Skip to content

Evil Twin Wi-Fi, Captive Portals en SSL-stroopverdediging

Noodnommers verskil volgens land. Hierdie bladsy gebruik 911, die nommer vir die Verenigde State en Kanada. Baie ander lande gebruik 112, 999 of 'n ander nommer. Vind die nommer vir jou land.

As jy aan openbare draadlose netwerke by hotelle, lughawens, koffiewinkels, konferensiesentrums en transito-sitkamers koppel, stel jy jou toestelle bloot aan aktiewe fisieke-naby-onderskepping bekend as 'n Evil Twin Wi-Fi-aanval. Gebruik kompakte, battery-aangedrewe multi-radio hardeware soos 'n Wi-Fi Pineapple of 'n skootrekenaar wat die hostapd draadlose toegangspunt daemon, 'n teëstander wat binne 100 meter (328 voet) sit, kan 'n identiese netwerknaam uitsaai (SSID), oorstroom die wettige router met vervalste bestuursrame wat jou toestel met geweld ontkoppel, en jou bedryfstelsel mislei om by hul oop skelm-hotspot aan te sluit. Sodra dit gekoppel is, bedien die aanvaller 'n gekloonde gevange-portaal-spatbladsy wat ontwerp is om Google, Microsoft 365 of hotelkamerbewyse te oes, aktiewe sessietokens te onderskep, of geënkripteerde verbindings af te gradeer.

As jy sopas aanmeldbewyse ingevoer het, korporatiewe enkelaanmelding (SSO) tokens, of betaalkaartnommers in 'n verdagte lughawe- of hotel-Wi-Fi-spatskerm, of as jou blaaier skielik 'n sertifikaat-mismatch-waarskuwing geflits het nadat jou Wi-Fi gedaal en weer gekoppel is, moet jy die draadlose skakel onmiddellik verbreek en jou rekeninge oor sellulêre data isoleer. As jy afpersing, aktiewe korporatiewe spioenasie of onmiddellike dreinering van finansiële rekeninge ervaar, kontak wetstoepassing of bel jou plaaslike noodnommer (911 in die Verenigde State en Kanada, 112 regoor die Europese Unie, 999 in die Verenigde Koninkryk) deur ons globale gids van noodnommers. Vir nou verwante draadlose en hardeware nabyheidsbedreigings, raadpleeg ons gidse oor openbare Wi-Fi, Evil Twin-hotspots, en sap jacking verdediging, DNS-kaping, ISP-roeteerder WAN-herkonfigurasie en gevange-portaal-spoofing, en MFA-uitvissing en teëstander-in-die-middel-omleiding.

Doen dit nou

  1. Skakel jou Wi-Fi-radio onmiddellik af en vee die gestoorde netwerkprofiel uit. Deaktiveer Wi-Fi dadelik vanaf jou bedryfstelsel se boonste kieslysbalk of instellingsbalk. Maak jou lys van gestoorde netwerke oop, kies die hotel, lughawe of koffiewinkel SSID, en klik Vergeet hierdie netwerk (of ontmerk Koppel outomaties aan) sodat jou draadlose kaart ophou om ondersoekversoeke uit te saai en nie outomaties weer aan die skelm radio kan koppel nie.
  2. Skakel uitsluitlik oor na 4G/5G-sellulêre data of 'n persoonlike sellulêre warmkol. Moet nooit enige plaaslike Wi-Fi-netwerk by die lokaal gebruik om jou wagwoorde te verander of jou bankrekeninge na te gaan nie. Aktiveer jou slimfoon sellulêre hotspot deur WPA3-Personal enkripsie en koppel jou skootrekenaar via 'n fisiese USB-C-kabel (USB Tethering) of geïnkripteer persoonlike Wi-Fi.
  3. Herroep alle aktiewe aanmeldsessies en OAuth-toelaes as jy geloofsbriewe in 'n splash-bladsy ingetik het. As 'n gevange-portaal jou gevra het om "Teken aan met Google," "Meld aan met Microsoft," of voer jou e-poswagwoord in om gratis Wi-Fi-toegang te kry, meld onmiddellik by jou rekeningsekuriteitkontroleskerm van jou sellulêre verbinding af. Beëindig alle aktiewe web- en mobiele sessies, herroep onbekende derdeparty OAuth toepassingstekens, en draai jou wagwoord.
  4. Inspekteer en maak jou bedryfstelsel se wortelsertifikaatwinkel- en MDM-profiele skoon. As die Wi-Fi-portaal jou gevra het om 'n "Netwerksekuriteitsertifikaat" af te laai, .mobileconfig profiel, of verbindingshulpprogram, verwyder dit onmiddellik. Gaan Instellings > Algemeen > Skynprivaatnetwerk en toestelbestuur op iOS/macOS of certmgr.msc op Windows en verwyder enige onbekende wortelsertifikaatowerheid (CA).
  5. ** Spoel jou plaaslike ARP-kas, DNS-oplosser-kas en aktiewe blaaiervoetstukke uit.** Selfs nadat jy van 'n Evil Twin ontkoppel is, vergiftigde domeinnaamstelsel (DNS) rekords en adresresolusieprotokol (ARP) bindings kan voortduur in vlugtige geheue. Hardloop ipconfig /flushdns en arp -d * op Windows, of sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder op macOS, sluit dan heeltemal af en herbegin jou webblaaier.
  6. Vries enige krediet- of debietkaart wat by 'n bedrieglike Wi-Fi-faktureringsportaal ingevoer is. Aanvallers ontplooi gereeld vals lugredery-in-vlug- of hotel-"Premium High-Speed Tier"-opgraderingsportale om primêre rekeningnommers te oes (PAN), vervaldatums, en CVV sekuriteitskodes. Sluit die geaffekteerde kaart in jou mobiele banktoepassing en versoek 'n vervangingsnommer.

