Evil Twin Wi-Fi, Captive Portals и SSL Stripping Defense¶

Свързването към обществени безжични мрежи в хотели, летища, кафенета, конферентни центрове и транзитни салони излага вашите устройства на активно прихващане на физическа близост, известно като Evil Twin Wi-Fi атака. Използване на компактен мулти-радио хардуер, захранван с батерии, като например Wi-Fi Pineapple или лаптоп, работещ с hostapd демон на точка за безжичен достъп, противник, който се намира в рамките на 100 метра (328 фута), може да излъчва идентично мрежово име (SSID), наводняват легитимния рутер с подправени рамки за управление, които принудително прекъсват връзката с вашето устройство и подмамват вашата операционна система да се присъедини към тяхната отворена измамна гореща точка. След като се свърже, атакуващият обслужва клонирана захващаща начална страница на портала, предназначена да събира идентификационни данни за Google, Microsoft 365 или хотелска стая, да прихваща токени за активна сесия или да понижава шифрованите връзки.

Ако току-що сте въвели идентификационни данни за вход, корпоративно единично влизане (SSO) токени или номера на разплащателни карти в подозрителен начален екран на Wi-Fi на летището или в хотела, или ако вашият браузър внезапно мига предупреждение за несъответствие на сертификат, след като вашият Wi-Fi прекъсна и се свърза отново, трябва незабавно да прекъснете безжичната връзка и да изолирате акаунтите си през клетъчни данни. Ако се сблъскате с изнудване, активен корпоративен шпионаж или незабавно източване на финансови сметки, свържете се с правоприлагащите органи или се обадете на местния номер за спешни повиквания (911 в Съединените щати и Канада, 112 в целия Европейски съюз, 999 в Обединеното кралство), като използвате нашия глобален указател за номера за спешни случаи. За тясно свързани безжични и хардуерни заплахи за близост, консултирайте се с нашите ръководства за публичен Wi-Fi, горещи точки Evil Twin и защита от извличане на сок, Отвличане на DNS, преконфигуриране на WAN рутер на ISP и подправяне на прихванат портал, и MFA фишинг и заобикаляне на противник в средата.

Направете това сега¶

1. Изключете вашето Wi-Fi радио незабавно и изтрийте запазения мрежов профил. Деактивирайте незабавно Wi-Fi от горната лента на менюто на вашата операционна система или лентата с настройки. Отворете списъка със запазени мрежи, изберете хотел, летище или кафене SSID, и щракнете върху Забравете тази мрежа (или махнете отметката от Свързване автоматично), така че безжичната ви карта да спре да излъчва заявки за сонда и да не може автоматично да се свърже отново с измамното радио.
2. Преминете изключително към 4G/5G клетъчни данни или лична клетъчна гореща точка. Никога не използвайте локална Wi-Fi мрежа на мястото, за да промените паролите си или да проверите банковите си сметки. Активирайте клетъчната гореща точка на вашия смартфон с помощта на WPA3-Personal криптиране и свържете вашия лаптоп чрез физически USB-C кабел (USB Tethering) или криптиран личен Wi-Fi.
3. Отменете всички активни сесии за влизане и разрешения за OAuth, ако сте въвели идентификационни данни в начална страница. Ако портал за прихващане ви подкани да „Влезте с Google“, „Влезте с Microsoft“ или да въведете паролата си за имейл, за да получите безплатен Wi-Fi достъп, незабавно влезте в таблото за управление на сигурността на акаунта си от клетъчната си връзка. Прекратете всички активни уеб и мобилни сесии, отменете непозната трета страна OAuth токени за приложение и завъртете паролата си.
4. Проверете и изчистете основното хранилище на сертификати на вашата операционна система и MDM профилите. Ако Wi-Fi порталът ви подкани да изтеглите „Сертификат за мрежова сигурност“, .mobileconfig профил или помощна програма за свързване, премахнете го незабавно. Проверете Настройки > Общи > VPN и управление на устройства на iOS/macOS или certmgr.msc в Windows и изтрийте всеки непознат главен сертификатен орган (CA).
5. Изчистете локалния ARP кеш, кеша на DNS резолвера и активните сокети на браузъра. Дори след прекъсване на връзката с Evil Twin, отровена система за имена на домейни (DNS) записи и протокол за разрешаване на адреси (ARP) свързванията могат да се запазят в енергонезависимата памет. Бягай ipconfig /flushdns и arp -d * на Windows, или sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder на macOS, след това излезте напълно и рестартирайте уеб браузъра си.
6. Замразете всяка кредитна или дебитна карта, въведена в портал за измамни Wi-Fi таксувания. Нападателите често внедряват фалшиви портали за надграждане на самолети или хотели „Премиум високоскоростно ниво“, за да събират първични номера на сметки (PAN), срокове на годност и CVV кодове за сигурност. Заключете засегнатата карта в приложението си за мобилно банкиране и поискайте номер за смяна.

