Evil Twin Wi-Fi, Captive Portals a SSL Stripping Defense¶

Připojení k veřejným bezdrátovým sítím v hotelech, na letištích, v kavárnách, konferenčních centrech a tranzitních saloncích vystavuje vaše zařízení aktivnímu odposlechu z fyzické blízkosti známému jako útok Evil Twin Wi-Fi. Pomocí kompaktního, bateriemi napájeného multi-radiového hardwaru, jako je Wi-Fi Pineapple nebo notebook se systémem hostapd démon bezdrátového přístupového bodu, protivník sedící v okruhu 100 metrů (328 stop) může vysílat identický název sítě (SSID), zaplaví legitimní router kovanými rámečky pro správu, které násilně odpojí vaše zařízení, a oklamou váš operační systém, aby se připojil k jejich otevřenému podvodnému hotspotu. Jakmile se útočník připojí, zobrazí klonovanou úvodní stránku portálu pro přihlášení určenou ke shromažďování přihlašovacích údajů Google, Microsoft 365 nebo hotelových pokojů, zachycení tokenů aktivní relace nebo downgrade šifrovaných připojení.

Pokud jste právě zadali přihlašovací údaje, firemní jednotné přihlášení (SSO) tokeny nebo čísla platebních karet na úvodní obrazovku Wi-Fi podezřelé letiště nebo hotelu, nebo pokud váš prohlížeč po výpadku a opětovném připojení Wi-Fi náhle zablikal varováním o neshodě certifikátů, musíte okamžitě přerušit bezdrátové spojení a izolovat své účty přes mobilní data. Pokud se setkáte s vydíráním, aktivní firemní špionáží nebo okamžitým vyčerpáním finančních účtů, kontaktujte policii nebo zavolejte na místní tísňové číslo (911 ve Spojených státech a Kanadě, 112 v celé Evropské unii, 999 ve Spojeném království) pomocí našeho globálního adresáře tísňová čísla. Pro úzce související bezdrátové a hardwarové hrozby se podívejte do našich průvodců na veřejná Wi-Fi, hotspoty Evil Twin a ochrana proti džusu, DNS hijacking, ISP router rekonfigurace WAN a captive portál spoofinga MFA phishing a bypass protivníka uprostřed.

Udělejte to teď¶

1. Okamžitě vypněte Wi-Fi rádio a smažte uložený síťový profil. Okamžitě vypněte Wi-Fi na horní liště operačního systému nebo na panelu nastavení. Otevřete seznam uložených sítí, vyberte hotel, letiště nebo kavárnu SSIDa klikněte na Zapomenout na tuto síť (nebo zrušte zaškrtnutí Připojit automaticky), aby vaše bezdrátová karta přestala vysílat požadavky na sondu a nemohla se automaticky znovu připojit k podvodnému rádiu.
2. Přepněte výhradně na mobilní data 4G/5G nebo osobní mobilní hotspot. Nikdy nepoužívejte žádnou místní síť Wi-Fi na místě ke změně hesel nebo ke kontrole svých bankovních účtů. Povolte používání mobilního hotspotu smartphonu WPA3-Personal šifrování a připojte svůj notebook pomocí fyzického kabelu USB-C (USB Tethering) nebo šifrované osobní Wi-Fi.
3. Pokud jste zadali přihlašovací údaje na úvodní stránku, zrušte všechny aktivní přihlašovací relace a udělení OAuth. Pokud vás captive portál vyzve k „Přihlásit se přes Google“, „Přihlásit se pomocí Microsoftu“ nebo k zadání e-mailového hesla, abyste získali bezplatný přístup k Wi-Fi, okamžitě se přihlaste k řídicímu panelu zabezpečení účtu ze svého mobilního připojení. Ukončete všechny aktivní webové a mobilní relace, odvolejte neznámou třetí stranu OAuth tokeny aplikace a otočte své heslo.
4. Zkontrolujte a vyčistěte kořenové úložiště certifikátů operačního systému a profily MDM. Pokud vás portál Wi-Fi vyzval ke stažení „Certifikátu zabezpečení sítě“, .mobileconfig profil nebo pomocný nástroj připojení, okamžitě jej odstraňte. Zkontrolujte Nastavení > Obecné > Správa VPN a zařízení na iOS/macOS nebo certmgr.msc v systému Windows a odstraňte všechny neznámé kořenové certifikační úřady (CA).
5. Vypláchněte místní mezipaměť ARP, mezipaměť překladače DNS a aktivní sokety prohlížeče. I po odpojení od Evil Twin, otráveného systému doménových jmen (DNS) záznamy a protokol pro rozlišení adres (ARP) vazby mohou přetrvávat v nestálé paměti. Spustit ipconfig /flushdns a arp -d * na Windows, popř sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder na macOS, poté úplně ukončete a restartujte webový prohlížeč.
6. (PAN), data expirace a CVV bezpečnostní kódy. Zamkněte dotčenou kartu v aplikaci mobilního bankovnictví a požádejte o náhradní číslo.

