la CPU riesce ad analizzare e quindi catturare da e verso qualsiasi destinazione: la sostanziale differenza con le schede che non supportano questa modalità è che queste analizzano solo i frame che ricevono o che trasmettono. Indipendentemente dal fatto che il traffico sia o non sia cifrato, un investigatore può ottenere molte informazioni dalla cattura e dall'analisi dei frame di gestione:

* Broadcast SSIDs;
* Indirizzi MAC dei WAP;
* Algoritmi di Cifratura/Autenticazione supportati;
* Indirizzi MAC dei client associati;

Alla fine se c'è un indagine in corso, ottenere chiavi di accesso e cifratura con autorizzazione da parte della magistratura non dovrebbe essere difficile. Una volta ottenuto il completo accesso al traffico, i dati possono essere analizzati allo stesso modo di qualsiasi altro traffico in chiaro.

Avendo capito come sono strutturati i principali frame di dati, gestione e controllo di 802.11 è possibile utilizzare tcpdump o tshark79 per cercare individuare le varie reti nel traffico catturato.
Questo viene reso possibile grazie all'utilizzo di un potente linguaggio di filtri denominato BPF.