Дърво на решенията за триаж на инциденти с Evil Twin и captive portal¶

Използвайте тази диагностична блок-схема, за да оцените нивото на излагане след свързване към подозрителна безжична мрежа и изпълнете точните технически стъпки, необходими за ограничаване.

flowchart TD
    A["Свързан с Wi-Fi на съмнителен хотел, летище или кафене"] --> B["Изключете Wi-Fi незабавно и докоснете Забравете тази мрежа"]
    B --> C{"Какво се случи, докато сте свързани с мрежата?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Компрометиране на активни идентификационни данни и сесия"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Пълен компромис с TLS Man-in-the-Middle и Endpoint"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Активно TLS прихващане или SSL Stripping Exposure"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Ниска експозиция: Защитен от HSTS и TLS 1.3"]

    D --> D1["Преминете незабавно към 4G/5G клетъчни данни"]
    D1 --> D2["Отменете всички активни сесии и OAuth токени в Защита на акаунта"]
    D2 --> D3["Редувайте паролите и проверявайте правилата за автоматично препращане на имейли"]

    E --> E1["Прекъснете връзката с мрежата и активирайте самолетния режим на устройството"]
    E1 --> E2["Изтрийте Rogue Profile и Root CA от OS Certificate Store"]
    E2 --> E3["Да приемем, че целият трафик по време на сесията е прочетен в обикновен текст"]
    E3 --> D2

    F --> F1["Прочистете DNS и ARP кешовете на OS и рестартирайте браузъра"]
    F1 --> F2["Изчистване на всички бисквитки на браузъра и съхранение на сесии за разкрити сайтове"]
    F2 --> D2

    G --> G1["Изчистване на локалния DNS резолвер кеш и ARP таблица"]
    G1 --> G2["Деактивирайте автоматичното присъединяване на всички запазени публични SSID"]
    G2 --> G3["Активирайте WireGuard или OpenVPN със Strict Kill Switch"]

Анатомия на зъл близнак, наводнение за деавтентификация и атака на затворен портал¶

Много пътници предполагат, че тъй като хотел или кафене предоставя отпечатан WPA2-Personal парола на ръкава на картата или черната дъска, безжичната мрежа е криптирана и защитена от подслушване. Други приемат, че тяхното устройство естествено ще остане свързано към легитимната монтирана на тавана точка за достъп (AP), вместо да се свързва с рутер за раница на непознат. Разбиране как радиочестотата (RF) физика и IEEE 802.11 protocol operation обяснява защо и двете предположения се провалят по време на активна атака на Evil Twin.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Мулти-радиоразузнаване и събиране на сонди KARMA¶

Когато Wi-Fi радиото на вашия смартфон или лаптоп е включено на летище или кафене, безжичната мрежова интерфейсна карта (NIC) предава 802.11 Probe Request кадри през 2,4 GHz и 5 GHz канали. Нападател, работещ с платформа за одит с двойно радио, като например Hak5 Wi-Fi Pineapple, ESP32 Marauder или работещ лаптоп с Linux hostapd-mana слуша пасивно едното радио, докато предава по второто. Нападателят клонира точния идентификатор на набор от услуги (SSID, като напр Starbucks WiFi или MarriottBonvoy_Guest) и може също да клонира идентификатора на основния набор от услуги (BSSID, 48-битов хардуер MAC адрес на легитимния тавански рутер).

2. Принудително 802.11 деутентифициране и деасоцииране наводнения¶

Ако вашият лаптоп или телефон вече е свързан към мястото е легитимен WPA2 или отворен Wi-Fi рутер, той няма да превключи доброволно към Evil Twin на атакуващия, освен ако текущата му връзка не прекъсне. За да принуди вашето устройство да се изключи незабавно от легитимния рутер, атакуващият стартира Deauthentication Flood с помощта на инструменти като aireplay-ng, mdk4, или bettercap.