Strom rozhodování o třídění incidentů Evil Twin a zajatého portálu¶

Tento diagnostický vývojový diagram použijte k vyhodnocení úrovně vystavení po připojení k podezřelé bezdrátové síti a provedení přesných požadovaných technických kroků.

flowchart TD
    A["Připojeno k Wi-Fi podezřelému hotelu, letišti nebo kavárně"] --> B["Okamžitě vypněte Wi-Fi a klepněte na Zapomenout tuto síť"]
    B --> C{"Co se stalo při připojení k síti?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Aktivní pověření a kompromis relace"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Úplný kompromis TLS Man-in-the-Middle a Endpoint"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Aktivní zachycení TLS nebo expozice odstranění SSL"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Nízká expozice: Chráněno HSTS a TLS 1.3"]

    D --> D1["Okamžitě přepněte na mobilní data 4G/5G"]
    D1 --> D2["Zrušit všechny aktivní relace a tokeny OAuth v zabezpečení účtu"]
    D2 --> D3["Střídat hesla a kontrolovat pravidla automatického přeposílání e-mailů"]

    E --> E1["Odpojte síť a povolte na zařízení režim Letadlo"]
    E1 --> E2["Odstraňte Rogue Profile a Root CA z úložiště certifikátů OS"]
    E2 --> E3["Předpokládejme, že veškerý provoz během relace byl přečten v prostém textu"]
    E3 --> D2

    F --> F1["Vyprázdněte mezipaměti DNS a ARP OS a restartujte prohlížeč"]
    F1 --> F2["Vymazat všechny soubory cookie prohlížeče a úložiště relací pro vystavené weby"]
    F2 --> D2

    G --> G1["Vyprázdnit mezipaměť místního překladače DNS a tabulku ARP"]
    G1 --> G2["Zakažte automatické připojení u všech uložených veřejných SSID"]
    G2 --> G3["Povolte WireGuard nebo OpenVPN pomocí Strict Kill Switch"]

Anatomie zlého dvojčete, deautentizační záplava a útok zajatým portálem¶

Mnoho cestujících předpokládá, že proto, že hotel nebo kavárna poskytuje tištěné WPA2-Personal heslo na přihrádce s klíčovou kartou nebo na tabuli, je bezdrátová síť zašifrována a chráněna před odposlechem. Jiní předpokládají, že jejich zařízení přirozeně zůstane připojeno k legitimnímu stropnímu přístupovému bodu (AP) spíše než se připojovat k routeru cizího batohu. Pochopení toho, jak rádiová frekvence (RF) fyzika a IEEE 802.11 protokol vysvětluje, proč oba předpoklady selžou během aktivního útoku Evil Twin.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Multirádiový průzkum a sběr sond KARMA¶

