Evil Twin Wi-Fi, portals captius i SSL Stripping Defense¶

La connexió a xarxes sense fil públiques d'hotels, aeroports, cafeteries, centres de conferències i sales de trànsit exposa els vostres dispositius a una intercepció activa de proximitat física coneguda com a atac Evil Twin Wi-Fi. Ús de maquinari multi-ràdio compacte alimentat amb bateria, com ara un Wi-Fi Pineapple o un ordinador portàtil amb hostapd dimoni del punt d'accés sense fil, un adversari assegut a menys de 100 metres (328 peus) pot emetre un nom de xarxa idèntic (SSID), inunda l'encaminador legítim amb marcs de gestió falsificats que desconnecten per força el teu dispositiu i enganyen el teu sistema operatiu perquè s'uneixi al seu punt d'accés canalla obert. Un cop connectat, l'atacant ofereix una pàgina de presentació del portal captiu clonada dissenyada per recollir credencials de Google, Microsoft 365 o de l'habitació d'hotel, interceptar fitxes de sessió actives o baixar les connexions xifrades.

Si acabeu d'introduir les credencials d'inici de sessió, l'inici de sessió únic corporatiu (SSO) o números de targeta de pagament a la pantalla de presentació de Wi-Fi d'un aeroport o d'un hotel sospitós, o si el vostre navegador va mostrar de sobte un avís de no coincidència de certificat després que la vostra Wi-Fi es va caure i es torni a connectar, heu de tallar l'enllaç sense fil immediatament i aïllar els vostres comptes a través de les dades mòbils. Si experimenteu extorsió, espionatge actiu corporatiu o esgotament de comptes financers immediat, poseu-vos en contacte amb les forces de l'ordre o truqueu al vostre número d'emergència local (911 als Estats Units i Canadà, 112 a tota la Unió Europea, 999 al Regne Unit) mitjançant el nostre directori global de números d'emergència. Per a amenaces de proximitat sense fil i maquinari molt relacionades, consulteu les nostres guies Wi-Fi pública, punts d'accés Evil Twin i defensa contra la presa de suc, Segrest de DNS, reconfiguració de WAN de l'encaminador ISP i falsificació de portal captiu, i Suplantació d'identitat MFA i bypass de l'adversari al mig.

Fes això ara¶

1. Apaga la ràdio Wi-Fi immediatament i suprimeix el perfil de xarxa desat. Desactiveu la Wi-Fi des de la barra de menú superior del sistema operatiu o de la safata de configuració immediatament. Obriu la vostra llista de xarxes desades, seleccioneu l'hotel, l'aeroport o la cafeteria SSID, i feu clic a Oblida aquesta xarxa (o desmarca Connecta automàticament) perquè la teva targeta sense fil deixi d'emetre sol·licituds de sondeig i no pugui tornar-se a connectar automàticament a la ràdio canalla.
2. Canvia exclusivament a dades mòbils 4G/5G o a un punt d'accés mòbil personal. No utilitzis mai cap xarxa Wi-Fi local al lloc per canviar les teves contrasenyes o comprovar els teus comptes bancaris. Activeu el punt d'accés mòbil del vostre telèfon intel·ligent mitjançant WPA3-Personal xifratge i connecteu el vostre ordinador portàtil mitjançant un cable físic USB-C (USB Tethering) o Wi-Fi personal xifrat.
3. Revoca totes les sessions d'inici de sessió actives i les subvencions d'OAuth si has escrit les credencials en una pàgina de presentació. Si un portal captiu us va demanar que "Inicieu la sessió amb Google", "Inicieu la sessió amb Microsoft" o introduïu la vostra contrasenya de correu electrònic per obtenir accés gratuït a la Wi-Fi, inicieu sessió al tauler de seguretat del vostre compte des de la vostra connexió mòbil immediatament. Finalitzeu totes les sessions web i mòbils actives, revoqueu tercers desconeguts OAuth fitxes d'aplicació i gireu la vostra contrasenya.
4. Inspeccioneu i purgueu el vostre sistema operatiu Root Certificate Store i els perfils MDM. Si el portal Wi-Fi us va demanar que baixeu un "Certificat de seguretat de la xarxa", .mobileconfig perfil o utilitat auxiliar de connexió, elimineu-lo immediatament. Comproveu Configuració > General > VPN i gestió de dispositius a iOS/macOS o certmgr.msc a Windows i suprimiu qualsevol autoritat de certificació arrel desconeguda (CA).
5. Esborra la teva memòria cau ARP local, la memòria cau de resolució de DNS i els endolls actius del navegador. Fins i tot després de desconnectar-te d'un sistema de noms de domini enverinat (Evil Twin) (DNS) protocols de resolució de registres i adreces (ARP) els enllaços poden persistir a la memòria volàtil. Corre ipconfig /flushdns i arp -d * a Windows, o sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder a macOS, després tanqueu completament i reinicieu el vostre navegador web.
6. Congeleu qualsevol targeta de crèdit o dèbit introduïda en un portal de facturació Wi-Fi fraudulent. Els atacants solen desplegar portals d'actualització "Premium High-Speed ​​Tier" de línia aèria falses durant el vol o l'hotel per recollir números de compte principal (PAN), dates de caducitat i CVV codis de seguretat. Bloqueja la targeta afectada a la teva aplicació de banca mòbil i sol·licita un número de substitució.

