Il noto hacker e ricercatore esperto in sicurezza Samy Kamkar ha pubblicato i dettagli del progetto PoisonTap , un dispositivo in grado di intercettare tutto il traffico Internet da un PC anche se protetto da password.
Kamkar aveva già in passato realizzato lo sniffer KeySweeper basato su Arduino Nano , in grado di catturare le digitazioni effettuate su una tastiera wireless, o il software OwnStar in grado di intercettare il traffico wireless trasmesso dall’app OnStar RemoteLink verso un’automobile compatibile.
PoisonTap è stato invece realizzato con una Raspberry Pi Zero , estremamente economica poiché venduta a 5 dollari, su cui è caricato un software realizzato con Node.js in grado di emulare un dispositivo Ethernet su USB venendo rilavato come tale dal PC al quale viene collegato.
Una volta collegata la Raspberry tramite cavo USB al pc da attaccare, PoisonTap emula un dispositivo Ethernet che per impostazione predefinita di Windows, OS X e Linux viene caricato come dispositivo di rete a bassa priorità inviando una richiesta DHCP anche nel caso il PC sia protetto da password.
Poiché la Raspberry è un computer in miniatura su cui gira Linux, il server DHCP permetterà a PoisonTap di rispondere alla richiesta DHCP fornendo al PC un indirizzo IP. La particolarità risiede nella risposta DHCP, programmata per indicare alla macchina che entra a far parte della rete locale di PoisonTap che questa rete è costituita dall’intero spazio IPv4 (da 0.0.0.0 a 255.255.255.255) piuttosto che da una piccola sottorete (ad esempio da 192.168.0.0 a 192.168.0.255).
Normalmente un dispositivo di priorità inferiore non verrebbe mai preferito rispetto ai dispositivi di rete esistenti e “fidati” (trusted) non sostituendo neanche il gateway che veicola il traffico verso Internet, mentre in questo caso ogni tabella di routing , priorità del gateway e ordine di servizio di sicurezza dell’interfaccia di rete viene by-passato dalla priorità del traffico locale LAN rispetto al traffico Internet.
In questo modo ogni indirizzo pubblico verrà visto come indirizzo della rete locale, veicolando quindi il normale traffico Internet verso il dispositivo PoisonTap poiché un dispositivo di rete a bassa priorità viene privilegiato rispetto al gateway che costituisce la rotta di default (default route), con la conseguenza che tutto il traffico internet verrà veicolato verso PoisonTap.
Kamkar ha spiegato ad Ars Technica che “La motivazione principale è stata quella di dimostrare che anche su un computer protetto da password e con protezione WPA2 sul WiFi, il sistema e la rete possono ancora essere attaccati rapidamente e facilmente. Credenziali esistenti dei siti web non HTTPS possono essere rubati e di fatto i cookie provenienti da siti HTTPS, che non abbiano impostato correttamente il flag “secure” sul cookie, possono anche essere dirottati”.
Luca Algieri
Ti potrebbe interessare
18 nov 2016