Moet nooit 'n wortelsertifikaat of konfigurasieprofiel installeer om by openbare Wi-Fi aan te sluit nie

Geen wettige hotel-, koffiewinkel-, lughawe- of lugredery-Wi-Fi-netwerk vereis ooit dat 'n gas 'n X.509 Root Certificate Authority (CA), 'n mobiele toestelbestuur (.mobileconfig) profiel, of 'n uitvoerbare installeerder (.exe, .dmg, .apk) om aanlyn te kom. As jy 'n aanvaller se self-ondertekende Root CA installeer, kan hul Evil Twin-instaanbediener vervalste TLS-sertifikate vir enige bank-, e-pos- of korporatiewe domein op die internet dinamies maak en 100 persent van jou HTTPS verkeer in reële tyd sonder om 'n enkele blaaierwaarskuwing te aktiveer.

Bose tweeling en gevangene-portaal-voorval-besluitnemingsboom

Gebruik hierdie diagnostiese vloeidiagram om jou blootstellingsvlak te evalueer nadat jy aan 'n verdagte draadlose netwerk gekoppel is en voer die presiese tegniese inperkingstappe uit wat vereis word.

flowchart TD
    A["Gekoppel aan Wi-Fi vir verdagte hotel, lughawe of kafee"] --> B["Skakel Wi-Fi onmiddellik af en tik op Vergeet hierdie netwerk"]
    B --> C{"Wat het gebeur terwyl jy aan die netwerk gekoppel is?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Aktiewe geloofsbriewe en sessie-kompromie"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Volledige TLS-man-in-die-middel en eindpunt-kompromie"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Aktiewe TLS-onderskepping of SSL-stroopblootstelling"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Lae blootstelling: Beskerm deur HSTS en TLS 1.3"]

    D --> D1["Skakel onmiddellik oor na 4G/5G sellulêre data"]
    D1 --> D2["Herroep alle aktiewe sessies en OAuth-tokens in rekeningsekuriteit"]
    D2 --> D3["Draai wagwoorde en oudit e-pos-outomatiese aanstuurreëls"]

    E --> E1["Ontkoppel netwerk en aktiveer vliegtuigmodus op toestel"]
    E1 --> E2["Vee Rogue Profile en Root CA uit OS Certificate Store"]
    E2 --> E3["Aanvaar alle verkeer tydens sessie is in gewone teks gelees"]
    E3 --> D2

    F --> F1["Spoel OS DNS- en ARP-kas en herbegin blaaier"]
    F1 --> F2["Vee alle blaaierkoekies en sessieberging vir blootgestelde werwe uit"]
    F2 --> D2

    G --> G1["Spoel plaaslike DNS-resolverkas en ARP-tabel uit"]
    G1 --> G2["Deaktiveer outomatiese aansluiting op alle gestoorde publieke SSID's"]
    G2 --> G3["Aktiveer WireGuard of OpenVPN met Strict Kill Switch"]

Anatomie van 'n bose tweeling, de-authentiseringsvloed, en gevange portaalaanval

Baie reisigers neem aan dat omdat 'n hotel of koffiewinkel 'n gedrukte WPA2-Personal wagwoord op 'n sleutelkaarthuls of -bord, is die draadlose netwerk geïnkripteer en veilig teen afluistering. Ander neem aan dat hul toestel natuurlik gekoppel sal bly aan die wettige plafon-gemonteerde toegangspunt (AP) eerder as om aan 'n vreemdeling se rugsakroeteerder te koppel. Verstaan ​​hoe radiofrekwensie (RF) fisika en die IEEE 802.11 protokol werk verduidelik waarom beide aannames misluk tydens 'n aktiewe Evil Twin-aanval.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Multi-radio verkenning en KARMA sonde oes