Arbre de decisió de triatge d'incidents del portal captiu i Evil Twin¶

Utilitzeu aquest diagrama de flux de diagnòstic per avaluar el vostre nivell d'exposició després de connectar-vos a una xarxa sense fil sospitosa i executar els passos tècnics de contenció exactes necessaris.

flowchart TD
    A["Connectat amb Wi-Fi d'hotel, aeroport o cafeteria sospitós"] --> B["Desactiveu la Wi-Fi immediatament i toqueu Oblida aquesta xarxa"]
    B --> C{"Què va passar mentre estava connectat a la xarxa?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Credencial actiu i compromís de sessió"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Compromís de TLS Man-in-the-Middle i endpoint complet"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Intercepció activa de TLS o exposició a l'eliminació de SSL"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Baixa exposició: protegit per HSTS i TLS 1.3"]

    D --> D1["Canvia immediatament a dades mòbils 4G/5G"]
    D1 --> D2["Revoca totes les sessions actives i els testimonis OAuth a la seguretat del compte"]
    D2 --> D3["Gira les contrasenyes i audita les regles de reenviament automàtic de correu electrònic"]

    E --> E1["Desconnecteu la xarxa i activeu el mode avió al dispositiu"]
    E1 --> E2["Suprimiu Rogue Profile i Root CA de la botiga de certificats del sistema operatiu"]
    E2 --> E3["Suposem que tot el trànsit durant la sessió s'ha llegit en text pla"]
    E3 --> D2

    F --> F1["Netegeu la memòria cau DNS i ARP del sistema operatiu i reinicieu el navegador"]
    F1 --> F2["Esborra totes les galetes del navegador i l'emmagatzematge de sessions per als llocs exposats"]
    F2 --> D2

    G --> G1["Netegeu la memòria cau del resolutor DNS local i la taula ARP"]
    G1 --> G2["Desactiveu la unió automàtica a tots els SSID públics desats"]
    G2 --> G3["Activeu WireGuard o OpenVPN amb Strict Kill Switch"]

Anatomia d'un bessó malvat, inundació de desautenticació i atac al portal captiu¶

Molts viatgers ho assumeixen perquè un hotel o cafeteria ofereix un imprès WPA2-Personal contrasenya a la màniga d'una targeta de clau o a una pissarra, la xarxa sense fils està xifrada i segura d'escoltar. Altres assumeixen que el seu dispositiu es mantindrà connectat de manera natural al punt d'accés legítim muntat al sostre (AP) en lloc de connectar-se a l'encaminador de motxilla d'un desconegut. Comprendre com la radiofreqüència (RF) física i la IEEE 802.11 El protocol operatiu explica per què ambdues suposicions fallen durant un atac actiu de Evil Twin.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Reconeixement multi-ràdio i recol·lecció de sondes KARMA¶