Když má váš smartphone nebo notebook na letišti nebo v kavárně zapnuté Wi-Fi rádio, karta bezdrátového síťového rozhraní (NIC) přenáší 802.11 Probe Request rámce přes kanály 2,4 GHz a 5 GHz. Útočník provozující dvouradiovou auditní platformu, jako je Hak5 Wi-Fi Pineapple, ESP32 Marauder nebo notebook se systémem Linux hostapd-mana poslouchá pasivně na jednom rádiu, zatímco vysílá na druhém. Útočník naklonuje přesný identifikátor sady služeb (SSID, jako např Starbucks WiFi nebo MarriottBonvoy_Guest) a může také klonovat základní identifikátor sady služeb (BSSID, 48bitový hardware MAC adresa legitimního stropního routeru).

2. Vynucená deautentizace a disasociační záplavy 802.11¶

Pokud je váš notebook nebo telefon již připojen k legitimnímu místu WPA2 nebo otevřený Wi-Fi router, nepřepne se dobrovolně na útočníkovo Evil Twin, pokud jeho aktuální připojení selže. Aby útočník okamžitě vynutil vypnutí legitimního routeru, spustí Deauthentication Flood pomocí nástrojů, jako je např. aireplay-ng, mdk4nebo bettercap.

Pod dědictvím IEEE 802.11 standardní (před povinným 802.11w Chráněné řídicí rámce v WPA3), rámce pro správu včetně Deauthentication (Subtype 0xC0) a Disasociace (Subtype 0xA0) jsou přenášeny nešifrované a neověřené. Útočník podvrhne legitimní router BSSID a odesílá stovky padělaných deautentizačních paketů za sekundu do vašeho zařízení MAC adresu. Vaše bezdrátová karta se podřídí příkazu k odpojení. Protože útočník sedí poblíž (například ve vzdálenosti 3 metrů [10 stop] a vysílá na -35 dBm, ve srovnání s -70 dBm od hotelového stropního AP 20 metrů [65 stop] po chodbě) se algoritmus roamingu vašeho operačního systému po opětovném připojení okamžitě zablokuje na silnější radiostanici Evil Twin.

3. Únos spouštěcího mechanismu operačního systému Captive Portal a získávání pověření¶

V okamžiku, kdy se vaše zařízení spojí s Evil Twin a obdrží místní IP adresu od útočníka dnsmasq DHCP server, váš operační systém spustí nešifrovaný HTTP sonda na pozadí pro kontrolu, zda síť vyžaduje přihlašovací úvodní stránku:

• Apple iOS, iPadOS a macOS: Odešle HTTP GET do http://captive.apple.com/hotspot-detect.html očekává Success.
• Google Android a ChromeOS: Odešle požadavek na http://connectivitycheck.gstatic.com/generate_204 očekává HTTP 204 No Content.
• Microsoft Windows 10 a 11: Odešle požadavek na http://www.msftconnecttest.com/connecttest.txt očekává Microsoft Connect Test.

Útočník tento prostý text zachytí HTTP pomocí sondy iptables nebo nftables překlad síťových adres (DNAT) a odpoví s an HTTP 302 Found přesměrovat na jejich místní webový server. Váš telefon nebo notebook automaticky zobrazí okno miniprohlížeče (Captivní Network Assistant) zobrazující klon přihlašovací obrazovky hotelového řetězce nebo přihlašovací bránu „Free Social Wi-Fi“ nabízející „Pokračovat u Google / Microsoft / Apple“. Pokud je směrován přes rámec reverzního proxy, jako je např Evilginx2, útočník předá vaše uživatelské jméno, heslo a 6místné jednorázové heslo (OTP) na skutečný přihlašovací server v reálném čase a zachycuje váš ověřený soubor cookie relace.

Odstraňování SSL, obcházení HSTS a ověřování řetězce certifikátů TLS¶

Jakmile útočník ovládne vaši síťovou bránu přes přístupový bod Evil Twin nebo místní ARP otravy, jejich primární překážkou je Transport Layer Security (TLS / HTTPS). Když se váš prohlížeč připojí k https://login.microsoftonline.com, TLS šifruje datovou část HTTP end-to-end mezi vaším prohlížečem a servery společnosti Microsoft. K překonání nebo obcházení tohoto šifrování používají operátoři Evil Twin tři různé techniky.