Wanneer jou slimfoon of skootrekenaar sy Wi-Fi-radio in 'n lughawe of kafee aangeskakel het, sal die draadlose netwerk-koppelvlakkaart (NIC) stuur 802.11 Probe Request-rame oor 2,4 GHz- en 5 GHz-kanale. 'n Aanvaller wat 'n dubbelradio-ouditplatform bedryf soos 'n Hak5 Wi-Fi Pineapple, 'n ESP32 Marauder, of 'n Linux-skootrekenaar wat loop hostapd-mana luister passief op een radio terwyl dit op die tweede uitsaai. Die aanvaller kloon die presiese Service Set Identifier (SSID, soos Starbucks WiFi of MarriottBonvoy_Guest) en kan ook die Basiese Diensstel-identifiseerder kloon (BSSID, die 48-bis hardeware MAC adres van die wettige plafonroeteerder).

2. Geforseerde 802.11 de-autentisering en disassosiasie vloede

As jou skootrekenaar of foon reeds aan die lokaal se wettige gekoppel is WPA2 of Wi-Fi-roeteerder oopmaak, sal dit nie vrywillig oorskakel na die aanvaller se Evil Twin nie, tensy sy huidige verbinding misluk. Om jou toestel onmiddellik van die wettige roeteerder af te dwing, loods die aanvaller 'n Deauthentication Flood deur nutsmiddels soos aireplay-ng, mdk4, of bettercap.

Onder die nalatenskap IEEE 802.11 standaard (voor verpligtend 802.11w Beskermde bestuursrame in WPA3), bestuursrame insluitend De-autentisering (Subtype 0xC0) en Disassosiasie (Subtype 0xA0) word ongeënkripteer en ongewaarmerk versend. Die aanvaller bedrieg die wettige router s'n BSSID en stuur honderde vervalste de-authentiseringspakkies per sekonde na jou toestel s'n MAC adres. Jou draadlose kaart gehoorsaam die ontkoppelbevel. Omdat die aanvaller naby sit (byvoorbeeld 3 meter [10 voet] weg en uitsaai by -35 dBm, in vergelyking met -70 dBm vanaf die hotelplafon AP 20 meter [65 voet] in die gang af), sluit jou bedryfstelsel se roaming-algoritme dadelik aan op die sterker Evil Twin-radio wanneer jy weer koppel.

3. Gevange-portaal-bedryfstelsel-snellerkaping en geloofsbriewe

Die oomblik dat jou toestel met die Evil Twin assosieer en 'n plaaslike IP-adres van die aanvaller s'n ontvang dnsmasq DHCP-bediener, jou bedryfstelsel vuur 'n ongeënkripteerde HTTP agtergrondsonde om te kyk of die netwerk 'n aanmeld-spatbladsy benodig:

  • Apple iOS, iPadOS en macOS: Stuur HTTP GET aan http://captive.apple.com/hotspot-detect.html verwag Success.
  • Google Android en ChromeOS: Stuur 'n versoek aan http://connectivitycheck.gstatic.com/generate_204 verwag HTTP 204 No Content.
  • Microsoft Windows 10 en 11: Stuur 'n versoek aan http://www.msftconnecttest.com/connecttest.txt verwag Microsoft Connect Test.

Die aanvaller onderskep hierdie gewone teks HTTP sonde gebruik iptables of nftables netwerk adres vertaling (DNAT) en antwoord met 'n HTTP 302 Found herlei na hul plaaslike webbediener. Jou foon of skootrekenaar laat outomaties 'n miniblaaiervenster (Captive Network Assistant) verskyn wat 'n kloon van die hotelketting-aantekenskerm vertoon of 'n "Gratis Sosiale Wi-Fi"-aantekenhek wat "Gaan voort met Google / Microsoft / Apple" aanbied. As dit deur 'n omgekeerde proxy-raamwerk gelei word, soos Evilginx2, stuur die aanvaller jou gebruikersnaam, wagwoord en 6-syfer eenmalige wagwoord (OTP) na die regte aanmeldbediener intyds en vang jou geverifieerde sessiekoekie vas.

The WPA2-Personal Pre-Shared Key (PSK) "Hole 196" Insider Threat

Selfs al is jy gekoppel aan die wettige koffiewinkel of hotelroeteerder met 'n gedeelde WPA2-Personal wagwoord gedruk op jou kwitansie, jou plaaslike verkeer is nie van ander gaste geïsoleer nie, tensy die venue onderneming Client Isolation geaktiveer het nie. Enige iemand wat die publiek ken WPA2 wagwoord en vang jou 4-rigting EAPOL-handdruk op die oomblik wat jy koppel kan jou draadlose rame oor die lug dekripteer, of gebruik ARP Spoofing (arpspoof / ettercap) en IPv6-roeteerderadvertensie (RA) Spoofing om hul skootrekenaar te posisioneer as die Man-in-the-Middle-poort vir elke ander gas op daardie subnet.