Под наследството IEEE 802.11 стандартен (преди задължителен 802.11w Защитени рамки за управление в WPA3), рамки за управление, включително Деавтентификация (Subtype 0xC0) и Диасоциация (Subtype 0xA0) се предават некриптирани и неавтентифицирани. Нападателят фалшифицира легитимния рутер BSSID и изпраща стотици фалшифицирани пакети за деавтентификация в секунда до вашето устройство MAC адрес. Вашата безжична карта се подчинява на командата за прекъсване на връзката. Тъй като нападателят седи наблизо (например на 3 метра [10 фута] и излъчва на -35 dBm, в сравнение с -70 dBm от тавана на хотела AP 20 метра [65 фута] надолу по коридора), алгоритъмът за роуминг на вашата операционна система незабавно се заключва към по-силното радио Evil Twin при повторно свързване.

3. Captive portal OS задейства отвличане и събиране на идентификационни данни¶

В момента, в който вашето устройство се асоциира със Злия близнак и получи локален IP адрес от този на нападателя dnsmasq DHCP сървър, вашата операционна система задейства некриптиран HTTP фонова сонда, за да провери дали мрежата изисква начална страница за влизане:

• Apple iOS, iPadOS и macOS: Изпраща HTTP GET към http://captive.apple.com/hotspot-detect.html очаквайки Success.
• Google Android и ChromeOS: Изпраща заявка до http://connectivitycheck.gstatic.com/generate_204 очаквайки HTTP 204 No Content.
• Microsoft Windows 10 и 11: Изпраща заявка до http://www.msftconnecttest.com/connecttest.txt очаквайки Microsoft Connect Test.

Нападателят прихваща този открит текст HTTP използване на сонда iptables или nftables превод на мрежов адрес (DNAT) и отговаря с an HTTP 302 Found пренасочва към техния локален уеб сървър. Вашият телефон или лаптоп автоматично изскача прозорец на минибраузър (Captive Network Assistant), показващ клонинг на екрана за влизане в хотелската верига или портал за влизане „Безплатен социален Wi-Fi“, предлагащ „Продължете с Google / Microsoft / Apple“. Ако се маршрутизира през рамка с обратен прокси, като напр Evilginx2, нападателят предава вашето потребителско име, парола и 6-цифрена еднократна парола (OTP) към реалния сървър за влизане в реално време и улавя вашата удостоверена сесийна бисквитка.

SSL отстраняване, HSTS байпаси и проверка на веригата на TLS сертификат¶

След като нападател контролира вашия мрежов шлюз чрез точка за достъп Evil Twin или локално ARP отравяне, основната им пречка е Сигурността на транспортния слой (TLS / HTTPS). Когато вашият браузър се свърже с https://login.microsoftonline.com, TLS криптира HTTP полезния товар от край до край между вашия браузър и сървърите на Microsoft. За да победят или заобиколят това криптиране, операторите на Evil Twin използват три различни техники.

Как да проверите верига от TLS сертификати¶

Ако браузърът ви показва „Вашата връзка не е частна“ (NET::ERR_CERT_AUTHORITY_INVALID или SEC_ERROR_UNKNOWN_ISSUER), никога не кликвайте върху „Напред към сайта“:

1. Задействайте портала за прихващане през обикновен текст HTTP: Отворете http://neverssl.com или http://captive.apple.com за да заредите началния екран на мястото чисто, без да заобикаляте HTTPS предупреждение.
2. Проверете издателя на сертификата: След като сте онлайн, презаредете своя HTTPS раздел. Ако грешката остане, вижте полето Издадено от на сертификата. Законните сайтове използват обществени CA (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Ако емитентът каже mitmproxy, Fortinet, Self-Signedили неизвестен локален CA, незабавно прекъснете връзката.

Стъпка по стъпка одит на операционната система: премахване на измамни сертификати и профили¶

Ако фалшив портал за прихващане ви е подмамил да инсталирате сертификат или профил, премахнете го от операционната си система, преди да смените паролите:

1. Apple iOS и iPadOS (iPhone / iPad)¶

1. Премахване на конфигурационни профили: Отворете Настройки > Общи > VPN и управление на устройства. Докоснете всеки непознат профил под Профили за конфигурация, докоснете Премахване на профил и въведете паролата си.
2. Деактивирайте пълното доверие за основните сертификати: Отворете Настройки > Общи > Информация > Настройки за доверие на сертификата. Под Активиране на пълно доверие за основни сертификати превключете на ИЗКЛЮЧЕНО всеки некорпоративен сертификат.