Jak zkontrolovat řetězec certifikátů TLS¶

Pokud váš prohlížeč zobrazuje "Vaše připojení není soukromé" (NET::ERR_CERT_AUTHORITY_INVALID nebo SEC_ERROR_UNKNOWN_ISSUER), nikdy neklikejte na „Pokračovat na web“:

1. Spusťte captive portál přes prostý text HTTP: Otevřít http://neverssl.com nebo http://captive.apple.com pro čisté načtení úvodní obrazovky místa konání bez obcházení an HTTPS varování.
2. Zkontrolujte vydavatele certifikátu: Jakmile budete online, znovu načtěte svůj HTTPS tab. Pokud chyba přetrvává, zobrazte v certifikátu pole Vydal. Legitimní weby používají veřejné CA (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Pokud vydavatel říká mitmproxy, Fortinet, Self-Signed, nebo neznámý místní CA, okamžitě odpojte.

Krok za krokem audit operačního systému: odstranění podvodných certifikátů a profilů¶

Pokud vás falešný captive portál lstí přiměl k instalaci certifikátu nebo profilu, před výměnou hesel jej odstraňte z operačního systému:

1. Apple iOS a iPadOS (iPhone / iPad)¶

1. Odstranění konfiguračních profilů: Otevřete Nastavení > Obecné > Správa VPN a zařízení. Klepněte na libovolný neznámý profil v části Konfigurační profily, klepněte na Odebrat profil a zadejte svůj přístupový kód.
2. Zakázat plnou důvěru pro kořenové certifikáty: Otevřete Nastavení > Obecné > O aplikaci > Nastavení důvěryhodnosti certifikátu. V části Povolit plnou důvěru pro kořenové certifikáty vypněte VYPNUTO jakýkoli nefiremní certifikát.

2. Apple macOS (MacBook / iMac)¶

1. Profily auditu: Otevřete Nastavení systému > Obecné > Správa zařízení a odstraňte jakýkoli neznámý profil pomocí mínus (-) tlačítko.
2. Audit Keychain Access: Otevřete Keychain Access, vyberte Systém a přihlašovací klíčenky, klikněte na Certifikáty a odstraňte všechny neznámé kořenové CA nebo vlastní přepsání důvěryhodnosti přidané v den, kdy jste se připojili k veřejné Wi-Fi.

3. Microsoft Windows 10 a Windows 11¶

1. Otevřít úložiště certifikátů: Stiskněte Win + R, běhat certmgr.msc (Aktuální uživatel) a poté spusťte certlm.msc (Místní stroj).
2. Kontrola důvěryhodných kořenových certifikačních autorit: Rozbalit Důvěryhodné kořenové certifikační autority > Certifikáty. Klikněte pravým tlačítkem a Smažte libovolného neznámého vydavatele (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxya AOSP)¶

1. Zkontrolujte uživatelské certifikáty: Otevřete Nastavení > Zabezpečení a soukromí > Více zabezpečení a soukromí > Šifrování a přihlašovací údaje > Důvěryhodné přihlašovací údaje a klepněte na kartu Uživatel.
2. Odstraňte neoprávněné přihlašovací údaje: Osobní telefon Android by měl mít prázdnou kartu Uživatel. Klepněte na libovolný neznámý certifikát a vyberte Odebrat nebo klepněte na Vymazat přihlašovací údaje.

Spoofing MAC adres na captive portálech: útočné zneužívání a obranné zpevnění¶

Každá bezdrátová síťová karta má 48bitový hardware Řízení přístupu k médiím (MAC) adresa (jako např A4:83:E7:2B:91:0C) přenášené v nešifrované hlavičce každého 802.11 rám. Většina portálů pro hotely, letiště a za letu sleduje placené nebo ověřené hosty přidáním jejich MAC adresu do seznamu povolených bran.