Quan el vostre telèfon intel·ligent o portàtil té la ràdio Wi-Fi activada en un aeroport o cafeteria, la targeta d'interfície de xarxa sense fil (NIC) transmet trames de sol·licitud de sondeig 802.11 a través de canals de 2,4 GHz i 5 GHz. Un atacant que opera una plataforma d'auditoria de ràdio dual, com ara un Hak5 Wi-Fi Pineapple, un ESP32 Marauder o un ordinador portàtil Linux en funcionament hostapd-mana escolta passivament en una ràdio mentre transmet a la segona. L'atacant clona l'identificador exacte del conjunt de serveis (SSID, com ara Starbucks WiFi o MarriottBonvoy_Guest) i també pot clonar l'identificador de conjunt de serveis bàsics (BSSID, el maquinari de 48 bits MAC adreça de l'encaminador de sostre legítim).

2. Inundacions de desautenticació i dissociació forçades 802.11¶

Si el vostre ordinador portàtil o telèfon ja està connectat al lloc legítim WPA2 o un encaminador Wi-Fi obert, no canviarà voluntàriament al Evil Twin de l'atacant tret que la seva connexió actual falli. Per forçar el vostre dispositiu a apagar immediatament l'encaminador legítim, l'atacant llança una Inundació de desautenticació mitjançant eines com ara aireplay-ng, mdk4, o bettercap.

Sota el llegat IEEE 802.11 estàndard (abans de l'obligatori 802.11w Marcs de gestió protegits a WPA3), marcs de gestió que inclouen Desautenticació (Subtype 0xC0) i Disassociació (Subtype 0xA0) es transmeten sense xifrar i sense autenticar. L'atacant falsifica l'encaminador legítim BSSID i envia centenars de paquets de desautenticació falsificats per segon al dispositiu MAC adreça. La vostra targeta sense fil obeeix l'ordre de desconnexió. Perquè l'atacant està assegut a prop (per exemple, a 3 metres [10 peus] de distància emetent a -35 dBm, en comparació amb -70 dBm des del sostre de l'hotel AP 20 metres [65 peus] pel passadís), l'algoritme d'itinerància del vostre sistema operatiu es bloqueja immediatament a la ràdio Evil Twin més potent quan es torna a connectar.

3. El SO del portal captiu desencadena el segrest i la recollida de credencials¶

En el moment en què el vostre dispositiu s'associa amb l'Evil Twin i rep una adreça IP local de l'atacant dnsmasq Servidor DHCP, el vostre sistema operatiu dispara un missatge sense xifrar HTTP Sonda de fons per comprovar si la xarxa requereix una pàgina inicial d'inici de sessió:

• Apple iOS, iPadOS i macOS: envia HTTP GET a http://captive.apple.com/hotspot-detect.html esperant Success.
• Google Android i ChromeOS: envia una sol·licitud a http://connectivitycheck.gstatic.com/generate_204 esperant HTTP 204 No Content.
• Microsoft Windows 10 i 11: envia una sol·licitud a http://www.msftconnecttest.com/connecttest.txt esperant Microsoft Connect Test.

L'atacant intercepta aquest text pla HTTP utilitzant la sonda iptables o nftables traducció d'adreces de xarxa (DNAT) i respon amb una HTTP 302 Found redirigeix ​​al seu servidor web local. El vostre telèfon o ordinador portàtil obre automàticament una finestra del mini-navegador (Captive Network Assistant) que mostra un clon de la pantalla d'inici de sessió de la cadena hotelera o una porta d'inici de sessió "Wi-Fi social gratuïta" que ofereix "Continua amb Google/Microsoft/Apple". Si s'encamina a través d'un marc de proxy invers com ara Evilginx2, l'atacant transmet el vostre nom d'usuari, contrasenya i contrasenya única de 6 dígits (OTP) al servidor d'inici de sessió real en temps real i captura la vostra galeta de sessió autenticada.

