密码网上安全

2015年企业WiFi网络安全性测试研究报告2015年7月10日摘要2015年6月,360互联网安全中心派出了一支无线环境监测小组,在北京市区的8个人口和办公密集区进行了WiFi网络的实地检测,共检测发现有效的WiFi网络78603个,其中,能确定为企业WiFi的网络为2652个,占所有WiFi网络的3.
4%.
通过使用第三方WiFi分享工具进行测试的结果显示,在检测到的2652个企业WiFi网络中,共有1201个企业WiFi网络的密码已经被分享,占到所有检测到的企业WiFi网络的45.
3%.
而非企业WiFi网络的密码被公开分享的比例仅为19.
1%.
从密码构成来看,90.
2%的企业WiFi密码为不安全的纯数字密码,只有9.
8%的企业WiFi使用了"数字+字母"或"数字+字母+特殊符号"的组合密码.
从密码长度来看,87.
1%的企业WiFi密码长度小于等于8位,仅有12.
9%的企业WiFi的密码大于8位.
我们使用了2015年流行密码的Top20与企业WiFi密码进行比对,结果发现,命中流行密码Top20的企业WiFi密码数量占比竟然高达84.
6%.
企业WiFi网络主要面临四大类安全隐患:密码泄漏、钓鱼WiFi、私搭乱建和设备漏洞.
企业WiFi密码泄漏的主要原因包括:WiFi密码被不当分享、WiFi密码使用弱口令、WiFi密码加密方式不安全、无线DDoS攻击.
就现阶段而言,WiFi密码被不当分享的问题,已经成为了企业WiFi网络所面临的最为首要的安全性问题.
关键词:企业WiFi、WiFi分享、密码泄漏、钓鱼WiFi、私搭乱建目录第一章研究背景与测试方法1第二章企业WIFI密码的安全性1一、企业部署WIFI情况1二、企业WIFI被分享情况.
1三、企业WIFI的密码强度.
2第三章企业WIFI环境安全隐患4一、密码泄漏4(一)WiFi密码被不当分享.
4(二)密码泄漏的其他原因5二、钓鱼WIFI6三、私搭乱建7四、设备漏洞7第四章重大WIFI安全事件.
9一、私搭乱建WIFI导致天河一号内网被入侵.
9二、北京首都机场WI-FI网络安全隐患被曝光10三、美国报告称黑客可通过WIFI攻击飞机.
111第一章研究背景与测试方法WiFi网络正在成为企业移动化办公的重要基础设施,但由于普遍缺乏有效的管理,WiFi网络也在越来越多的成为黑客入侵企业内网系统的突破口.
为了能够实地了解当前企业WiFi网络的安全性,2015年6月,360互联网安全中心派出了一支无线环境监测小组,在北京市区的8个人口和办公密集区进行了WiFi网络的实地检测.
具体覆盖范围包括以下地点及其周边1-2公里区域:望京SOHO、金融街、长安街、CBD大厦、东交民巷、中关村软件园、东方广场、五道口等.
为了确保此次WiFi信号检测的合法性,我们主要通过以下一些方法对捕获的WiFi信号进行测试和分析:1)通过公开的OUI(组织唯一标识符)列表,选出主流的企业无线网络设备制造商,通过匹配OUI信息(MAC地址前6位),来区分企业WiFi与非企业WiFi.
尽管理论上说,我们不能排除有企业用户使用普通的民用路由器搭建WiFi网络的可能性,也不能排除某些路由器被管理员设置了伪装的MAC地址的可能性.
但为降低研究复杂度,本次报告的分析中,忽略这些不确定因素.
2)对于捕获的WiFi信号,使用第三方WiFi分享工具进行测试,测试是否可以得到这些WiFi网络的登陆密码,是否能够登陆这些WiFi网络.
3)对于能够在第三方WiFi分享工具中获得密码的企业WiFi,通过获得的密码分析其密码长度,密码构成及密码复杂度.
客观的说,上述测试和分析方法存在一定的局限性.
比如:我们不能排除部分商家主动分享自身WiFi密码的可能性,企业WiFi密码被第三方平台分享并不完全等于企业WiFi密码被泄漏;此外,我们也不能确信的说已经被分享的WiFi密码和未被分享的WiFi密码之间存在完全相同的规律.
但是,通过上述测试和分析方法,我们还是可以比较有效的了解企业WiFi安全性的总体情况.
因此,在确保研究手段的合法性的前提下,我们还是采用了上述测试和分析方法作为本次报告的研究基础.