Jak útočníci zneužívají MAC spoofing na veřejných sítích¶

Útočník provozující pasivní monitorování (airodump-ng nebo Kismet) může zobrazit každého aktivního klienta MAC adresa na přístupovém bodu:

1. Připojování zdarma a fakturační podvod: Útočník zaznamená aktivního klienta, který již zaplatil za přístup k Wi-Fi a běží macchanger -m <Victim_MAC> wlan0 (Linux) popř sudo ifconfig en0 ether <Victim_MAC> (macOS) ke klonování oběti MAC adresu.
2. Kolize relace a deautentizace: Sdílení stejné MAC adresní příčiny ARP a kolize přepínání, nebo útočník odešle cílené rámce pro deautentizaci, aby odstavil platícího hosta offline, zatímco unese jeho placenou relaci.
3. Obcházení časových limitů: Otočení do nového náhodného pořadí MAC adresa vynuluje počítadla kaptivního portálu "Free 30-Minute Trial".

Jak nakonfigurovat soukromé / náhodné adresy MAC¶

Vysílání vaší stálé továrny MAC adresa v 802.11 požadavky sondy umožňují maloobchodním majákům a stalkerům sledovat vaše fyzické pohyby. Ověřte, že je aktivní náhodnost MAC adres:

• iOS a iPadOS (iOS 18+): Otevřete Nastavení > Wi-Fi, klepněte na (i) vedle sítě a nastavte Soukromá adresa Wi-Fi na Otáčení nebo Pevná.
• macOS (macOS Sequoia 15+): Otevřete Nastavení systému > Wi-Fi, klikněte na Podrobnosti... a nastavte Soukromá adresa Wi-Fi na Otáčení nebo Pevné.
• Android (Android 10+): Otevřete Nastavení > Síť a internet > Internet, klepněte na ikonu ozubeného kola vedle sítě, klepněte na Soukromí a vyberte Použít náhodný MAC.
• Windows 10 a 11: Otevřete Nastavení > Síť a internet > Wi-Fi a přepněte Náhodné hardwarové adresy na Zapnuto.

Obrana proti Forced Auto-Join, KARMA útokům a SSID spoofingu¶

Nejsilnější obranou proti záplavě deautentizace Evil Twin je zajistit, aby se vaše zařízení nikdy automaticky nepřipojilo k otevřené nebo uložené veřejné síti Wi-Fi. Když se připojíte Starbucks WiFi, attwifinebo Airport_Free_WiFi jednou to vaše zařízení uloží SSID v jeho Seznamu preferovaných sítí (PNL) s Auto-Join povoleno. Později to může útočníkův Wi-Fi Ananas vysílat SSID s nulovým šifrováním a zachyťte své zařízení během milisekund.

Povinný kontrolní seznam zpevnění Wi-Fi Auto-Join¶

1. Vymažte obecná veřejná SSID z uložených sítí:
2. iOS / iPadOS: Nastavení > Wi-Fi > Upravit > smažte všechny sítě hotelů, letišť a kaváren v části Známé sítě.
3. macOS: Nastavení systému > Wi-Fi > Upřesnit... > klikněte ... vedle veřejných aktivních bodů a klikněte na Odebrat ze seznamu.
4. Windows 11: Nastavení > Síť a internet > Wi-Fi > Spravovat známé sítě > ve veřejných sítích klikněte na Zapomenout.
5. Android: Nastavení > Síť a internet > Internet > Uložené sítě > klepněte na Zapomenout.
6. Zakažte „Automatické připojení“ v sítích dočasných míst konání: Kdykoli použijete hotelovou nebo konferenční Wi-Fi, okamžitě přepněte Automatické připojení (nebo Připojit automaticky) na VYPNUTO. Pokud útočník odešle deautentizační záplavu, vaše zařízení se vrátí zpět na mobilní 4G/5G, místo aby skočilo na Evil Twin.
7. Zakažte automatické skenování hotspotu: Vypněte VYPNUTO Zapněte Wi-Fi automaticky v systému Android a nastavte Požádat o připojení k sítím na Vypnuto v systému iOS.

