Evil Twin Wi-Fi, Captive Portals und SSL Stripping Defense¶

Wenn Sie eine Verbindung zu öffentlichen WLAN-Netzwerken in Hotels, Flughäfen, Cafés, Konferenzzentren und Transit-Lounges herstellen, sind Ihre Geräte einem aktiven Abfangen aus der physischen Nähe ausgesetzt, das als Evil Twin Wi-Fi-Angriff bezeichnet wird. Mit kompakter, batteriebetriebener Multi-Radio-Hardware wie einem Wi-Fi Pineapple oder einem Laptop, auf dem das läuft hostapd Mit dem Wireless Access Point Daemon kann ein Gegner, der sich im Umkreis von 100 Metern (328 Fuß) befindet, einen identischen Netzwerknamen senden (SSID), überschwemmen den legitimen Router mit gefälschten Management-Frames, die Ihr Gerät zwangsweise trennen und Ihr Betriebssystem dazu verleiten, sich seinem offenen, betrügerischen Hotspot anzuschließen. Sobald die Verbindung hergestellt ist, stellt der Angreifer eine geklonte Captive-Portal-Begrüßungsseite bereit, die darauf ausgelegt ist, Google-, Microsoft 365- oder Hotelzimmer-Anmeldeinformationen abzugreifen, aktive Sitzungstoken abzufangen oder verschlüsselte Verbindungen herunterzustufen.

Wenn Sie gerade Anmeldeinformationen eingegeben haben, ist die einmalige Anmeldung für Unternehmen (SSO)-Tokens oder Zahlungskartennummern in einen verdächtigen WLAN-Begrüßungsbildschirm eines Flughafens oder Hotels eingeben oder wenn in Ihrem Browser plötzlich eine Warnung vor Zertifikatskonflikten angezeigt wird, nachdem Ihr WLAN unterbrochen und wieder verbunden wurde, müssen Sie die drahtlose Verbindung sofort trennen und Ihre Konten über Mobilfunkdaten isolieren. Wenn Sie Opfer von Erpressung, aktiver Wirtschaftsspionage oder unmittelbarer Kontoausnutzung werden, wenden Sie sich an die Strafverfolgungsbehörden oder rufen Sie über unser globales Verzeichnis Ihre örtliche Notrufnummer an (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich). Notrufnummern. Informationen zu eng verwandten drahtlosen und Hardware-Proximity-Bedrohungen finden Sie in unseren Leitfäden unter öffentliches WLAN, Evil Twin-Hotspots und Saftdiebstahl-Verteidigung, DNS-Hijacking, WAN-Neukonfiguration des ISP-Routers und Captive-Portal-Spoofing, und MFA-Phishing und Adversary-in-the-Middle-Bypass.

Tun Sie dies jetzt¶

1. Schalten Sie Ihr WLAN-Radio sofort aus und löschen Sie das gespeicherte Netzwerkprofil. Deaktivieren Sie WLAN sofort in der oberen Menüleiste oder in der Einstellungsleiste Ihres Betriebssystems. Öffnen Sie die Liste Ihrer gespeicherten Netzwerke und wählen Sie das Hotel, den Flughafen oder das Café aus SSIDund klicken Sie auf Dieses Netzwerk vergessen (oder deaktivieren Sie Automatisch verbinden), damit Ihre WLAN-Karte keine Prüfanfragen mehr sendet und sich nicht automatisch wieder mit dem unerwünschten Funkgerät verbinden kann.
2. Wechseln Sie ausschließlich zu 4G/5G-Mobilfunkdaten oder einem persönlichen Mobilfunk-Hotspot. Nutzen Sie niemals ein lokales WLAN-Netzwerk am Veranstaltungsort, um Ihre Passwörter zu ändern oder Ihre Bankkonten zu überprüfen. Aktivieren Sie den Mobilfunk-Hotspot Ihres Smartphones mit WPA3-Personal Verschlüsselung und verbinden Sie Ihren Laptop über ein physisches USB-C-Kabel (USB Tethering) oder verschlüsseltes persönliches WLAN.
3. Widerrufen Sie alle aktiven Anmeldesitzungen und OAuth-Gewährungen, wenn Sie Anmeldeinformationen in eine Begrüßungsseite eingegeben haben. Wenn Sie von einem Captive-Portal aufgefordert werden, „Mit Google anmelden“, „Mit Microsoft anmelden“ oder Ihr E-Mail-Passwort einzugeben, um kostenlosen WLAN-Zugriff zu erhalten, melden Sie sich sofort über Ihre Mobilfunkverbindung bei Ihrem Kontosicherheits-Dashboard an. Beenden Sie alle aktiven Web- und Mobilsitzungen und widerrufen Sie unbekannte Drittanbieter OAuth Anwendungstokens und wechseln Sie Ihr Passwort.
4. Überprüfen und bereinigen Sie den Root-Zertifikatspeicher und die MDM-Profile Ihres Betriebssystems. Wenn das Wi-Fi-Portal Sie zum Herunterladen eines „Netzwerksicherheitszertifikats“ auffordert, .mobileconfig Profil oder Verbindungshilfsprogramm entfernen, entfernen Sie es sofort. Überprüfen Sie Einstellungen > Allgemein > VPN & Geräteverwaltung auf iOS/macOS oder certmgr.msc unter Windows und löschen Sie alle unbekannten Stammzertifizierungsstellen (CA).
5. Leeren Sie Ihren lokalen ARP-Cache, DNS-Resolver-Cache und aktive Browser-Sockets. Auch nach der Trennung von einem bösen Zwilling, einem vergifteten Domain Name System (DNS) Datensätze und Address Resolution Protocol (ARP)-Bindungen können im flüchtigen Speicher bestehen bleiben. Lauf ipconfig /flushdns und arp -d * unter Windows, oder sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder unter macOS, dann beenden Sie Ihren Webbrowser vollständig und starten Sie ihn neu.
6. Frieren Sie alle Kredit- oder Debitkarten ein, die in ein betrügerisches WLAN-Abrechnungsportal eingegeben wurden. Angreifer nutzen häufig gefälschte Upgrade-Portale für Flug- oder Hotel-„Premium-High-Speed-Stufe“ von Fluggesellschaften, um primäre Kontonummern abzugreifen (PAN), Ablaufdaten und CVV Sicherheitscodes. Sperren Sie die betroffene Karte in Ihrer Mobile-Banking-App und fordern Sie eine Ersatznummer an.