1第二章企业WiFi密码的安全性一、企业部署WiFi情况在2015年6月的实地测试中,在北京市区的望京SOHO、金融街、长安街、CBD大厦、东交民巷、中关村软件园、东方广场、五道口等地及其周边地区,共检测发现有效的WiFi网络78603个.
我们通过公开的OUI(组织唯一标识符)列表,选出主流的企业无线网络设备制造商,通过匹配OUI信息(MAC地址前6位),确定为企业WiFi的网络为2652个,占所有WiFi网络的3.
4%.
由于不能排除我们筛选出的制造商不全,以及企业用户使用一般的民用路由器搭设WiFi网络的可能性,因此,企业WiFi网络的实际比例还要更高.
二、企业WiFi被分享情况通过使用第三方WiFi分享工具进行测试的结果显示,在检测到的2652个企业WiFi网络中,共有1201个企业WiFi网络的密码已经被分享,占到所有检测到的企业WiFi网络的45.
3%,并且这些企业WiFi网络确实可以用分享工具提供的密码进行登陆,也就是说被分享出来的企业WiFi密码是有效的.
可以看出,尽管相比于非企业WiFi来说,企业WiFi网络的绝对数量并不多,但密码被公开分享的比例却很高.
特别值得注意的是,在本次测试研究中,我们也发现,对于非企业WiFi(没有使用企业级路由设备的WiFi网络)来说,密码被公开分享的比例仅为19.
1%,远远低于企业WiFi密码被分享的比例.
2三、企业WiFi的密码强度我们分别从密码构成、密码长度和密码流行度三个方面分析企业WiFi密码的强度.
密码强度过低,意味着攻击者比较容易通过撞库和暴力破解的方式入侵WiFi网络.
一般来说,由数字+字母+特殊符号组成的,15位以上的非常见密码比较安全.
从密码构成来看,90.
2%的企业WiFi密码为不安全的纯数字密码,只有9.
8%的企业WiFi使用了"数字+字母"或"数字+字母+特殊符号"的组合密码.
3从密码长度来看,87.
1%的企业WiFi密码长度小于等于8位,仅有12.
9%的企业WiFi的密码长度大于8位.
即便使用了"数字+字母"的密码,密码长度也在8位以上,但如果使用的恰好是流行密码,那么也很容易被攻击者破解的,因为在网上找到一些流行密码的排行榜并不十分困难.
本次检测研究,我们使用了2015年流行密码的Top20与企业WiFi密码进行比对,结果发现,命中流行密码Top20的企业WiFi密码数量占比竟然高达84.
6%.
这表明,八成以上企业的网络管理员严重缺乏基本的安全意识,使用了非常不安全的流行密码作为WiFi网络密码.
攻击者想要入侵这样的WiFi网络,可以说是易如反掌.
下面就是本次检测分析中所使用的流行密码TOP20:12345678、123456789、a1234567、a12345678、a123456789、1234567890、0123456789、qq123456、abc123456、123456abc、123456789a、88888888、66666666、11111111、987654321、87654321、9876543210、123654abc、asd123!
@#、woaini1314.
综合上述几项数据来看:企业WiFi网络的密码设置普遍存在密码太短、密码构成简单、密码为流行密码及密码早已被第三方WiFi分享工具分享的现象.
这些情况导致了九成以上的企业WiFi网络环境处于非常不安全的状态,令人担忧.
4第三章企业WiFi环境安全隐患通过上一章的研究分析,我们看到,大量企业的WiFi网络存在密码被分享或使用弱密码的的情况,从而极易造成WiFi密码的泄漏.
事实上,企业WiFi密码的泄漏还有很多其他的原因,而且除了密码泄漏之外,企业的WiFi网络还面临着钓鱼WiFi、私搭乱建和设备漏洞等多重安全风险.
一、密码泄漏企业WiFi密码泄漏主要有以下4个方面的原因:WiFi密码被不当分享、WiFi密码使用弱口令、WiFi密码加密方式不安全、无线DDoS攻击.
就现阶段而言,WiFi密码被不当分享的问题,已经成为了企业WiFi网络所面临的最为首要的安全性问题.
(一)WiFi密码被不当分享密码设置的再复杂,只要有人将密码进行了公开分享,事实上密码也就泄漏了,而且可以被任何人使用.
客观的说,企业WiFi密码被不当分享的问题,给企业造成的损害要比任何WiFi攻击技术都要大得多.