SSL-stroop, HSTS-omleidings en TLS-sertifikaatkettingverifikasie

Sodra 'n aanvaller jou netwerkpoort beheer via 'n Evil Twin-toegangspunt of plaaslik ARP vergiftiging, hul primêre struikelblok is Vervoerlaagsekuriteit (TLS / HTTPS). Wanneer jou blaaier koppel aan https://login.microsoftonline.com, TLS enkripteer die HTTP-loonvrag end-tot-end tussen jou blaaier en Microsoft se bedieners. Om hierdie enkripsie te verslaan of te omseil, gebruik Evil Twin-operateurs drie verskillende tegnieke.

Aanval tegniek Hoe die teëstander dit uitvoer Wat die slagoffer op die skerm sien Moderne blaaier / OS-verdediging
Klassieke SSL-stroop (sslstrip) Gebruikerstipes bank.com in adresbalk (verstek na http://). Aanvaller onderskep die HTTP 301 herlei na https://, haal die HTTPS webwerf self, en dien 'n ongeënkripteerde http://bank.com weergawe aan die slagoffer. Geen hangslotikoon in adresbalk nie; URL begin met http:// of gebruik 'n soortgelyke domein (https://login-bank.com). Slegs HTTPS-modus en HSTS-voorlaailyste dwing die blaaier om te begin HTTPS op die heel eerste pakkie sonder om 'n HTTP versoek.
HSTS Cache-Busting / Homograph Redirect (sslstrip2) Aanvaller herskryf skakels op 'n ongeënkripteerde bladsy vanaf https://www.chase.com aan http://wwww.chase.com (ekstra w) of 'n Punycode-domein wat nie in die blaaier se HSTS-voorlaaitabel gelys is nie, gee dan die verkeer na die regte webwerf. Effens veranderde subdomein (wwww. of secure-login.) met nr HTTPS enkripsie of 'n aanvaller-uitgereikte Let's Encrypt-sertifikaat vir 'n tikfoutdomein. Die gebruik van 'n Wagwoordbestuurder of FIDO2 Wagsleutel wat streng gebind is aan die presiese geregistreerde domein (chase.com) weier om outovul op gelyksoortige domeine.
** Aktiewe TLS Man-in-die-Middel (mitmproxy / Valse CA)** Aanvaller onderskep TCP-poort 443 direk en bied 'n selfondertekende of vervalste TLS-sertifikaat aan wat beweer dat dit die bestemmingbediener is. Volskermblaaierblok: NET::ERR_CERT_AUTHORITY_INVALID of MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT. HSTS (HTTP Strict Transport Security) verwyder die "Gaan in elk geval voort"-omseilknoppie op voorafgelaaide domeine sodat gebruikers nie deur die waarskuwing kan klik nie.

Hoe om 'n TLS-sertifikaatketting te inspekteer

As jou blaaier "Jou verbinding is nie privaat nie" vertoon (NET::ERR_CERT_AUTHORITY_INVALID of SEC_ERROR_UNKNOWN_ISSUER), moet nooit "Gaan voort na werf" klik nie:

  1. Snelleer die gevange-portaal oor gewone teks HTTP: Maak oop http://neverssl.com of http://captive.apple.com om die venue spatskerm skoon te laai sonder om 'n HTTPS waarskuwing.
  2. Inspekteer die sertifikaatuitreiker: Sodra jy aanlyn is, herlaai jou HTTPS oortjie. As 'n fout bly, kyk na die sertifikaat se Uitgereik deur-veld. Wettige werwe gebruik publieke CA's (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). As die uitreiker sê mitmproxy, Fortinet, Self-Signed, of 'n onbekende plaaslike CA, ontkoppel onmiddellik.

Stap-vir-stap bedryfstelsel oudit: verwydering van skelm sertifikate en profiele

As 'n vals gevangeneportaal jou mislei het om 'n sertifikaat of profiel te installeer, stroop dit uit jou bedryfstelsel voordat jy wagwoorde draai:

1. Apple iOS en iPadOS (iPhone / iPad)

  1. Verwyder konfigurasieprofiele: Maak Instellings > Algemeen > Skynprivaatnetwerk en toestelbestuur oop. Tik op enige onbekende profiel onder Konfigurasieprofiele, tik Verwyder profiel, en voer jou wagwoordkode in.
  2. Deaktiveer volle vertroue vir wortelsertifikate: Maak Instellings > Algemeen > Meer oor > Sertifikaattrustinstellings oop. Onder Aktiveer volle vertroue vir wortelsertifikate, skakel AF enige nie-korporatiewe sertifikaat.