Bezpečná architektura pro cestování: Mobilní hotspoty, USB tethering a WireGuard / OpenVPN¶

Úroveň 1 (zlatý standard): Mobilní hotspot 4G/5G chytrého telefonu přes USB kabel nebo WPA3¶

Mobilní sítě (4G LTE a 5G NR) používat hardware SIM/eSIM kryptografické ověření a nelze jej zrušit pomocí Wi-Fi Ananas:

• Dired USB Tethering (Zero RF Exposure): Připojte telefon k notebooku přes USB-C a povolte Personal Hotspot / USB Tethering s Wi-Fi rádiem vašeho notebooku vypnutým OFF.
• ** Bezdrátový osobní hotspot s WPA3-Personal:** Nastavte heslovou frázi delší než 16 znaků a ověřte WPA3-Personal (SAE) šifrování, které vynucuje Protected Management Frames (802.11w) k zablokování deautentizačních záplav.

Úroveň 2: Nedůvěryhodné místo Wi-Fi zabalené v tunelu WireGuard nebo OpenVPN s přepínačem Kill Switch¶

Pokud je mobilní příjem nedostupný a musíte použít Wi-Fi v místě:

1. Nejdříve vyřešte Captive Portal: Pozastavte svou VPN na 30 sekund, připojte se k Wi-Fi v místě konání, přejděte přísně na http://neverssl.coma přijměte podmínky bez zadávání skutečných hesel OAuth.
2. Zapojte WireGuard nebo OpenVPN pomocí přepínače OS Kill Switch: Zapněte WireGuard (ChaCha20-Poly1305) nebo OpenVPN (AES-256-GCM) klient s aktivním Kill Switch, takže všechny TCP/UDP pakety a DNS dotazy jsou před dosažením místního směrovače zašifrovány.
3. Obejít blokování UDP: Pokud hotelový firewall blokuje standardní porty VPN (UDP 51820 nebo UDP 1194), přepněte svého VPN klienta na OpenVPN over TCP Port 443.

Globální zpravodajské a oficiální orgány pro kybernetickou bezpečnost¶

Pokud se na vás zaměří útok Evil Twin, který má za následek neoprávněný firemní přístup, finanční podvod nebo krádež identity, nahlaste incident jak vedení/bezpečnostnímu týmu místa (aby jejich IT tým mohl lokalizovat podvodný hardware pomocí fyzické triangulace signálu), tak vaší národní agentuře pro počítačovou kriminalitu:

• Spojené státy americké: Okamžitě podejte stížnost na počítačovou kriminalitu FBI Internet Crime Complaint Center (IC3) v ic3.gov a hlásit ohrožení infrastruktury Agentuře pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) v cisa.gov/report. V případě krádeže identity spotřebitele podejte na IdentityTheft.gov.
• Spojené království: Nahlaste kybernetické útoky a krádeže pověření na Action Fraud na actionfraud.police.uk (nebo zavolejte 0300 123 2040; ve Skotsku zavolejte policii Skotsko 101) a prostudujte si technické pokyny k nápravě od National Cyber Security Center (NCSC).
• Kanada: Nahlaste kompromis Canadian Anti-Fraud Center (CAFC) (1-888-495-8501) a Kanadské centrum pro kybernetickou bezpečnost (CCCS).
• Evropská unie: Nahlaste trestný čin národnímu policejnímu útvaru pro počítačovou kriminalitu a národnímu týmu pro reakci na incidenty v oblasti počítačové bezpečnosti (CSIRT) koordinované v rámci ENISA a Europol EC3.
• Austrálie a Nový Zéland: V Austrálii podejte hlášení prostřednictvím Australian Signals Directorate (ASD) Portál ReportCyber na adrese cyber.gov.au (1300 292 371). Na Novém Zélandu se hlaste na CERT NZ / NCSC NZ na cert.govt.nz (0800 237 869).
• Asie-Pacifik: V Singapuru se hlaste Singapurské policii (SPF) Anti-Scam Center a SingCERT (csa.gov.sg). V Japonsku se obraťte na Prefekturní policejní konzultační centrum pro počítačovou kriminalitu (#9110) a JPCERT/CC.