因为不论使用什么样的WiFi攻击技术,包括暴力破解,都必须要靠近目标WiFi的覆盖区域才能实施,而且还必须使用破解软件或破解工具,一个一个的进行尝试.
但通过第三方WiFi分享工具,攻击者几乎可以0成本的同时获取大量企业的WiFi密码,其危险性可想而知.
从一些第三方统计数据来看,目前国内各种流行的WiFi分享工具至少有几十款之多,使用此类工具的网民数量也多达1亿-1.
5亿.
从相关服务商自己宣传的数据来看,这些平台上至少可以查询上亿条的各种WiFi密码,而且各个厂家也几乎都在以分享密码条数的多少作为产品主要的功能亮点进行.
这其中就导致有大量的企业WiFi密码被分享了出来.
而事实上,企业WiFi密码被泄漏的风险要远远大于个人或家用的WiFi网络密码.
这主要是因为:一个家用WiFi网络的使用者一般为3-5人,而企业WiFi网络则往往是十人以上,或者更多的人在同时使用;而对于一个加密的WiFi网络来说,只要有一个人不慎将密码分享了出来,密码也就不再是秘密了.
因此,相对而言,企业WiFi的密码被"意外的"分享到第三方WiFi分享平台上的几率要远远大于个人或家用WiFi的密码.
此外,人们对于个人家中WiFi密码的保护意识也往往会明显强于企业的公用WiFi的密码.
这也就是解释了为什么企业WiF密码被分享的比例(45.
3%)会远远大于非企业WiFi密码(19.
1%).
某些第三方WiFi分享平台的产品逻辑设计也进一步加剧了企业WiFi密码被"意外分享"的节奏.
比如,2015年初,媒体广泛报道了某个知名的第三方WiFi分享工具可能造成用户信息泄漏的新闻.
报道显示,该产品在用户安装后,会默认勾选"自动分享热点"选项.
这种默认设置就会导致无论用户接入什么样的WiFi网络,该软件都会自动的将WiFi密码分享到其服务平台上.
这不仅造成了部分用户在蹭别人网的同时,也稀里糊涂的将自己家里的WiFi密码分享了出去,而且也导致所有该软件的近亿用户一旦接入任何企业的WiFi的网络,也都会自动的把企业的WiFi密码分享出去.
而这一过程企业网管几乎完全无法控制和阻止.
5想要解决企业的WiFi密码被第三方平台分享所带来的安全问题,企业一般可以采取以下两种措施:第一,经常变换WiFi密码,或使用动态变化的WiFi密码;第二,除了进行密码验证之外,还要对登陆设备进行身份验证或IP管理.
不过,不论是上述那种解决办法,都会增加企业的运维成本和管理难度,而且也不太可能在短时间内得到有效的推广.
所以,对第三方WiFi分享工具加强监管,加强对企业WiFi密码收录的审核措施,在现阶段来说,仍然是维护企业内WiFi网络安全的重要手段.
(二)密码泄漏的其他原因1)WiFi密码使用弱口令WiFi密码强度不够,就使得攻击者可以通过简单的暴力破解方式破解WiFi密码.
如上一章中的统计就显示,仅使用流行密码Top20的企业WiFi就占到了企业WiFi总量的84.
6%.
也就是说,攻击者事实上并不需要穷举密码排列的所有组合,只需要用20个密码进行尝试,基本上就几乎可以包打天下了.
弱口令问题是企业WiFi最为普遍存在的的安全隐患.
2)WiFi密码加密方式不安全WiFi密码最常见的加密认证方式有三种,分别是WPA、WPA2和WEP.
其中,WEP加密认证的加密强度相对较低,最容易被黑客破解,因此,WEP加密认证方式在绝大多数的新型家用无线路由器中已不再使用,但在一些型号相对较老的路由器中仍有使用.
统计显示:全国仍有0.
7%路由器使用WEP加密认证.
3)无线DDoS攻击这是一种相对而言比较高级的WiFi密码攻击方式.
攻击者首先对一定范围内的所有WiFi路由器发起无差别泛洪拒绝服务攻击,使得该范围内的无线热点都不可用(移动终端连不上热点),从而迫使已经连线终端下线;随后,攻击者停止攻击,在网络恢复过程中,6抓取大量握手包,用于离线破解密码.
一般来说,这种攻击方式的针对性很强.
二、钓鱼WiFi从WiFi接入者的角度看,WiFi网络的安全性完全取决于WiFi网络的架设者身份.
受到各种客观因素的限制,很多数据在WiFi网络上都是明文传输的,如一般的网页,图片等;甚至还有很多网站或邮件系统在手机用户进行登陆时,将帐号和密码也进行了明文传输或只是简单加密传输(加密过程可逆).