2. Apple macOS (MacBook / iMac)

  1. Ouditprofiele: Maak Stelselinstellings > Algemeen > Toestelbestuur oop en verwyder enige onbekende profiel deur die minus (-) knoppie.
  2. Oorgaan Sleutelhouertoegang: Maak Sleutelhangertoegang oop, kies die Stelsel en login sleutelhouers, klik Sertifikate, en vee enige onbekende Root CA of gepasmaakte trust-vernieling uit wat bygevoeg is op die datum waarop jy by die publieke Wi-Fi aangesluit het.

3. Microsoft Windows 10 en Windows 11

  1. Oop sertifikaatwinkels: Druk Win + R, hardloop certmgr.msc (Huidige gebruiker), en hardloop dan certlm.msc (Plaaslike masjien).
  2. Inspekteer betroubare wortelsertifiseringsowerhede: Vou uit Betroubare wortelsertifiseringsowerhede > Sertifikate. Regskliek en Verwyder enige onbekende uitreiker (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxy, en AOSP)

  1. Gaan Gebruikersertifikate na: Maak Instellings > Sekuriteit en privaatheid > Meer sekuriteit en privaatheid > Enkripsie en geloofsbriewe > Vertroude geloofsbriewe oop en tik die Gebruiker-oortjie.
  2. Verwyder Rogue Credentials: 'n Persoonlike Android-foon moet 'n leë Gebruiker-oortjie hê. Tik op enige onbekende sertifikaat en kies Verwyder, of tik op Vee eiebewyse uit.

MAC-adres spoofing op gevange portale: aanstootlike misbruik en defensiewe verharding

Elke draadlose netwerkkaart het 'n 48-bis hardeware Mediatoegangsbeheer (MAC) adres (soos A4:83:E7:2B:91:0C) versend in die ongeënkripteerde kop van elke 802.11 raam. Die meeste hotel-, lughawe- en in-vlug-gevangenskapportale volg betaalde of gewaarmerkte gaste deur hul MAC adres na 'n gateway-toelaatlys.

Hoe aanvallers MAC-spoofing op openbare netwerke misbruik

'n Aanvaller wat passiewe monitering uitvoer (airodump-ng of Kismet) kan elke aktiewe kliënt bekyk MAC adres op die toegangspunt:

  1. Gratis Piggybacking en Billing Bedrog: Die aanvaller sien 'n aktiewe kliënt wat reeds vir Wi-Fi-toegang betaal het en loop macchanger -m <Victim_MAC> wlan0 (Linux) of sudo ifconfig en0 ether <Victim_MAC> (macOS) om die slagoffer s'n te kloon MAC adres.
  2. Sessiebotsing en de-authentisering: Deel dieselfde MAC oorsake aanspreek ARP en skakel botsings, of die aanvaller stuur geteikende ontwaarmerkingsrame om die betalende gas vanlyn te slaan terwyl hy hul betaalde sessie kap.
  3. ** Tydsbeperkings omseil:** Draai na 'n nuwe ewekansige MAC adres herstel "Gratis 30-minute proeftydperk" gevange portaal tellers.

Hoe om privaat / gerandomiseerde MAC-adresse op te stel

Uitsaai jou permanente fabriek MAC adres in 802.11 ondersoekversoeke laat kleinhandelbakens en stalkers toe om jou fisiese bewegings op te spoor. Verifieer dat MAC-adres-randomisering aktief is:

  • iOS en iPadOS (iOS 18+): Maak Instellings > Wi-Fi oop, tik (i) langs die netwerk, en stel Privaat Wi-Fi-adres op Roterende of Vaste.
  • macOS (macOS Sequoia 15+): Maak Stelselinstellings > Wi-Fi oop, klik Besonderhede..., en stel Privaat Wi-Fi-adres na Roterende of Vaste.
  • Android (Android 10+): Maak Instellings > Netwerk en internet > Internet oop, tik die rat-ikoon langs die netwerk, tik Privaatheid, en kies Gebruik ewekansige MAC.
  • Windows 10 en 11: Maak Instellings > Netwerk en internet > Wi-Fi oop en skakel Ewekansige hardeware-adresse na Aan.

Verdedig teen gedwonge outo-aansluiting, KARMA-aanvalle en SSID-spoofing

Die sterkste verdediging teen 'n Evil Twin-ontwaarmerkingsvloed is om seker te maak dat jou toestel nooit outomaties by 'n oop of gestoorde openbare Wi-Fi-netwerk aansluit nie. Wanneer jy aansluit Starbucks WiFi, attwifi, of Airport_Free_WiFi een keer stoor jou toestel dit SSID in sy Voorkeurnetwerklys (PNL) met Auto-Join aangeskakel. Later kan 'n aanvaller se Wi-Fi Pineapple dit uitsaai SSID met nul enkripsie en vang jou toestel in millisekondes vas.