Často kladené otázky¶

Jak zjistím, zda síť Wi-Fi v hotelu nebo kavárně na mé obrazovce je skutečný router nebo Evil Twin?¶

Nelze rozlišit legitimní přístupový bod od zlého dvojčete pouhým pohledem na název sítě (SSID) nebo pruhy signálu ve vaší standardní nabídce Wi-Fi, protože útočník může duplikovat přesný pravopis a vysílat silnější signál přímo u vašeho sedadla. Vždy se zeptejte zaměstnance na recepci nebo přepážce na přesný oficiální název sítě, zda to vyžaduje a WPA2/WPA3 heslo nebo je zcela otevřené a co požaduje úvodní obrazovka přihlášení. Pokud vidíte dvě samostatné sítě s přesně stejným názvem, z nichž jedna zobrazuje ikonu visacího zámku (zašifrovaná) a druhá žádnou ikonu visacího zámku (otevřená), otevřená síť je téměř jistě pastí Evil Twin navržená k zachycení vašeho zařízení prostřednictvím deautentizační záplavy.

Proč můj prohlížeč zobrazil chybu certifikátu „Připojení není soukromé“ v okamžiku, kdy jsem se připojil k hotelové Wi-Fi?¶

Když se poprvé připojíte k legitimní hotelové nebo letištní Wi-Fi síti, než dokončíte přihlášení na úvodní obrazovce, místní router zachytí veškerý odchozí provoz a přesměruje vás na stránku svého kaptivního portálu. Pokud je první karta prohlížeče, kterou se pokoušíte obnovit, zašifrovaná HTTPS webové stránky (např https://google.com), hotelový router zachytí port 443 a prezentuje svůj vlastní certifikát místního captive portálu, který se neshoduje s certifikátem Google a spustí varování prohlížeče. Nikdy na toto varování neklikejte na „Přesto pokračovat“; místo toho otevřete novou kartu a zadejte http://neverssl.com nebo http://captive.apple.com takže úvodní obrazovka hotelu se načte čistě nešifrovaně HTTP, dokončete smlouvu o portálu a poté ověřte, že vaše HTTPS karty se načítají bez varování certifikátu.

Chrání mě zapnutí VPN úplně před hotspotem Evil Twin?¶

Je spuštěna auditovaná virtuální privátní síť (VPN). WireGuard nebo OpenVPN s aktivním Kill Switch šifruje veškerý váš síťový provoz a dotazy DNS uvnitř ověřeného tunelu, čímž zcela zabrání operátorovi Evil Twin číst vaše data nebo falšovat webové stránky po vytvoření tunelu VPN. Síť VPN vás však nemůže ochránit během 30sekundového okna, kdy musíte VPN pozastavit, abyste se mohli proklikat úvodní stránkou hotelového portálu, ani vás nemůže ochránit, pokud ručně zadáte své skutečné e-mailové heslo nebo číslo kreditní karty do falešného phishingového formuláře.

Co je IEEE 802.11w (Protected Management Frames) a zastaví záplavy deautentizace?¶

IEEE 802.11w (Protected Management Frames neboli PMF) je bezdrátový bezpečnostní standard, který přidává šifrovací autentizaci a ochranu proti přehrání do rámců pro správu 802.11, včetně Deautentizace a Disasociace pakety. Na dědictví WPA2 sítě bez PMF, může útočník zfalšovat MAC adresu routeru a libovolně vykopnout kteréhokoli klienta ze sítě. Na moderní WPA3-Osobní a WPA3-Enterprise sítě (kde 802,11w je přísně povinné), vaše zařízení kryptograficky ověří rámce pro správu a tiše zahodí neověřené pakety deautentizace z Wi-Fi Pineapple.