因此,一旦一部手机接入了攻击者架设的钓鱼WiFi网络,那么通过该钓鱼WiFi传输的各种信息,包括帐号和密码等就会被攻击者所截获.
攻击者甚至还可以对用户的所有上网流量进行劫持,从而获取更多用户隐私信息.
2015年央视315晚会上,安全专家现场演示了钓鱼WiFi的工作过程.
在晚会现场,观众加入主办方指定的一个WiFi网络后,用户手机上正在使用哪些软件,用户通过微信朋友圈浏览的照片等信息就都被显示在了大屏幕上.
不仅如此,现场大屏幕上还展示了很多用户的电子邮箱信息(进行了必要的打码处理).
下面是部分现场直播的截屏画面.
特别值得一提的是,主持人在采访一位邮箱密码被展示出来的现场观众时,这位观众明确表示,自己到现场以后并没有登陆自己的电子邮箱.
事实上,造成这种情况的原因是:该用户所使用的电子邮箱软件在手机接入WiFi网络后,自动联网进行了数据更新,而在更新过程中,邮箱的帐号和密码都被进行了明文传输.
这个现场实验告诉我们:攻击者通过钓鱼WiFi盗取用户个人信息,用户往往是完全感觉不到的.
钓鱼WiFi一般不设置任何的密码.
智能手机在打开WiFi功能时,往往会自动链接这些没有密码的WiFi,从而使钓鱼WiFi的攻击很难被发现.
此外,钓鱼WiFi往往还会给自己起一个很具迷惑性的名字,甚至是直接冒充企业官方WiFi,从而骗取用户登陆,骗得用户的帐号密码等信息.
7三、私搭乱建在WiFi技术流行以前,企业内网中的电脑都是通过有线方式进行连接的,企业网络的拓扑结构和网络边界通常也是固定的.
但是,自从WiFi技术普及以来,企业的内网边界正在变得越来越模糊.
特别是私搭乱建的WiFi网络,会成为内网被入侵的新入口,给企业的内网安全造成了极大的隐患.
2015年3月,乌云平台报告称,由于天河一号内部员工私建了无加密的WiFi热点,导致超级计算机天河一号被入侵,大量敏感信息疑遭泄漏.
下图是漏洞报告者提供的相关漏洞证明信息的截图.
一般来说,企业员工私搭乱建WiFi热点主要有以下几种形式:1)通过公司提供的笔记本电脑,或者带有无线网卡的台式机来分享一个WiFi热点;2)通过一些即插即用的小型WiFi设备来分享一个WiFi热点;3)通过智能手机或平板电脑等智能移动设备来分享一个WiFi网络;1),2)两种情况,会导致拥有内网访问权限的电脑,通过WiFi将访问权限公开给外部;而3)则会使保密的企业电脑上的信息,很容易通过共享的WiFfi网络被分享到外部,造成企业信息泄露.
私搭乱建的WiFi网络实际上是在那些已经得到准入授权的设备上开放了一个新的入口,使得那些未经授权的设备可以通过这个入口不受限制的接入内网系统,而且管理员往往很难发现.
四、设备漏洞路由器设备本身存在安全漏洞,其安全性自然难以得到保障.
路由器最常见的安全漏洞主要有两类:一个是CSRF漏洞,一个是路由器后门.
1)CSRF漏洞CSRF是跨站请求伪造(Cross-siterequestforgery)的英文缩写.
存在CSRF漏洞的路由器容易遭到CSRF攻击.
所谓CSRF攻击,是指当用户访问经过特殊构造的恶意网站(A)时,恶意网站会通过浏览器发送访问路由器管理页面(B)的请求.
如果路由器不能识别并阻止这种异常的访问请求,即路由器存在CSRF漏洞时,那么恶意网站(A)就有可能通过CSRF攻击登录到路由器的管理页面(B),并进而篡改路由器的基本设置.
8根据360互联网安全中心早前发布的《2014年中国家用路由器安全报告》数据显示:在可识别型号/固件版本的4014万台路由器中,约90.
2%的路由器存在CSRF漏洞.
按照路由器的品牌划分,国内主流路由器的固件存在CSRF漏洞的情况如下:需要特别说明的是,绝大部分曝出CSRF漏洞的路由器型号,路由器厂商都已经有针对性地推出了相应的固件版本升级,而至今仍有大部分的路由器存在漏洞,主要是因为用户并没有对其进行修复和升级.
