Wie soll 802.11 ohne Wireshark entschlüsselt werden? Ich weiß, dass EAPOL und Passphrase erforderlich sind, aber welche Schritte sind für die Entschlüsselung erforderlich? Anders ausgedrückt: Wie entschlüsselt Wireshark die erfassten Pakete?
Antwort1
Angenommen, Sie haben eine Paketverfolgung im 802.11-Monitormodus eines Wi-Fi-Netzwerks, das WPA2-PSK verwendet hat, und Sie möchten diese manuell entschlüsseln, ohne die Funktion von Wireshark zu verwenden.
Zuerst müssen Sie die WPA2-Passphrase oder den PSK für das Netzwerk kennen. Wenn Sie diese nicht haben, können Sie nichts tun.
Zweitens müssen Sie sich darüber im Klaren sein, dass jeder Client bei jeder erneuten Verbindung mit dem AP zusammenarbeitet, um einen neuen Verschlüsselungsschlüssel (den Pairwise Temporal Key oder PTK) zu generieren, der nur für diese Verbindung verwendet wird. Jeder Client erhält also bei jeder erneuten Verbindung einen neuen Schlüssel. Diese PTKs werden aus einer Kombination der WPA2-Passphrase (PSK) und einigen Zufallszahlen namensNoncesdie der Client und der AP generieren, wenn ein Client eine [erneute] Verbindung herstellt.
Um also den Datenverkehr eines bestimmten Clients für eine bestimmte Verbindungssitzung zu entschlüsseln, benötigen Sie diese Nonces. Sie müssen also in Ihrer Paketverfolgung nachsehen, wann der Client eine Verbindung hergestellt hat, und die EAPOL-Schlüsselrahmen (den WPA2-Handshake) vom Beginn der Verbindung finden. Sehen Sie sich diese Frames an, die unverschlüsselt sind, und holen Sie sich diese Nonces.
Sobald Sie die WPA2-Passphrase/den PSK für das Netzwerk und die Nonces aus dem Handshake für eine bestimmte Verbindung von einem bestimmten Client haben, können Sie die AES-CCMP-Mathematik durchführen, um den Datenverkehr aus dieser Client-Sitzung zu entschlüsseln.
Die Einzelheiten zur Funktionsweise von AES-CCMP gehen über den Rahmen einer SuperUser-Frage hinaus, sind jedoch öffentlich in der 802.11-Spezifikation (kostenlos herunterladbar beim IEEE) und in den darin referenzierten AES-Dokumenten dokumentiert.
Antwort2
Ich gehe davon aus, dass Ihre Anfrage NUR für den Einsatz im Testlabor bestimmt ist. Wenn ja, müssen Sie, um 802.11-Pakete zu entschlüsseln, wie Sie oben erwähnen, die SSID und die Passphrase an die Wireshark-Anwendung weitergeben. Sie MÜSSEN auch den Zuordnungsprozess (im Wesentlichen alle anfänglichen Verwaltungspakete) erfassen, wenn die Stationen sich mit dem Access Point verbinden, um die Pakete zu entschlüsseln. Wenn Sie eine verschlüsselte Erfassungsdatei haben und die SSID und die Passphrase besitzen, muss Ihre Erfassung den Zuordnungsprozess enthalten. Sie können auch savvius verwenden (https://www.savvius.com/).