L’obiettivo di questo progetto è di realizzare una macchina da penetration test basata su Raspberry Pi. Abbiamo già parlato diffusamente delle criticità a livello di sicurezza che affliggono questa board e che abbiamo cercato di ridurre il più possibile con questo articolo.

Specifiche del progetto

• Realizzazione di una Penetration Test Machine (PTM) basata su Raspberry Pi con componenti esclusivamente disponibili in commercio (no custom hardware e/o custom software/firmware).
• La PTM dev’essere facilmente trasportabile e occultabile.
• ll budget per i materiali dell’intero progetto non deve superare i 130 euro.
• La configurazione della PTM dev’essere il più semplice possibile e adatta anche a persone non troppo esperte.

 

 

Considerazioni iniziali

Adesso che abbiamo messo su carta gli obiettivi del nostro progetto, iniziano già ad arrivare le prime insidie da risolvere. Le criticità più grandi inerenti al foglio specifiche sono essenzialmente due: il punto 3 e il punto 4. Il punto tre non ci consente di fare errori di valutazione e, assolutamente, non è consentito farsi prendere la mano dagli acquisti. Non giriamoci attorno: è un budget che, se siamo fortunati, ci basta al pelo. In questi casi, il primo istinto potrebbe essere quello di buttarsi su componentistica economica, ma anche qui rischieremmo di commettere un madornale errore: tutto ciò che è esageratamente economico, rischia di generare problemi di affidabilità o incompatibilità. Problemi che non possiamo permetterci, perché il cliente ha già chiarito in fase di accordo che non toccherà il budget per nessun motivo. In sostanza, se sbagliamo, non c’è margine per fare acquisti ulteriori e dovremmo pagare di tasca nostra.

L’altro problema è il punto 4: la cybersecurity non è un ambito particolarmente adatto ai principianti. Occorre avere in tasca diversi concetti e sapersi districare bene sia con la configurazione del sistema operativo, sia con le reti informatiche.

Bene, dopo le opportune considerazioni, è tempo di procurarci il materiale necessario per assemblare la Penetration Test Machine.

Eccovi una possibile lista congrua con il budget a disposizione:

1) Raspberry Pi 4 (4GB): 75 euro
2) Memoria SD da 32 GB: 9,99 euro
3) Raspberry Pi Case: 11,99 euro
4) Alimentatore ufficiale Raspberry Pi Foundation: 14,90 euro
5) Adattatore Wireless: 9,99 euro.

Il totale della spesa è di circa 122 euro. Come abbiamo ampiamente spiegato poc’anzi, il budget è stato speso quasi interamente. Avremmo potuto risparmiare qualcosa evitando l’acquisto dell’adattatore wireless, ma una Penetration Test Machine che si rispetti deve poter garantire la creazione di un access point che permetta di connettersi al dispositivo anche da distanza. Sebbene il modulo wireless integrato nel Raspberry Pi possa essere più che sufficiente, un dongle supplementare aumenta la stabilità e il range di distanza per poter effettuare una connessione migliore.

Se state pensando di evitare l’acquisto di un case ventilato che comprenda anche i dissipatori passivi, è un’opzione che sconsigliamo fortemente. Disporre di un case con sistema di ventilazione superiore è sempre da preferirsi, perché non potete mai essere sicuri della bontà effettiva della board che riceverete. Abbiamo avuto modo di testare decine di board e, alcune, scaldano più di altre. Una board che, di fabbrica, tende ad avere temperature di esercizio più elevate sotto stress, potrebbe avere alla lunga problemi di affidabilità. L’elemento che più tende a scaldare è proprio il modulo wi-fi integrato e se la board andasse in protezione nel bel mezzo di un Penetration Test, sarebbe un vero e proprio disastro.

 

 

Esistono in commercio alimentatori che costano qualche euro meno rispetto a quello ufficiale, ma tendono a non funzionare a dovere. Meglio mettersi al riparo da sgradite sorprese e acquistare direttamente il componente che funziona meglio in assoluto. Tenete presente che il Raspberry Pi è molto sensibile ai problemi di alimentazione e, spesso, malfunzionamenti apparentemente di difficile risoluzione derivano proprio da un PSU non ottimale.

Per quello che riguardala memoria SD, abbiamo scelto una marca perfettamente compatibile con il Raspberry Pi e dalle ottime prestazioni. Se volete avere un’idea, potete consultare il nostro articolo sul benchmark delle micro SD per Raspberry Pi 4. Se invece siete curiosi, abbiamo scritto un articolo che vi spiega quali siano i parametri da tenere in considerazione nella scelta di una micro SD e perché. Potete trovarlo qui,

Se vi state chiedendo per quale motivo non abbiamo scelto il Raspberry Pi 4 in configurazione da 8 GB, la risposta non è strettamente connessa con il suo prezzo. Vero è che brucerebbe da solo quasi la totalità del budget (costa sui 90 euro), ma è altrettanto vero che non c’è ragione di dotarsi delle massime prestazioni per un progetto di questo genere. Non fatevi prendere dalla foga e lasciatelo sullo scaffale.

