Dotaz: Wifi karta v netbooku a promiskuitní mód

[Eregon]

Ahoj všem,

experimentuju teď s domácí bezdrátovou sítí a chtěl bych se podívat, co mi tu lítá ve vzduchu. Experimentální prostředí vypadá jako běžná domácí síť, tzn. router a AP v jedné krabičce, jeden notebook jako "oběť" a jeden jako "naslouchač".

Naslouchač má wifi kartu Ralink RT3090, na něm běží Wireshark s odchytáváním provozu na ra0 v promiskuitním režimu. Jedná se o WPA/WPA2 Personal síť a jelikož je to moje síť, heslo k ní mají oba použité počítače a mohou se do ní přihlásit.

Na oběti generuju síťový provoz běžným používáním, tzn. především surfuju po webu, používám mailklienty, kecálky apod.

Na naslouchajícím počítači se ve výstupu dmesg sice objevuje hlášení "device ra0 entered promiscuous mode" (a režim není opuštěn, dokud Wireshark zachytává), ale zachycené pakety jsou jen z provozu, který generuje sám naslouchač, případně nějaký ten šelest z druhé vrstvy.

Co dělám blbě, že Wireshark nevidí provoz generovaný druhým počítačem?

Odpovědi

[Nereknu]

hledam hledam a ralink rt3090 nevidimnikde v podporovanych chipech :)

[Eregon]

Díky za odpověď, ale nejsem si jistý: máš na mysli podporu čipu v čem?

[Jendа]

Kdysi jsem to někde viděl a dělala se kolem toho nějaká magie. Osobně si to vysvětluju tak, že si pomocí PSK vyjedná klient s AP nějaký session key a ten pak používají, takže když jsi neslyšel handshake, tak nemáš session key oběti a smůla.

[Eregon]

Díky za link, krásně a stručně shrnuje to, co se mi povedlo různě vygooglit, takže mi pomohl si to ujasnit a pokročit ve zkoumání problému dál.

Při posezení u piva na zahrádce jsem pochytal hromadu různého provozu, přičemž u nešifrovaných sítí bylo vidět, že obsah odchycených paketů dává smysl (viděl jsem tam čitelné HTTP hlavičky a HTML/JS/jiný kód, u jiných paketů Wireshark rozeznal, že jde např. o GIF soubor), takže je zjevné, že karta v naslouchajícím notebooku si s monitor módem poradí a je tedy možné hledat chybu o kousek dál.

V domácí síti je to ale jiné. V monitor mode (kdy naslouchač do sítě sám přihlášen není) nezachytím vůbec nic, ani beacony. Po připojení do sítě a naslouchání v promiskuitním režimu Wireshark zachytí jen provoz, který generuje sám naslouchač.

Tzn. nezachytí ani framy se zašifrovaným obsahem, které by zachyceny být měly (jak to je vidět v ukázkovém pcap souboru na odkazované wiki), a tudíž není co dešifrovat.

Kde může být chyba?

[Eregon]

Ještě další poznatek: ze zájmové sítě na kanálu 11 sice neodchytím ani frame, ale chytám jakési nevýznamné framy z WPA2 sítě od sousedů na kanále 6 (nevýznamné = neobsahují žádná data, ani šifrovaná). Nic se na tom nezměnilo ani použitím příkazu iwconfig ra0 channel 11. Není to divné?