Leitfaden zur erweiterten WLAN-Datenerfassung und -analyse

Haben Sie sich jemals gefragt, welche Informationen von den WLAN-Signalen um uns herum übertragen werden? Diese unsichtbaren Funkwellen können Datenströme enthalten, die weitaus komplexer sind, als wir uns vorstellen. Heute begeben wir uns auf eine Reise, um zu erkunden, wie man WLAN-Daten aus der Luft erfasst und wertvolle Erkenntnisse gewinnt – ein Prozess, der über die technische Erkundung hinausgeht, um die inneren Abläufe der drahtlosen Kommunikation aufzudecken.

Um mit der Erfassung von WLAN-Daten zu beginnen, benötigen Sie spezielle Hardware und Software. Unter den verschiedenen verfügbaren Optionen konzentrieren wir uns auf eine leistungsstarke Kombination: den Omnipeek USB-Dongle, gepaart mit der Omnipeek-Software. Dieses Setup ermöglicht es Ihrem Laptop, WLAN-Pakete in der Nähe mühelos zu erfassen.

Stellen Sie vor Beginn sicher, dass Sie die richtigen Treiber installiert und überprüft haben, dass Omnipeek Ihren USB-Dongle erkennt. Administratorrechte auf Ihrem Laptop sind unerlässlich, damit die Software ordnungsgemäß funktioniert.

Sobald Ihre Umgebung bereit ist, versuchen Sie eine erste Paketerfassung. Wenn Sie Datenpakete in der Erfassungsoberfläche sehen, herzlichen Glückwunsch – Ihr Hardware-Setup ist abgeschlossen!

Für eine aussagekräftige Analyse müssen wir uns auf spezifische WLAN-Kommunikationen konzentrieren. In dieser Demonstration verwenden wir die Entwicklungsplattform CY8CKIT-062S2-43012 PSoC™ 62S2 Wi-Fi BT Pioneer Kit. Mit dem Wi-Fi MQTT Client Beispielcode von ModusToolbox haben wir das Board erfolgreich mit einem iPhone-Hotspot verbunden und Verbindungsmeldungen in TeraTerm (unserem Terminalemulator) beobachtet.

Während diese Meldungen eine erfolgreiche Verbindung bestätigen, möchten wir die tatsächlichen WLAN-Pakete untersuchen: Welche Daten werden übertragen? Wie ist die Signalqualität? Gibt es Übertragungsfehler? Diese Fragen leiten unsere nächsten Schritte.

Die Analyse der WLAN-Kommunikation erfordert die Kenntnis des spezifischen Kanals (Frequenz), der verwendet wird. Eine einfache Methode ist, Ihren Laptop mit demselben iPhone-Hotspot (der mehrere Verbindungen unterstützt) zu verbinden und die Eigenschaften der Netzwerkverbindung zu überprüfen, um die Kanalinformationen zu finden.

Konfigurieren Sie Omnipeek mit diesen Informationen (in unserem Fall Kanal 6), um den richtigen Kanal in den Einstellungen "Neue Erfassung" zu überwachen.

Um den vollständigen Verbindungsprozess einschließlich aller Handshake-Pakete zu erfassen, haben wir eine Technik angewendet: Trennen Sie zuerst das Entwicklungsboard (indem Sie das USB-Kabel abziehen), starten Sie die Erfassung von Omnipeek und schließen Sie dann das Board wieder an. Dies ermöglicht es Omnipeek, alle während der Wiederverbindung ausgetauschten Pakete aufzuzeichnen.

Nachdem das Board wieder verbunden ist und wir die Verbindung testen, indem wir zweimal auf die SW2-Taste drücken, stoppen wir die Erfassung und speichern die Paketdaten – jetzt haben wir wertvolle WLAN-Kommunikationsaufzeichnungen.

Während Omnipeek robuste Analysefunktionen bietet, demonstrieren wir die Verwendung des kostenlosen Open-Source-Tools Wireshark zur tiefergehenden Untersuchung. Nach der Installation von Wireshark öffnen Sie die gespeicherte Erfassungsdatei, um alle aufgezeichneten Pakete anzuzeigen.

Um gezielt die Kommunikation zwischen unserem Entwicklungsboard und dem iPhone zu analysieren, benötigen wir die WLAN-MAC-Adresse des Boards (verfügbar in der TeraTerm-Ausgabe: C4:AC:59:9C:64:38). Wenden Sie in Wireshark diesen Filter an:

wlan.ta == c4:ac:59:9c:64:38 || wlan.ra == c4:ac:59:9c:64:38

Dies zeigt alle Pakete an, die unser Zielgerät betreffen.

Durch Hinzufügen von eapol zu unserem Filter wird der kritische Vier-Wege-Handshake-Prozess aufgedeckt:

(wlan.ta == c4:ac:59:9c:64:38 || wlan.ra == c4:ac:59:9c:64:38) && eapol

Hier können wir die Handshake-Sequenz beobachten und die MAC-Adresse des iPhones (in unserem Fall 2A:55:20:2A:E7:82) identifizieren. Beachten Sie, dass iPhones ihre MAC-Adresse bei jeder Hotspot-Aktivierung ändern können, im Gegensatz zu festen Routern.

WLAN-Daten sind in der Regel verschlüsselt. Ohne den Sicherheitsschlüssel (SSID und Passwort) erscheinen einige Paket-Inhalte unleserlich (in Wireshark rot dargestellt). Um zu entschlüsseln, navigieren Sie zu Bearbeiten > Einstellungen > Protokolle > IEEE 802.11, aktivieren Sie die Entschlüsselung und geben Sie die korrekten Anmeldeinformationen ein.

Mit aktivierter Entschlüsselung können wir DHCP-Pakete mit folgendem Befehl untersuchen:

(wlan.ta == c4:ac:59:9c:64:38 || wlan.ra == c4:ac:59:9c:64:38) && dhcp

Dies zeigt die IP-Adresse (172.20.10.4), die unserem Entwicklungsboard zugewiesen wurde, was mit der TeraTerm-Ausgabe übereinstimmt und die Genauigkeit unserer Erfassung bestätigt.

Durch diesen Prozess haben wir erfolgreich WLAN-Kommunikationen erfasst und analysiert – von Verbindungs-Handshakes über verschlüsselte Datenübertragung bis hin zur IP-Zuweisung. Diese Methodik bietet eine Grundlage für das Verständnis drahtloser Netzwerke, wertvoll für die Sicherheitsforschung, Leistungsoptimierung und Fehlerbehebung.

Wichtige Hinweise:

• Überprüfen Sie MAC-Adressen sorgfältig
• Die korrekte Kanalauswahl ist entscheidend für eine erfolgreiche Erfassung
• Stellen Sie immer die ordnungsgemäße Autorisierung und die Einhaltung von Vorschriften sicher