2. Apple macOS (MacBook / iMac)¶

1. Профили за проверка: Отворете Системни настройки > Общи > Управление на устройства и премахнете всички неизвестни профили, като използвате минуса (-) бутон.
2. Проверка на достъпа до Keychain: Отворете Keychain Access, изберете ключодържателите System и login, щракнете върху Certificates и изтрийте всеки непознат Root CA или персонализирана замяна на доверие, добавена на датата, на която сте се присъединили към обществената Wi-Fi.

3. Microsoft Windows 10 и Windows 11¶

1. Отворете магазините за сертификати: Натиснете Win + R, бягай certmgr.msc (Текущ потребител) и след това стартирайте certlm.msc (Локална машина).
2. Проверете доверените главни сертифициращи органи: Разгънете Доверени основни сертифициращи органи > Сертификати. Щракнете с десния бутон и Изтрийте всеки непознат издател (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxyи AOSP)¶

1. Проверете потребителските сертификати: Отворете Настройки > Сигурност и поверителност > Още сигурност и поверителност > Шифроване и идентификационни данни > Доверени идентификационни данни и докоснете раздела Потребител.
2. Премахване на Rogue Credentials: Личен телефон с Android трябва да има празен раздел Потребител. Докоснете всеки непознат сертификат и изберете Премахване или докоснете Изчистване на идентификационните данни.

Подправяне на MAC адреси на прихванати портали: обидна злоупотреба и защитно втвърдяване¶

Всяка безжична мрежова карта има 48-битов хардуер Media Access Control (MAC) адрес (като напр A4:83:E7:2B:91:0C), предавани в нешифрованата заглавка на всеки 802.11 рамка. Повечето портали за прихващане на хотели, летища и по време на полет проследяват платени или удостоверени гости, като добавят техните MAC адрес към списък с разрешени шлюзи.

Как нападателите злоупотребяват с MAC спуфинг в обществени мрежи¶

Нападател, изпълняващ пасивно наблюдение (airodump-ng или Kismet) може да види всеки активен клиент MAC адрес на точката за достъп:

1. Безплатна измама с фактуриране и фактуриране: Нападателят открива активен клиент, който вече е платил за Wi-Fi достъп и стартира macchanger -m <Victim_MAC> wlan0 (Linux) или sudo ifconfig en0 ether <Victim_MAC> (macOS), за да клонирате този на жертвата MAC адрес.
2. Сблъсък на сесии и деавтентификация: Споделяне на същото MAC адресирайте причините ARP и сблъсъци при превключване, или нападателят изпраща насочени рамки за деавтентификация, за да извади плащащия гост офлайн, докато отвлича неговата платена сесия.
3. Заобикаляне на времеви ограничения: Завъртане към нов произволен MAC адресът нулира броячите на прихванатия портал за „Безплатна 30-минутна пробна версия“.

Как да конфигурирате частни / рандомизирани MAC адреси¶

Излъчване на вашата постоянна фабрика MAC адрес в 802.11 probe requests позволява на маяците на дребно и преследвачите да проследяват вашите физически движения. Проверете дали MAC Address Randomization е активно:

• iOS и iPadOS (iOS 18+): Отворете Настройки > Wi-Fi, докоснете (i) до мрежата и задайте Частен Wi-Fi адрес на Въртящ се или Фиксиран.
• macOS (macOS Sequoia 15+): Отворете Системни настройки > Wi-Fi, щракнете върху Подробности... и задайте Частен Wi-Fi адрес на Въртящ се или Фиксиран.
• Android (Android 10+): Отворете Настройки > Мрежа и интернет > Интернет, докоснете иконата на зъбно колело до мрежата, докоснете Поверителност и изберете Използване на случаен MAC.
• Windows 10 и 11: Отворете Настройки > Мрежа и интернет > Wi-Fi и превключете Произволни хардуерни адреси на Включено.