从用户反馈来看,很多用户实际上在系统体检过程中已经看到了路由器的漏洞风险提示,但仍然没有对路由器固件进行升级操作.
2)路由器后门一些研发人员为了调试方便等特殊目的,会在软件中保留某些不为外人所知的"捷径".
如果这些"捷径"在最终产品发布时没有被关闭,就会成为后门.
通过后门,攻击者可以绕过软件的安全机制直接获得控制权限.
此外,一些路由器厂家在研发产品时,为了调试和检测的方便进行,会在产品上保留一个超级管理权限.
一般情况下,这个超级管理权限是不容易被外人发现的,但一旦被黑客发现并破解利用,就意味着合法用户对自己的路由器丧失了控制权,因此也会带来各种各样的安全问题.
与CSRF攻击不同的是,针对路由器的后门攻击一般都是单点攻击,相比于CSRF漏洞,后门的危害范围要小很多.
根据国家互联网应急中心(CNCERT)发布的有关报告显示,有多家厂商的路由器产品存在后门,可能被黑客控制从而危害到网上安全.
报告称,国家信息安全漏洞共享平台(CNVD)分析验证,D-LINK、Cisco(思科)、Linksys、Netgear、Tenda等多家厂商的路由器产品存在后门,黑客可由此直接控制路由器,进一步发起DNS劫持、窃取信息、网络钓鱼等攻击,直接威胁用户网上交易和数据存储安全,使得相关产品变成随时可被引爆的安全"地雷".
9第四章重大WiFi安全事件一、私搭乱建WiFi导致天河一号内网被入侵2015年3月,乌云平台报告称,由于天河一号内部员工私建了无加密的WiFi热点,导致超级计算机天河一号被入侵,大量敏感信息疑遭泄漏.
下图是在该公司附近检测到的各种WiFi网络.
报告者使用了特定的技术方法验证了其访问的确实是架设在内网系统中的天河一号.
code区域*1.
WelcometoTH-1ASystemofNSCC-TJ.
**2.
Ifyouhaveanyproblem,youcansendmailtosupport@nscc-tj.
gov.
cn*10此外,报告者还发现,天河一号内网账户中至少存在200个以上的员工帐号使用了弱口令密码.
下图是报告者扫描得到了天河一号的大量计算节点.
二、北京首都机场Wi-Fi网络安全隐患被曝光2016年5月,白帽子在乌云平台上报告称:其在T1航站楼使用登机牌登录WiFi网络时,发现由于机场WiFi提供商的服务器安全设施不足和代码漏洞,可导致服务器中的用户隐私数据泄漏及登机人信息被窃取.
一旦登记人的信息被泄漏出去,登记人就有可能收到各种诈骗短信,例如订票异常、航班取消等诈骗短信.
.
11三、美国报告称黑客可通过WiFi攻击飞机2015年4月,美国审计总署(GAO)在报告中表示,现在多数商业航空公司可访问互联网,这让黑客控制飞机成为可能.
GAO发布的报告称:现代飞机拥有可被恐怖分子施加损害或控制飞机的约60个外部天线.
GAO还列举了乘客可能受到攻击的新场景,但并未指出这些场景是否有可能会发生,只是表示随着美国联邦航空管理局(FAA)通过互联网技术对飞机及航班追踪的现代化,攻击者有了可以利用的新漏洞.
最坏的场景是,一名拥有笔记本电脑的恐怖分子混入乘客中间并通过供乘客使用WiFi控制飞机.
相关人员表示这是一个严重的漏洞,应尽快予以修复.
驾驶舱中的航空电子设备是一种自给系统,而且与乘客观看影片或在笔记本电脑上工作的系统并不相同.
但是由于飞机通过互联网更新,因此利用WiFi系统分享路由器或内部线路并不少见.
报告指出,FAA与网络安全专家指出飞机依赖"防火墙"来制造障碍.
但由于防火墙是软件,因此飞机可能被黑.
报告指出,"接受我们采访的网络安全专家表示,机舱中的互联网连接应该被认为是飞机与外部世界的直接链接,而外部世界中即包含潜在的恶意威胁.
"GAO三月份公布的一份报告指出,FAA指导飞机及其他飞行器系统在被黑方面都存在"日益增多以及不必要的风险".
其中一个缺陷是阻止并检测计算机及电信系统巨大网络的未经授权访问权限能力,而这些系统用于FAA处理并追踪全球航班记录.
FAA依赖于100多个此类飞行交通系统指导飞机航行.