Eliminació de SSL, bypass HSTS i verificació de la cadena de certificats TLS¶

Una vegada que un atacant controla la vostra passarel·la de xarxa mitjançant un punt d'accés Evil Twin o local ARP intoxicació, el seu principal obstacle és Seguretat de la capa de transport (TLS / HTTPS). Quan el vostre navegador es connecti a https://login.microsoftonline.com, TLS xifra la càrrega útil HTTP d'extrem a extrem entre el vostre navegador i els servidors de Microsoft. Per derrotar o evitar aquest xifratge, els operadors de Evil Twin utilitzen tres tècniques diferents.

Com inspeccionar una cadena de certificats TLS¶

Si el vostre navegador mostra "La vostra connexió no és privada" (NET::ERR_CERT_AUTHORITY_INVALID o SEC_ERROR_UNKNOWN_ISSUER), mai feu clic a "Va al lloc":

1. Activa el portal captiu mitjançant HTTP de text pla: Obre http://neverssl.com o http://captive.apple.com per carregar netament la pantalla de presentació del lloc sense passar per alt HTTPS advertència.
2. Inspeccioneu l'emissor del certificat: Un cop en línia, torneu a carregar el vostre HTTPS pestanya. Si persisteix un error, consulteu el camp Emès per del certificat. Els llocs legítims utilitzen CA públiques (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Si l'emissor diu mitmproxy, Fortinet, Self-Signed, o una CA local desconeguda, desconnecteu-vos immediatament.

Auditoria pas a pas del sistema operatiu: eliminació de certificats i perfils fraudulents¶

Si un portal captiu fals us va enganyar perquè instal·leu un certificat o un perfil, retireu-lo del vostre sistema operatiu abans de girar les contrasenyes:

1. Apple iOS i iPadOS (iPhone / iPad)¶

1. Elimina els perfils de configuració: Obriu Configuració > General > VPN i gestió de dispositius. Toqueu qualsevol perfil desconegut a Perfils de configuració, toqueu Elimina el perfil i introduïu la vostra contrasenya.
2. Desactiva la confiança total per als certificats arrel: Obriu Configuració > General > Quant a > Configuració de confiança del certificat. A Activa la confiança total per als certificats arrel, desactiveu DESACTIVAT qualsevol certificat no corporatiu.

2. Apple macOS (MacBook / iMac)¶

1. Perfils d'auditoria: Obriu Configuració del sistema > General > Gestió de dispositius i elimineu qualsevol perfil desconegut amb el signe menys (-botó ).
2. Auditoria de l'accés al clauer: Obriu Accés al clauer, seleccioneu els clauers Sistema i inici de sessió, feu clic a Certificats i suprimiu qualsevol CA arrel desconeguda o anul·lació de confiança personalitzada que s'afegeixi a la data en què vau unir-vos a la xarxa Wi-Fi pública.

3. Microsoft Windows 10 i Windows 11¶

1. Obrir botigues de certificats: Premeu Win + R, córrer certmgr.msc (Usuari actual) i després executar certlm.msc (Màquina local).
2. Inspeccioneu les autoritats de certificació arrel de confiança: Amplieu Autoritats de certificació arrel de confiança > Certificats. Feu clic amb el botó dret i Suprimeix qualsevol emissor desconegut (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxy, i AOSP)¶

1. Comproveu els certificats d'usuari: Obriu Configuració > Seguretat i privadesa > Més seguretat i privadesa > Xifratge i credencials > Credencials de confiança i toqueu la pestanya Usuari.
2. Eliminació de les credencials de Rogue: Un telèfon Android personal hauria de tenir una pestanya Usuari buida. Toca qualsevol certificat desconegut i selecciona Elimina, o toca Esborra les credencials.

Falsificació d'adreces MAC en portals captius: abús ofensiu i enduriment defensiu¶

Cada targeta de xarxa sense fil té un maquinari de 48 bits Control d'accés als mitjans (MAC) adreça (com ara A4:83:E7:2B:91:0C) transmesa a la capçalera sense xifrar de cada 802.11 marc. La majoria dels portals captius d'hotels, aeroports i a bord fan un seguiment dels hostes pagats o autenticats afegint els seus MAC adreça a una llista de permisos de passarel·la.