Защита срещу принудително автоматично присъединяване, KARMA атаки и подправяне на SSID¶

Най-силната защита срещу наводнение при деавтентификация на Evil Twin е да се уверите, че вашето устройство никога няма да се присъедини автоматично към отворена или запазена обществена Wi-Fi мрежа. Когато се присъедините Starbucks WiFi, attwifi, или Airport_Free_WiFi веднъж вашето устройство го запазва SSID в неговия Списък с предпочитани мрежи (PNL) с Auto-Join активиран. По-късно Wi-Fi Pineapple на атакуващ може да излъчи това SSID с нулево криптиране и заснемете вашето устройство за милисекунди.

Контролен списък за втвърдяване на задължителен Wi-Fi Auto-Join¶

1. Изчистване на общи публични SSID от запазени мрежи:
2. iOS / iPadOS: Настройки > Wi-Fi > Редактиране > изтрийте всички мрежи на хотели, летища и кафенета под Известни мрежи.
3. macOS: Системни настройки > Wi-Fi > Разширени... > щракнете ... до обществени горещи точки и щракнете върху Премахване от списъка.
4. Windows 11: Настройки > Мрежа и интернет > Wi-Fi > Управление на известни мрежи > щракнете върху Забравяне в обществени мрежи.
5. Android: Настройки > Мрежа и интернет > Интернет > Запазени мрежи > докоснете Забравяне.
6. Деактивирайте „Автоматично присъединяване“ във временни мрежи на място: Всеки път, когато използвате Wi-Fi в хотел или конференция, незабавно превключете Автоматично присъединяване (или Свързване автоматично) на ИЗКЛЮЧЕНО. Ако нападател изпрати наводнение за деавтентификация, вашето устройство ще се върне обратно към 4G/5G клетъчна мрежа, вместо да скочи върху Evil Twin.
7. Деактивирайте автоматичното сканиране на гореща точка: Изключете ИЗКЛЮЧЕНО Автоматично включване на Wi-Fi на Android и задайте Искане за присъединяване към мрежи на Изключено на iOS.

Безопасна архитектура за пътуване: Клетъчни горещи точки, USB тетъринг и WireGuard / OpenVPN¶

Ниво 1 (златен стандарт): 4G/5G клетъчна гореща точка за смартфон чрез USB кабел или WPA3¶

Клетъчни мрежи (4G LTE и 5G NR) използвайте хардуер SIM/eSIM криптографско удостоверяване и не може да бъде деавтентифицирано от Wi-Fi Pineapple:

• Кабелен USB тетъринг (нулево радиочестотно облъчване): Свържете телефона си с вашия лаптоп чрез USB-C и активирайте Лична точка за достъп / USB тетъринг, като Wi-Fi радиото на вашия лаптоп е ИЗКЛЮЧЕНО.
• Безжична лична точка за достъп с WPA3-Personal: Задайте парола от 16+ знака и проверете WPA3-Personal (SAE) криптиране, което налага Защитени рамки за управление (802.11w) за блокиране на наводнения за деавтентификация.

Ниво 2: Недоверен Wi-Fi на място, обвит в WireGuard или OpenVPN тунел с Kill Switch¶

Ако клетъчното приемане не е налично и трябва да използвате Wi-Fi на място:

1. Първо разрешете Captive Portal: Поставете на пауза своя VPN за 30 секунди, присъединете се към Wi-Fi на мястото, навигирайте стриктно до http://neverssl.comи приемете условията, без да въвеждате истински OAuth пароли.
2. Включете WireGuard или OpenVPN с превключвател за изключване на OS: Включете своя WireGuard (ChaCha20-Poly1305) или OpenVPN (AES-256-GCM) клиент със своя Kill Switch активен, така че всички TCP/UDP пакети и DNS заявките се криптират преди да достигнат до локалния рутер.
3. Заобикаляне на UDP блокирането: Ако защитна стена на хотел блокира стандартни VPN портове (UDP 51820 или UDP 1194), превключете своя VPN клиент на OpenVPN през TCP порт 443.