Pokud jsem se na pět minut připojil k Evil Twinu, ale procházel jsem pouze webové stránky HTTPS a nic nezadal do portálu, byla mi ukradena hesla?¶

Ne, pokud jste nezadali přihlašovací údaje do falešného captive portálu, nenainstalovali jste podvodný kořenový certifikát nebo konfigurační profil a nepřeklikli jste žádná upozornění na certifikát TLS prohlížeče, moderní TLS 1.3 šifrování a HTTP Strict Transport Security (HSTS) zabránil operátorovi Evil Twin číst vaše hesla, soubory cookie relace nebo obsah webových stránek. V nejhorším případě může pasivní operátor Evil Twin bez nepoctivého kořenového CA vidět pouze indikaci názvu serveru (SNI) hlavičky nebo dotazy DNS ukazující, které názvy domén nejvyšší úrovně vaše zařízení kontaktovalo před odpojením.

Je bezpečnější používat e-mailovou adresu pro vypalovačku, když si kavárna nebo portál pro captive na letišti vyžádá e-mail, aby se mohl dostat online?¶

Ano, kdykoli vás legitimní kavárna, letiště nebo maloobchodní kaptivní portál požádá o zadání e-mailové adresy pro příjem 60 minut bezplatného Wi-Fi, nikdy byste neměli zadávat svou primární osobní nebo firemní e-mailovou adresu ani žádné skutečné heslo k účtu. Většina kaptivních portálů neověřuje vlastnictví e-mailu před otevřením internetové brány (nebo vám poskytne 5 až 10minutovou lhůtu pro kliknutí na ověřovací odkaz), takže pomocí jednorázového aliasu (jako je Apple Skrýt můj e-mail, SimpleLogin nebo necitlivá adresa pro zahození) brání marketingovým sledovačům a operátorům Evil Twin získat vaši skutečnou identitu.

Související průvodci¶

• Veřejná Wi-Fi, hotspoty Evil Twin a ochrana proti džusu
• DNS hijacking, ISP router rekonfigurace WAN a captive portál spoofing
• MFA phishing a bypass protivníka uprostřed
• Phishing se souhlasem OAuth, udělení škodlivých aplikací třetích stran a zrušení tokenu API
• Fyzická manipulace Evil Maid, heslo pro spouštění systému BIOS notebooku v hotelovém pokoji a ochrana Thunderbolt DMA

Zdroje a oficiální pokyny¶

• Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) a Národní bezpečnostní agentura (NSA, Spojené státy americké): Výběr a posílení VPN řešení pro vzdálený přístup a Osvědčené postupy pro mobilní zařízení pro cestovatele a vysoce rizikové zaměstnance.
• Národní institut pro standardy a technologie (NIST, Spojené státy americké): Pokyny pro zabezpečení bezdrátových místních sítí (WLAN) (NIST Special Publication 800-153) a Zero Trust Architecture (NIST SP 800-207).
• Národní centrum kybernetické bezpečnosti (NCSC, Spojené království): Bezpečné používání veřejné Wi-Fi, pokyny k zabezpečení koncových zařízení (EUD) a správa důvěryhodnosti certifikátů.
• Agentura Evropské unie pro kybernetickou bezpečnost (ENISA, Evropská unie): Pokyny pro zabezpečení bezdrátových přístupových bodů, kaptivních portálů a mobilních podnikových koncových bodů.
• Institut elektrotechnických a elektronických inženýrů (IEEE, International): Specifikace IEEE Std 802.11-2020 a IEEE 802.11w Protected Management Frames (PMF).
• Internet Engineering Task Force (IETF, International): RFC 6797 (HTTP Strict Transport Security / HSTS) a RFC 8952 (Captivní Portal Architecture).