Com els atacants abusen de la falsificació de MAC a les xarxes públiques¶

Un atacant que fa un seguiment passiu (airodump-ng o Kismet) pot veure tots els clients actius MAC adreça al punt d'accés:

1. Piggybacking i frau de facturació gratuïts: l'atacant detecta un client actiu que ja ha pagat per l'accés Wi-Fi i s'executa macchanger -m <Victim_MAC> wlan0 (Linux) o sudo ifconfig en0 ether <Victim_MAC> (macOS) per clonar el de la víctima MAC adreça.
2. Col·lisió i desautenticació de la sessió: Compartint el mateix MAC abordar les causes ARP i col·lisions de canvi, o l'atacant envia marcs de desautenticació dirigits per fer fora de línia el convidat que paga mentre segresta la seva sessió de pagament.
3. Oblidació dels límits de temps: rotació a un nou aleatori MAC l'adreça restableix els comptadors del portal captiu "Prova gratuïta de 30 minuts".

Com configurar les adreces MAC privades / aleatòries¶

Transmet la teva fàbrica permanent MAC adreça a 802.11 Les sol·licituds de sonda permeten que les balises minoristes i els acosadors facin un seguiment dels vostres moviments físics. Verifiqueu que Adreçament aleatori d'adreces MAC estigui activa:

• iOS i iPadOS (iOS 18+): Obriu Configuració > Wi-Fi, toqueu (i) al costat de la xarxa i configureu Adreça Wi-Fi privada com a Giratant o Fixat.
• macOS (macOS Sequoia 15+): Obriu Configuració del sistema > Wi-Fi, feu clic a Detalls... i configureu Adreça Wi-Fi privada com a Giratant o Fixat.
• ** Android (Android 10+):** Obriu Configuració > Xarxa i Internet > Internet, toqueu la icona d'engranatge al costat de la xarxa, toqueu Privadesa i seleccioneu Utilitza MAC aleatoritzat.
• Windows 10 i 11: Obriu Configuració > Xarxa i Internet > Wi-Fi i canvieu Adreces de maquinari aleatòries a Activat.

Defensant-se contra l'unió automàtica forçada, els atacs KARMA i la falsificació de SSID¶

La defensa més sòlida contra una inundació de desautenticació d'Evil Twin és assegurar-se que el vostre dispositiu mai s'uneixi automàticament a una xarxa Wi-Fi pública oberta o desada. Quan t'incorpores Starbucks WiFi, attwifi, o Airport_Free_WiFi una vegada, el vostre dispositiu ho desa SSID a la seva Llista de xarxes preferides (PNL) amb Auto-Join habilitat. Més tard, el Wi-Fi Pineapple d'un atacant ho pot transmetre SSID amb zero xifratge i captura el teu dispositiu en mil·lisegons.

Llista de verificació d'enduriment de la connexió automàtica de Wi-Fi obligatòria¶

1. Elimineu els SSID públics genèrics de les xarxes desades:
2. iOS/iPadOS: Configuració > Wi-Fi > Edita > suprimeix totes les xarxes d'hotels, aeroports i cafeteries a Xarxes conegudes.
3. macOS: Configuració del sistema > Wi-Fi > Avançat... > feu clic ... al costat dels punts d'accés públics i feu clic a Elimina de la llista.
4. Windows 11: Configuració > Xarxa i Internet > Wi-Fi > Gestiona xarxes conegudes > fes clic a Oblida a les xarxes públiques.
5. Android: Configuració > Xarxa i Internet > Internet > Xarxes desades > toqueu Oblida.
6. Desactiveu l'opció "Unir-se automàticament" a les xarxes de locals temporals: sempre que utilitzeu la Wi-Fi d'hotels o de conferències, canvieu Unició automàtica (o Connecteu-vos automàticament) a DESACTIVAT immediatament. Si un atacant envia una inundació de desautenticació, el vostre dispositiu tornarà al mòbil 4G/5G en lloc de saltar al Evil Twin.
7. Desactiva l'exploració automàtica de punts d'accés: Desactiva DESACTIVA Activa la Wi-Fi automàticament a Android i configura Demana per unir-te a xarxes a Desactivat a iOS.