Глобални доклади и официални органи за киберсигурност¶

Ако сте насочени към атака на Evil Twin, водеща до неоторизиран корпоративен достъп, финансови измами или кражба на самоличност, докладвайте за инцидента както на екипа за управление/сигурност на мястото (така че техният ИТ екип да може да локализира фалшивия хардуер чрез физическа триангулация на сигнала), така и на вашата национална агенция за киберпрестъпления:

• Съединени щати: Подайте незабавна жалба за киберпрестъпления до Центъра за жалби за интернет престъпления на ФБР (IC3) при ic3.gov и докладвайте за инфраструктурни заплахи на Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) при cisa.gov/report. За кражба на самоличност на потребител, подайте на IdentityTheft.gov.
• Обединено кралство: Докладвайте за кибератаки и кражба на идентификационни данни на Action Fraud на actionfraud.police.uk (или се обадете 0300 123 2040; в Шотландия, обадете се на шотландската полиция 101) и се консултирайте с ръководството за техническо отстраняване от Националния център за киберсигурност (NCSC).
• Канада: Докладвайте компромиса на Канадския център за борба с измамите (CAFC) (1-888-495-8501) и Канадския център за киберсигурност (CCCS).
• Европейски съюз: Докладвайте престъплението на вашия национален полицейски отдел за киберпрестъпления и националния Екип за реагиране при инциденти с компютърната сигурност (CSIRT) координиран от ENISA и Europol EC3.
• Австралия и Нова Зеландия: В Австралия подайте сигнал чрез Австралийската дирекция за сигнали (ASD) ReportCyber портал на cyber.gov.au (1300 292 371). В Нова Зеландия докладвайте на CERT NZ / NCSC NZ на адрес cert.govt.nz (0800 237 869).
• Азиатско-тихоокеански регион: В Сингапур докладвайте на сингапурските полицейски сили (SPF) Anti-Scam Center и SingCERT (csa.gov.sg). В Япония се свържете с Бюро за консултации по киберпрестъпления на префектурната полиция (#9110) и JPCERT/CC.

Често задавани въпроси¶

Как мога да разбера дали Wi-Fi мрежата на хотела или кафенето на моя екран е истинският рутер или Evil Twin?¶

Не можете да различите легитимна точка за достъп от Evil Twin просто като погледнете името на мрежата (SSID) или сигнални ленти във вашето стандартно Wi-Fi меню, защото нападател може да дублира точния правопис и да излъчи по-силен сигнал точно до вашето място. Винаги питайте член на персонала на рецепцията или гишето за точното официално име на мрежата, независимо дали изисква a WPA2/WPA3 парола или е напълно отворен и какво иска началният екран за влизане. Ако видите две отделни мрежи с абсолютно едно и също име, едната показва икона на катинар (криптирана), а другата не показва икона на катинар (отворена), отворената мрежа почти сигурно е капан на Evil Twin, предназначен да хване вашето устройство чрез наводнение за деавтентификация.

Защо браузърът ми показа грешка в сертификата „Връзката не е частна“ в момента, в който се присъединих към Wi-Fi на хотела?¶

Когато за първи път се присъедините към легитимна хотелска или летищна Wi-Fi мрежа, преди да завършите влизането в началния екран, локалният рутер прихваща целия изходящ трафик, за да ви пренасочи към своята портална страница за прихващане. Ако първият раздел на браузъра, който се опитвате да обновите, е шифрован HTTPS уебсайт (като напр https://google.com), рутерът на хотела прихваща порт 443 и представя собствен сертификат за локален портал за прихващане, който не съответства на сертификата на Google и задейства предупреждение на браузъра. Никога не кликвайте върху „Продължи въпреки това“ върху това предупреждение; вместо това отворете нов раздел и въведете http://neverssl.com или http://captive.apple.com така че началният екран на хотела се зарежда чисто и некриптиран HTTP, попълнете споразумението за портала и след това проверете дали вашият HTTPS разделите се зареждат без никакви предупреждения за сертификат.

Включването на моята VPN защитава ли ме напълно от гореща точка на Evil Twin?¶

Работи одитирана виртуална частна мрежа (VPN). WireGuard или OpenVPN с активен Kill Switch криптира целия ви мрежов трафик и DNS заявки в удостоверен тунел, като напълно спира оператора на Evil Twin да чете вашите данни или да фалшифицира уебсайтове, след като VPN тунелът е установен. VPN обаче не може да ви защити по време на 30-секундния прозорец, когато трябва да поставите VPN на пауза, за да щракнете върху началната страница на портала за прихващане на хотела, нито може да ви защити, ако ръчно въведете вашата истинска парола за имейл или номер на кредитна карта във фалшив формуляр за фишинг на прихванат портал.