Dunque, abbiamo rispettato il budget e abbiamo acquisito le parti che ci serviranno per comporre la Penetration Test Machine. Ma come tutti ben sappiamo, una scatola piena di circuiti collegata alla presa di corrente è solo un bel soprammobile. Dopo aver completato il punto 3 rispettando il budget prefissato per i materiali, muoviamo vittoriosi verso il punto 4, ovvero la scelta del sistema operativo più adatto alle nostre esigenze.

La specifica ci impone di mettere a punto qualcosa che sia semplice e accessibile anche da utenti non troppo esperti. Questo vuol dire ridurre al minimo la programmazione e i passaggi dell’installazione della suite software che ci occorre per poter utilizzare effettivamente la nostra PTM. A questo proposito, scegliamo una strada differente da quella di installare Raspberry Pi OS e i relativi programmi adatti al nostro scopo. Optiamo, questa volta, per una distro di Linux espressamente concepita per questo tipo di lavoro: Kali Linux.

Il Sistema Operativo

Come detto poc’anzi, Kali Linux non è affatto una scelta casuale. Questa distribuzione Debian based, infatti, è stata espressamente creata per macchine adibite a procedure come il penetration testing, il reverse engineering e a tutto ciò che concerne l’ambito della sicurezza informatica. Attualmente, a livello open source, non esiste nulla di simile e minimamente paragonabile. Inoltre, per piattaforme basate su chipset ARM come il Raspberry Pi 4, sono state compilate delle iso già pronte e perfettamente calibrate per questo tipo di dispositivi.

L’elemento più interessante di Kali Linux, però, sono senz’altro i software che formano un vero e proprio “arsenale” per questa tipologia di lavoro. Sono divisi per categorie e vi basta selezionare i Programmi per trovarli tutti a portata di mano. A seconda dei test che vorrete fare, sarà già tutto a portata di mano, senza dover perdere ore  a cercare le migliori versioni di questo o quest’altro programma, per poi capire come installarli al meglio.

Per farvi un esempio, uno dei problemi più comuni all’interno di una rete aziendale, è la cronica pigrizia e superficialità di alcuni dipendenti che, per noncuranza, settano password facili da ricordare e decisamente banali. Ancora oggi, purtroppo, gran parte dei problemi di cybersecurity aziendali derivano da parole chiave non adatte a contesti professionali. Vi sorprenderebbe quanti, ancora oggi, utilizzano chiavi come “password” o “123456“. Purtroppo, nonostante la cultura della sicurezza informatica si stia elevando, permangono alcune situazioni di criticità. Ed è a questo che serve fare tutti questi test: a capire dove sia la falla che rischia di far imbarcare acqua e affondare la nave.

Programmi come John The Ripper (perfetto per trovare password fragili), Nmap (port scanner e ping sweeper), Hydra (potentissimo login cracker) o Metasploit Framework (analizzatore di rete), sono già presenti all’interno della distribuzione, assieme a moltissimi altri. Di fatto, installando Kali Linux, abbiamo a disposizione tutto ciò che ci occorre senza dover ricorrere a ricerche on line su come installare gran parte dell’applicativo.

Oltretutto, come specifica progettuale richiede, occorre utilizzare un Sistema Operativo che sia fruibile anche dai non esperti. Su questo, Kali Linux è davvero imbattibile: la documentazione è scritta in maniera semplice, con tante immagini e tutti i comandi che occorrono per poter allestire facilmente un sistema operativo per questo tipo di operazioni.

Installazione di Kali Linux

Installare Kali Linux su Raspberry Pi è analogo all’installazione di qualsiasi altro sistema operativo.

Ecco l’elenco di tutto ciò che vi occorre:

• Memoria micro SD.
• Multi card reader USB.
• Software Balena Etcher.
• File iso di Kali Linux per piattaforme basate su ARM.

A questo punto abbiamo due strade: creare la micro SD da Sistema Operativo Windows oppure da distribuzione Linux.

In entrambi i casi, è sufficiente scaricare il file eseguibile, selezionando opportunamente la versione del Sistema Operativo dal menù a tendina, scaricandolo e installandolo. Una volta inserita la micro SD nel computer tramite l’adattatore USB, occorrerà scaricare la distibuzione di Kali Linux direttamente dal sito. A questo punto, avviamo Balena Etcher e selezioniamo l’immagine della distro appena scaricata, il reader USB come drive di destinazione, selezioniamo “Flash!” e aspettiamo che finisca il lavoro.

Attenzione: Balena Etcher non è velocissimo nell’esecuzione del processo, perché a differenza di tanti altri software, va a verificare l’integrità del lavoro appena svolto.

A procedimento concluso, rimuovete l’USB e siamo pronti per il passaggio successivo, che analizzeremo nel dettaglio nella terza parte dell’editoriale.

Abbiamo deciso di dividere la guida in due parti, per darvi modo di divertirvi nella ricerca dei componenti e nel montaggio della PTM vera e propria. Prendetevi il vostro tempo e fatelo divertendovi. Nel mentre, prima di buttarvi a capofitto nella configurazione che vi proporremo a breve, potete iniziare a prendere familiarità con Kali Linux. A proposito: una Penetration Test Machine che si rispetti, dev’essere a sua volta sicura. Date un’occhiata al nostro articolo precedente sulle criticità di Raspberry Pi!

 

Iscrivetevi ai nostri gruppi Telegram…

• Gruppo Maker Italia
• Canale Offerte per prodotti maker