Arquitectura segura per viatjar: punts d'accés mòbils, connexió USB i WireGuard / OpenVPN¶

Nivell 1 (estàndard daurat): punt d'accés mòbil per a telèfons intel·ligents 4G/5G mitjançant cable USB o WPA3¶

Xarxes mòbils (4G LTE i 5G NR) utilitzar maquinari SIM/eSIM autenticació criptogràfica i no es pot desautenticar amb una pinya Wi-Fi:

• Connexió a connexió USB per cable (exposició a RF zero): Connecta el telèfon al teu ordinador portàtil mitjançant USB-C i activa Punt d'accés personal/Ancoratge USB amb la ràdio Wi-Fi del teu ordinador portàtil desactivada DESACTIVADA.
• ** Punt d'accés personal sense fil amb WPA3-Personal:** Establiu una frase de contrasenya de més de 16 caràcters i verifiqueu el xifratge WPA3-Personal (SAE), que fa complir Marcs de gestió protegits (802.11w) per bloquejar les inundacions de desautenticació.

Nivell 2: Wi-Fi de lloc no fiable embolicat en un túnel WireGuard o OpenVPN amb Kill Switch¶

Si la recepció mòbil no està disponible i heu d'utilitzar la Wi-Fi del lloc:

1. Resol primer el portal captiu: posa en pausa la teva VPN durant 30 segons, uneix-te a la Wi-Fi del lloc, navega estrictament a http://neverssl.com, i accepteu els termes sense introduir contrasenyes OAuth reals.
2. Enganxa WireGuard o OpenVPN amb un interruptor de matança del sistema operatiu: Enceneu el vostre WireGuard (ChaCha20-Poly1305) o OpenVPN (AES-256-GCM) amb el seu Kill Switch actiu, de manera que tots els paquets TCP/UDP i DNS les consultes es xifren abans d'arribar a l'encaminador local.
3. Evita el bloqueig UDP: si un tallafoc d'hotel bloqueja els ports VPN estàndard (UDP 51820 o UDP 1194), canvieu el vostre client VPN a OpenVPN a través del port TCP 443.

Informes globals i autoritats oficials de ciberseguretat¶

Si sou l'objectiu d'un atac d'Evil Twin que provoca un accés corporatiu no autoritzat, un frau financer financer o un robatori d'identitat, informeu de l'incident tant a l'equip de gestió/seguretat del lloc (perquè el seu equip informàtic pugui localitzar el maquinari fraudulent mitjançant la triangulació del senyal físic) com a la vostra agència nacional de ciberdelinqüència:

• Estats Units: Presentar una queixa immediata per delictes cibernètics al Centre de queixes de delictes a Internet de l'FBI (IC3) a les ic3.gov i informar les amenaces d'infraestructura a l'Agència de seguretat cibernètica i d'infraestructures (CISA) a les cisa.gov/report. En cas de robatori d'identitat del consumidor, s'inscriu a IdentityTheft.gov.
• Regne Unit: Informeu els ciberatacs i el robatori de credencials a Action Fraud a actionfraud.police.uk (o truca 0300 123 2040; a Escòcia, truqueu a la policia d'Escòcia 101) i consulteu les instruccions tècniques de correcció del Centre Nacional de Ciberseguretat (NCSC).
• Canadà: Informar del compromís al Centre Canadà Antifrau (CAFC) (1-888-495-8501) i el Centre Canadien per a la Ciberseguretat (CCCS).
• Unió Europea: Informeu el crim a la vostra unitat de ciberdelinqüència de la policia nacional i a l'equip nacional de resposta a incidents de seguretat informàtica (CSIRT) coordinat sota ENISA i Europol EC3.
• Austràlia i Nova Zelanda: a Austràlia, presenteu un informe a través de la Directora de senyals d'Austràlia (ASD) Portal ReportCyber a cyber.gov.au (1300 292 371). A Nova Zelanda, informeu-vos a CERT NZ / NCSC NZ a cert.govt.nz (0800 237 869).
• Àsia-Pacífic: a Singapur, informeu-vos a la cosència de policia de Singapur (SPF) Anti-Scam Centre i SingCERT (csa.gov.sg). Al Japó, poseu-vos en contacte amb el Taulell de consulta sobre cibercrims de la policia de la prefectura (#9110) i JPCERT/CC.