Какво представлява IEEE 802.11w (защитени рамки за управление) и спира ли наводненията при деутентификация?¶

IEEE 802.11w (Защитени рамки за управление или PMF) е стандарт за безжична сигурност, който добавя криптографска автентификация и защита при повторно възпроизвеждане към кадри за управление 802.11, включително Деавтентификация и Разединение пакети. На наследство WPA2 мрежи без PMF, атакуващият може да фалшифицира MAC адреса на рутера и да изгони всеки клиент от мрежата по желание. На модерните WPA3-Лично и WPA3-Enterprise мрежи (където 802.11w е строго задължително), вашето устройство криптографски проверява кадрите за управление и безшумно отхвърля неавтентифицирани пакети за деавтентификация от Wi-Fi Pineapple.

Ако се свържа с Evil Twin за пет минути, но само преглеждах HTTPS уебсайтове и не въвеждах нищо в портал, паролите ми откраднати ли са?¶

Не, ако не сте въвели идентификационни данни във фалшив портал за прихващане, не сте инсталирали фалшив основен сертификат или конфигурационен профил и не сте кликнали след предупреждения за TLS сертификат на браузъра, модерен TLS 1.3 криптиране и HTTP строга транспортна сигурност (HSTS) попречи на оператора на Evil Twin да прочете вашите пароли, сесийни бисквитки или съдържание на уеб страница. В най-лошия случай пасивен оператор Evil Twin без фалшив Root CA може да види само индикацията за име на сървъра (SNI) заглавки или DNS заявки, показващи с кои имена на домейни от първо ниво се е свързало вашето устройство, преди да прекъснете връзката.

По-безопасно ли е да използвате имейл адрес за записване, когато портал за прихващане на кафене или летище изисква имейл, за да влезе онлайн?¶

Да, когато легитимно кафене, летище или портал за прихващане на дребно ви помоли да въведете имейл адрес, за да получите 60 минути безплатен Wi-Fi, никога не трябва да въвеждате основния си личен или корпоративен имейл адрес или каквато и да е истинска парола за акаунт. Повечето прихванати портали не потвърждават собствеността върху имейла, преди да отворят интернет портата (или ви дават 5 до 10 минути гратисен прозорец, за да щракнете върху връзка за потвърждение), така че използването на псевдоним за еднократна употреба (като Apple Скриване на моя имейл, SimpleLogin или нечувствителен адрес за изхвърляне) не позволява на маркетинговите проследяващи и операторите на Evil Twin да извлекат истинската ви самоличност.

Свързани ръководства¶

• Обществен Wi-Fi, горещи точки Evil Twin и защита от извличане на сок
• Отвличане на DNS, преконфигуриране на WAN рутер на ISP и подправяне на прихванат портал
• MFA фишинг и заобикаляне на противник в средата
• Фишинг на OAuth съгласие, предоставяне на злонамерени приложения на трети страни и отмяна на API токени
• Физическа намеса на Evil Maid, парола за зареждане на BIOS на лаптоп в хотелска стая и Thunderbolt DMA защита

Източници и официални указания¶

• Агенция за киберсигурност и сигурност на инфраструктурата (CISA) и Агенция за национална сигурност (NSA, Съединени щати): Избор и укрепване на VPN решения за отдалечен достъп и Най-добри практики за мобилни устройства за пътуващи и високорисков персонал.
• Национален институт за стандарти и технологии (NIST, Съединени щати): Насоки за защита на безжични локални мрежи (WLAN) (Специална публикация на NIST 800-153) и Архитектура с нулево доверие (NIST SP 800-207).
• Национален център за киберсигурност (NCSC, Обединеното кралство): Безопасно използване на публичен Wi-Fi, Ръководство за сигурност на устройството на крайния потребител (EUD) и управление на доверието на сертификата.
• Агенция на Европейския съюз за киберсигурност (ENISA, Европейски съюз): Насоки за защита на точки за безжичен достъп, портали за прихващане и крайни точки за мобилни предприятия.
• Институт на инженерите по електротехника и електроника (IEEE, Международен): Спецификация на IEEE Std 802.11-2020 и IEEE 802.11w Protected Management Frames (PMF).
• Специална група за интернет инженеринг (IETF, International): RFC 6797 (HTTP Strict Transport Security / HSTS) и RFC 8952 (Captive Portal Architecture).