Verpligte Wi-Fi Outo-aansluiting verharding kontrolelys

  1. Suiwer generiese publieke SSID's uit gestoorde netwerke:
  2. iOS / iPadOS: Instellings > Wi-Fi > Wysig > vee alle hotel-, lughawe- en kafeenetwerke uit onder Bekende netwerke.
  3. macOS: Stelselinstellings > Wi-Fi > Gevorderd... > klik ... langs publieke hotspots en klik Verwyder uit lys.
  4. Windows 11: Instellings > Netwerk en internet > Wi-Fi > Bestuur bekende netwerke > klik Vergeet op publieke netwerke.
  5. Android: Instellings > Netwerk en internet > Internet > Gestoorde netwerke > tik op Vergeet.
  6. Deaktiveer "Outo-aansluiting" op tydelike lokaalnetwerke: Wanneer jy hotel- of konferensie-Wi-Fi gebruik, skakel Outo-aansluiting (of Koppel outomaties aan) onmiddellik na AF. As 'n aanvaller 'n de-authentiseringsvloed stuur, sal jou toestel terugval na 4G/5G sellulêr eerder as om op die Evil Twin te spring.
  7. Deaktiveer outomatiese hotspot-skandering: Skakel AF Skakel Wi-Fi outomaties aan op Android en stel Vra om by netwerke aan te sluit na Af op iOS.

Veilige argitektuur vir reis: sellulêre hotspots, USB-verbinding en WireGuard / OpenVPN

Vlak 1 (Goud Standaard): Slimfoon 4G/5G sellulêre hotspot via USB-kabel of WPA3

Sellulêre netwerke (4G LTE en 5G NR) gebruik hardeware SIM/eSIM kriptografiese verifikasie en kan nie deur 'n Wi-Fi Pineapple gedeauthentiseer word nie:

  • Draad-USB-verbinding (nul RF-blootstelling): Koppel jou foon aan jou skootrekenaar via USB-C en aktiveer Persoonlike warmkol / USB-verbinding met jou skootrekenaar se Wi-Fi-radio AF geskakel.
  • ** Draadlose persoonlike hotspot met WPA3-Personal:** Stel 'n 16+ karakter wagfrase en verifieer WPA3-Persoonlike (SAE) enkripsie, wat Beskermde Bestuursrame afdwing (802.11w) om ontwaarmerkingsvloede te blokkeer.

Vlak 2: Onvertroude plek-Wi-Fi toegedraai in 'n WireGuard- of OpenVPN-tonnel met Kill Switch

As sellulêre ontvangs nie beskikbaar is nie en jy moet lokaal Wi-Fi gebruik:

  1. ** Los eers die Captive Portal op:** Onderbreek jou VPN vir 30 sekondes, sluit aan by die lokaal Wi-Fi, navigeer streng na http://neverssl.com, en aanvaar die bepalings sonder om regte OAuth-wagwoorde in te voer.
  2. Betrek WireGuard of OpenVPN met 'n OS Kill Switch: Skakel jou WireGuard aan (ChaCha20-Poly1305) of OpenVPN (AES-256-GCM) kliënt met sy Kill Switch aktief sodat alle TCP/UDP-pakkies en DNS navrae word geïnkripteer voordat dit die plaaslike router bereik.
  3. Omseil UDP-blokkering: As 'n hotel-firewall standaard VPN-poorte blokkeer (UDP 51820 of UDP 1194), skakel jou VPN-kliënt na OpenVPN oor TCP Port 443.

Gebruik FIDO2-hardeware-sekuriteitsleutels of -wagsleutels op publieke netwerke

As jy by 'n rekening moet aanmeld terwyl jy op reis is, staaf met 'n FIDO2 / WebAuthn Wagsleutel of 'n fisiese hardeware sekuriteitsleutel (soos 'n YubiKey). Anders as 6-syfer-SMS- of Authenticator-kodes, wat intyds uitgeviss kan word deur 'n Evilginx2 gevange portaal-instaanbediener, FIDO2-kriptografiese handtekeninge is wiskundig gebind aan die presiese TLS-domeinoorsprong in jou blaaier. Selfs as 'n aanvaller 'n identiese valse aanmeldportaal op 'n Evil Twin-hotspot bou, sal jou YubiKey of Wagsleutel weier om die verifikasie-uitdaging te onderteken omdat die domeinoorsprong nie ooreenstem nie.