Preguntes freqüents¶

Com puc saber si la xarxa Wi-Fi de l'hotel o cafeteria de la meva pantalla és l'encaminador real o un Evil Twin?¶

No podeu distingir un punt d'accés legítim d'un Evil Twin simplement mirant el nom de la xarxa (SSID) o barres de senyal al vostre menú Wi-Fi estàndard, perquè un atacant pot duplicar l'ortografia exacta i emetre un senyal més fort just al costat del vostre seient. Pregunteu sempre a un membre del personal a la recepció o al taulell el nom oficial exacte de la xarxa, tant si requereix un WPA2/WPA3 contrasenya o està completament obert i el que demana la pantalla inicial d'inici de sessió. Si veieu dues xarxes separades amb exactament el mateix nom, una que mostra una icona de cadenat (xifrada) i una altra que no mostra cap icona de cadenat (oberta), la xarxa oberta és gairebé segurament una trampa Evil Twin dissenyada per atrapar el vostre dispositiu mitjançant una inundació de desautenticació.

Per què el meu navegador va mostrar un error de certificat "La connexió no és privada" en el moment en què em vaig connectar a la Wi-Fi de l'hotel?¶

Quan us uniu per primera vegada a una xarxa Wi-Fi legítima d'hotel o aeroport abans de completar l'inici de sessió a la pantalla inicial, l'encaminador local intercepta tot el trànsit de sortida per redirigir-vos a la seva pàgina del portal captiu. Si la primera pestanya del navegador que intenteu actualitzar és una pestanya xifrada HTTPS lloc web (com ara https://google.com), l'encaminador de l'hotel intercepta el port 443 i presenta el seu propi certificat de portal captiu local, que no coincideix amb el certificat de Google i activa un avís del navegador. Mai feu clic a "Continua de totes maneres" en aquest advertiment; en lloc d'això, obriu una pestanya nova i escriviu http://neverssl.com o http://captive.apple.com de manera que la pantalla de presentació de l'hotel es carrega netament sense xifrar HTTP, completeu l'acord del portal i, a continuació, comproveu que el vostre HTTPS les pestanyes es carreguen sense cap advertiment de certificat.

Encendre la meva VPN em protegeix completament d'un punt d'accés Evil Twin?¶

Una xarxa privada virtual (VPN) auditada en funcionament WireGuard o OpenVPN amb un actiu Kill Switch xifra tot el trànsit de la xarxa i les consultes de DNS dins d'un túnel autenticat, impedint completament que un operador Evil Twin llegeixi les vostres dades o falsifica els llocs web un cop establert el túnel VPN. Tanmateix, una VPN no us pot protegir durant la finestra de 30 segons quan heu d'aturar la VPN per fer clic a la pàgina de presentació del portal captiu de l'hotel, ni tampoc us pot protegir si escriviu manualment la vostra contrasenya de correu electrònic real o el número de targeta de crèdit en un formulari de pesca fals del portal captiu.

Què és IEEE 802.11w (Marcs de gestió protegits) i atura les inundacions de desautenticació?¶

IEEE 802.11w (Marcs de gestió protegits o PMF) és un estàndard de seguretat sense fil que afegeix autenticació criptogràfica i protecció de reproducció als marcs de gestió 802.11, inclosos Desautenticació i Disassociació paquets. Sobre el llegat WPA2 xarxes sense PMF, un atacant pot falsificar l'adreça MAC de l'encaminador i expulsar qualsevol client de la xarxa a voluntat. Sobre modern WPA3-Personal i WPA3-Empresa xarxes (on 802.11w és estrictament obligatori), el vostre dispositiu verifica criptogràficament els marcs de gestió i descarta en silenci els paquets de desautenticació no autenticats d'un Pineapple Wi-Fi.

