Protegendo uma Rede Nintendo Homepass

Question

Alguns usuários do Nintendo 3DS vêm configurando pontos de acesso sem fio para enganar seu console portátil e tratar o AP como um ponto de acesso oficial do "Nintendo Zone". Isso ficou conhecido como uma configuração "Homepass". A típica configuração Homepass AP do Linux envolve a execução de hostapd em uma NIC sem fio com o SSID "NZ @ McD1" e um endereço MAC falsificado. A rede sem fio é então NAT para uma segunda placa de rede conectada à sua rede doméstica, permitindo tráfego de rede de saída. No passado, os usuários conseguiam criptografar esse AP com uma senha para impedir o acesso não autorizado. Uma atualização recente do sistema operacional 3DS alterou os requisitos para que o AP não tenha nenhuma criptografia. Por causa disso, os usuários do Homepass devem encontrar outras maneiras de restringir o AP.

Uma captura de pacote de uma troca 3DS Homepass mostra as consultas DNS para o seguinte:

conntest.nintendowifi.net
nppl.c.app.nintendowifi.net
npdl.cdn.nintendowifi.net

Com base no fato de que há apenas alguns domínios que precisam ser acessados e como são os mesmos domínios sempre, aqui está como eu estou pensando que o AP deve ser restrito:

• Configure um DNS de cache no AP, que resolve apenas as consultas no domínio nintendowifi.net . Isso deve impedir qualquer IP sobre DNS.
• Qualquer pacote de entrada na interface do AP deve ser destinado ao DNS de armazenamento em cache mencionado anteriormente ou sair para um dos domínios listados acima. Todo o resto deve ser descartado.

Esse tipo de configuração é possível? Se sim, qual seria a melhor maneira de fazer isso? Além disso, há algo faltando aqui em termos de restrição de acesso?

    

Answer 1

Eu não tenho experiência com a Nintendo Wireless (se alguém quiser comprar algum equipamento da Nintendo para testá-lo, não me importo de ganhar experiência!).

No entanto, se você está tentando restringir as conexões sem fio pelo hostapd, eu tenho experiência com isso:

Edite seu arquivo hostapd e adicione as seguintes linhas:

macaddr_acl=1

accept_mac_file=/etc/hostapd/hostapd-mac.accept

Se você já tiver definido a linha de cima como 0, mude para 1.

Em seguida, crie o arquivo /etc/hostapd/hostapd-mac.accept e coloque o endereço MAC do seu dispositivo lá.

Endereços MAC podem ser falsificados, mas isso deve impedir a conexão da pessoa comum.

Para segurança adicional e sua pergunta, você realmente precisa saber exatamente a que hosts seu dispositivo Nintendo se conecta e restringi-los, pois qualquer tipo de Internet aberta está sujeita a abusos - mesmo que você bloqueie DNS, eu sempre posso me conectar a um VPN via IP somente e depois túnel fora ...

    

Answer 2

As zonas da Nintendo podem ser descriptografadas ou criptografadas. A situação dos firmwares 9.2 e anteriores era que, o 3DS se conectaria a nzone ssids que foram designados para serem descriptografados mesmo quando a criptografia estiver em vigor, e esses ssids por acaso incluem attwifi / NZ @ McD1 etc. Nos firmwares posteriores, esses acessos os pontos não são mais considerados como nzones válidos.

Os ssids designados para usar criptografia, fazem isso com senhas predefinidas armazenadas no próprio 3DS, portanto, qualquer tentativa de falsificação deve ser feita com as mesmas senhas.