Wêreldwye verslaggewing en amptelike kuberveiligheidsowerhede

As jy geteiken word deur 'n Evil Twin-aanval wat lei tot ongemagtigde korporatiewe toegang, finansiële draadbedrog, of identiteitsdiefstal, rapporteer die voorval beide by die lokaal se bestuur/sekuriteitspan (sodat hul IT-span die skelm hardeware kan opspoor deur fisiese seintriangulasie) en aan jou nasionale kubermisdaadagentskap:

  • Verenigde State: Dien 'n onmiddellike kubermisdaadklag in by die FBI Internet Crime Complaint Centre (IC3) by ic3.gov en rapporteer infrastruktuurbedreigings aan die Cybersecurity and Infrastructure Security Agency (CISA) by cisa.gov/report. Vir verbruikersidentiteitsdiefstal, liasseer by IdentityTheft.gov.
  • Verenigde Koninkryk: Meld kuberaanvalle en geloofsbriewediefstal aan by Aksiebedrog by actionfraud.police.uk (of bel 0300 123 2040; in Skotland, bel Polisie Skotland op 101) en raadpleeg tegniese remediëringsleiding van die Nasionale Kuberveiligheidsentrum (NCSC).
  • Kanada: Rapporteer die kompromie aan die Kanadese Anti-Bedrog Sentrum (CAFC) (1-888-495-8501) en die Kanadese Sentrum vir Kuberveiligheid (CCCS).
  • Europese Unie: Rapporteer die misdaad by jou nasionale polisie se kubermisdaadeenheid en nasionale Rekenaarsekuriteitvoorvalreaksiespan (CSIRT) gekoördineer onder ENISA en Europol EC3.
  • Australië en Nieu-Seeland: In Australië, dien 'n verslag deur die Australian Signals Directorate (ASD) ReportCyber-portaal by cyber.gov.au (1300 292 371). In Nieu-Seeland, meld aan by CERT NZ / NCSC NZ by cert.govt.nz (0800 237 869).
  • Asië-Stille Oseaan: In Singapoer, rapporteer aan die Singapoer-polisiemag (SPF) Anti-Scam Centre en SingCERT (csa.gov.sg). In Japan, kontak die Prefectural Police Cybercrime Consultation Desk (#9110) en JPCERT/CC.

Gereelde vrae

Hoe kan ek weet of die hotel- of koffiewinkel-Wi-Fi-netwerk op my skerm die regte router of 'n Evil Twin is?

Jy kan nie 'n wettige toegangspunt van 'n Evil Twin onderskei deur bloot na die netwerknaam te kyk nie (SSID) of seinbalkies in jou standaard Wi-Fi-kieslys, want 'n aanvaller kan die presiese spelling dupliseer en 'n sterker sein reg langs jou sitplek uitsaai. Vra altyd 'n personeellid by die ontvangstoonbank of toonbank vir die presiese amptelike netwerknaam, of dit 'n vereis WPA2/WPA3 wagwoord of heeltemal oop is, en waarvoor die aanmeldskerm vra. As jy twee afsonderlike netwerke met presies dieselfde naam sien, een wat 'n hangslot-ikoon (geïnkripteer) en 'n ander wat geen hangslot-ikoon (oop) wys nie, is die oop netwerk byna seker 'n Evil Twin-lokval wat ontwerp is om jou toestel via 'n de-authentiseringsvloed te vang.

Hoekom het my blaaier 'n "Verbinding is nie privaat nie"-sertifikaatfout gewys die oomblik toe ek by hotel Wi-Fi aangesluit het?

Wanneer jy eers by 'n wettige hotel- of lughawe-Wi-Fi-netwerk aansluit voordat jy sy aanmelding op die plonsskerm voltooi het, onderskep die plaaslike roeteerder alle uitgaande verkeer om jou na sy gevange-portaalbladsy te herlei. As die eerste blaaieroortjie wat jy probeer verfris 'n geïnkripteer is HTTPS webwerf (soos https://google.com), onderskep die hotelroeteerder poort 443 en bied sy eie plaaslike portaalsertifikaat aan, wat nie ooreenstem met Google se sertifikaat nie en 'n blaaierwaarskuwing veroorsaak. Moet nooit "Gaan voort in elk geval" op daardie waarskuwing klik nie; maak eerder 'n nuwe oortjie oop en tik http://neverssl.com of http://captive.apple.com so die hotel spatskerm laai skoon oor ongeënkripteer HTTP, voltooi die portaalooreenkoms en verifieer dan dat u HTTPS oortjies laai sonder enige sertifikaatwaarskuwings.

Beskerm die aanskakel van my VPN my heeltemal teen 'n Evil Twin-hotspot?