Si em vaig connectar a un Evil Twin durant cinc minuts però només vaig navegar per llocs web HTTPS i no vaig escriure res en un portal, em van robar les contrasenyes?¶

No, si no heu escrit les credencials en un portal captiu fals, no heu instal·lat un certificat arrel o un perfil de configuració fraudulents i no heu fet clic més enllà dels avisos de certificat TLS del navegador, modern TLS 1.3 xifrat i Seguretat del transport estricte HTTP (HSTS) va impedir que l'operador Evil Twin llegeixi les vostres contrasenyes, galetes de sessió o contingut de la vostra pàgina web. En el pitjor dels casos, un operador passiu de Evil Twin sense una CA arrel canalla només pot veure la indicació del nom del servidor (SNI) capçaleres o consultes DNS que mostren quins noms de domini de primer nivell va contactar el vostre dispositiu abans de desconnectar-vos.

És més segur utilitzar una adreça de correu electrònic del gravador quan una cafeteria o un portal captiu d'un aeroport demana un correu electrònic per connectar-se?¶

Sí, sempre que una cafeteria legítima, un aeroport o un portal captiu minorista us demani que introduïu una adreça de correu electrònic per rebre 60 minuts de connexió Wi-Fi gratuïta, mai heu d'introduir la vostra adreça de correu electrònic personal o corporativa principal ni cap contrasenya de compte real. La majoria de portals captius no verifiquen la propietat del correu electrònic abans d'obrir la porta d'Internet (o us ofereixen una finestra de gràcia de 5 a 10 minuts per fer clic en un enllaç de verificació), de manera que utilitzeu un àlies d'un sol ús (com Apple Amaga el meu correu electrònic, SimpleLogin o una adreça no sensible i llençar) impedeix que els seguidors de màrqueting i els operadors d'Evil Twin recopilin la vostra identitat real.

Guies relacionades¶

• Wi-Fi públic, punts d'accés Evil Twin i defensa contra la presa de suc
• Segrest de DNS, reconfiguració de WAN de l'encaminador ISP i falsificació de portal captiu
• Suplantació d'identitat MFA i bypass de l'adversari al mig
• Pesca de consentiment d'OAuth, subvencions d'aplicacions de tercers maliciosos i revocació de testimonis de l'API
• Manipulació física d'Evil Maid, contrasenya d'arrencada de la BIOS del portàtil de l'habitació d'hotel i defensa DMA de Thunderbolt

Fonts i orientació oficial¶

• Cybersecurity and Infrastructure Security Agency (CISA) i National Security Agency (NSA, Estats Units): Seleccionar i reforçar les solucions VPN d'accés remot i Pràctiques recomanades per a dispositius mòbils per a viatgers i personal d'alt risc.
• National Institute of Standards and Technology (NIST, Estats Units): Directrius per a la seguretat de xarxes d'àrea local sense fil (WLAN) (NIST Special Publication 800-153) i Zero Trust Architecture (NIST SP 800-207).
• Centre de seguretat cibernètica nacional (NCSC, Regne Unit): Utilització segura de Wi-Fi pública, Guia de seguretat del dispositiu d'usuari final (EUD) i Gestió de la confiança del certificat.
• Agència de la Unió Europea per a la Ciberseguretat (ENISA, Unió Europea): Directrius sobre la seguretat de punts d'accés sense fil, portals captius i punts finals d'empresa mòbil.
• Institute of Electrical and Electronics Engineers (IEEE, Internacional): IEEE Std 802.11-2020 i IEEE 802.11w Protected Management Frames (PMF) Specification.
• Internet Engineering Task Force (IETF, Internacional): RFC 6797 (HTTP Strict Transport Security / HSTS) i RFC 8952 (Captive Portal Architecture).