'n Geouditeerde virtuele privaat netwerk (VPN) loop WireGuard of OpenVPN met 'n aktiewe Kill Switch enkripteer al jou netwerkverkeer en DNS-navrae binne 'n geverifieerde tonnel, wat 'n Evil Twin-operateur heeltemal keer om jou data te lees of webwerwe te bedrieg sodra die VPN-tonnel gevestig is. 'n Skynprivaatnetwerk kan jou egter nie tydens die 30-sekonde-venster beskerm wanneer jy die VPN moet onderbreek om deur die hotel se gevange-portaal-spatbladsy te klik nie, en dit kan jou ook nie beskerm as jy jou regte e-poswagwoord of kredietkaartnommer handmatig in 'n vals gevange-portaal-uitvissingvorm intik nie.

Wat is IEEE 802.11w (Beskermde Bestuursrame), en stop dit ontwaarmerkingsvloede?

IEEE 802.11w (Protected Management Frames, of PMF) is 'n draadlose sekuriteitstandaard wat kriptografiese verifikasie en herspeelbeskerming by 802.11 bestuursrame voeg, insluitend De-autentisering en Disassosiasie pakkies. Op nalatenskap WPA2 netwerke sonder PMF, kan 'n aanvaller die router se MAC-adres vervals en enige kliënt na goeddunke van die netwerk afskop. Op moderne WPA3-Persoonlik en WPA3-Onderneming netwerke (waar 802.11w is streng verpligtend), verifieer jou toestel kriptografies bestuursrame en gooi ongeverifieerde ontwaarmerkingspakkies van 'n Wi-Fi Pynappel stilweg weg.

As ek vir vyf minute aan 'n Evil Twin gekoppel het, maar net deur HTTPS-webwerwe geblaai het en niks in 'n portaal ingetik het nie, is my wagwoorde gesteel?

Nee, as jy nie geloofsbriewe in 'n vals gevange-portaal ingevoer het nie, nie 'n skelm wortelsertifikaat of konfigurasieprofiel geïnstalleer het nie, en nie verby enige waarskuwings vir blaaier-TLS-sertifikaat geklik het nie, modern TLS 1.3 enkripsie en HTTP Streng Transport Security (HSTS) het die Evil Twin-operateur verhoed om jou wagwoorde, sessiekoekies of webbladsy-inhoud te lees. In die ergste geval kan 'n passiewe Evil Twin-operateur sonder 'n skelm wortel-CA slegs die bedienernaam-aanduiding (SNI) opskrifte of DNS-navrae wat wys watter topvlakdomeinname jou toestel gekontak het voordat jy ontkoppel het.

Is dit veiliger om 'n brander-e-posadres te gebruik wanneer 'n kafee of lughaweportaal 'n e-pos vra om aanlyn te kom?

Ja, wanneer 'n wettige koffiewinkel, lughawe of kleinhandelportaal jou vra om 'n e-posadres in te voer om 60 minute se gratis Wi-Fi te ontvang, moet jy nooit jou primêre persoonlike of korporatiewe e-posadres of enige regte rekeningwagwoord invoer nie. Die meeste gevange-portale verifieer nie e-poseienaarskap voordat die internethek oopgemaak word nie (of gee jou 'n 5-tot-10-minute grasievenster om 'n verifikasieskakel te klik), gebruik dus 'n weggooibare alias (soos Apple) Versteek my e-pos, SimpleLogin, of 'n nie-sensitiewe weggooi-adres) verhoed dat bemarkingsspoorsnyers en Evil Twin-operateurs jou regte identiteit oes.

Verwante gidse

Bronne en amptelike leiding

  • Cybersecurity and Infrastructure Security Agency (CISA) & National Security Agency (NSA, Verenigde State): Kies en verharding van afstandtoegang-VPN-oplossings en Mobiele toestel-beste praktyke vir reisigers en hoërisikopersoneel.
  • Nasionale Instituut vir Standaarde en Tegnologie (NIST, Verenigde State): Riglyne vir die beveiliging van draadlose plaaslike areanetwerke (WLAN'e) (NIST Spesiale Publikasie 800-153) en Zero Trust Architecture (NIST SP 800-207).
  • Nasionale Kubersekuriteitsentrum (NCSC, Verenigde Koninkryk): Gebruik publieke Wi-Fi Veilig, Eindgebruikertoestelle (EUD) Sekuriteitsleiding, en Sertifikaattrustbestuur.
  • Europese Unie-agentskap vir kuberveiligheid (ENISA, Europese Unie): Riglyne oor die beveiliging van draadlose toegangspunte, gevange-portale en mobiele onderneming-eindpunte.
  • Instituut vir Elektriese en Elektroniese Ingenieurs (IEEE, Internasionaal): IEEE Std 802.11-2020 en IEEE 802.11w Protected Management Frames (PMF) Spesifikasie.
  • Internetingenieurstaakspan (IETF, Internasionaal): RFC 6797 (HTTP Streng Vervoersekuriteit / HSTS) en RFC 8952 (Captive Portal Architecture).