Entscheidungsbaum für die Triage von Vorfällen mit bösen Zwillingen und Gefangenenportalen¶

Verwenden Sie dieses Diagnose-Flussdiagramm, um Ihren Gefährdungsgrad nach der Verbindung mit einem verdächtigen drahtlosen Netzwerk zu bewerten und die genauen erforderlichen technischen Eindämmungsschritte durchzuführen.

flowchart TD
    A["Verbunden mit dem WLAN eines verdächtigen Hotels, Flughafens oder Cafés"] --> B["Schalten Sie WLAN sofort aus und tippen Sie auf „Dieses Netzwerk vergessen“."]
    B --> C{"Was ist passiert, während ich mit dem Netzwerk verbunden war?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Aktive Berechtigungs- und Sitzungskompromittierung"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Vollständige TLS-Man-in-the-Middle- und Endpoint-Kompromittierung"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Aktives TLS-Interception oder SSL-Stripping-Exposure"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Geringe Exposition: Geschützt durch HSTS und TLS 1.3"]

    D --> D1["Wechseln Sie sofort zu 4G/5G-Mobilfunkdaten"]
    D1 --> D2["Widerrufen Sie alle aktiven Sitzungen und OAuth-Tokens in der Kontosicherheit"]
    D2 --> D3["Ändern Sie Passwörter und prüfen Sie die Regeln für die automatische E-Mail-Weiterleitung"]

    E --> E1["Trennen Sie die Netzwerkverbindung und aktivieren Sie den Flugmodus auf dem Gerät"]
    E1 --> E2["Löschen Sie das Rogue-Profil und die Root-CA aus dem Zertifikatspeicher des Betriebssystems"]
    E2 --> E3["Gehen Sie davon aus, dass der gesamte Datenverkehr während der Sitzung im Klartext gelesen wurde"]
    E3 --> D2

    F --> F1["Leeren Sie die DNS- und ARP-Caches des Betriebssystems und starten Sie den Browser neu"]
    F1 --> F2["Löschen Sie alle Browser-Cookies und Sitzungsspeicher für exponierte Websites"]
    F2 --> D2

    G --> G1["Leeren Sie den lokalen DNS-Resolver-Cache und die ARP-Tabelle"]
    G1 --> G2["Deaktivieren Sie den automatischen Beitritt für alle gespeicherten öffentlichen SSIDs"]
    G2 --> G3["Aktivieren Sie WireGuard oder OpenVPN mit Strict Kill Switch"]

Anatomie eines bösen Zwillings, Deauthentifizierungsflut und Gefangenenportalangriff¶

Viele Reisende gehen davon aus, dass ein Hotel oder Café ein gedrucktes Exemplar bereitstellt WPA2-Personal Mit dem Passwort auf einer Schlüsselkartenhülle oder einer Tafel ist das drahtlose Netzwerk verschlüsselt und abhörsicher. Andere gehen davon aus, dass ihr Gerät natürlich mit dem legitimen, an der Decke montierten Access Point verbunden bleibt (AP), anstatt eine Verbindung zum Rucksack-Router eines Fremden herzustellen. Verstehen, wie Radiofrequenz (RF) Physik und die IEEE 802.11 Die Protokollfunktion erklärt, warum beide Annahmen während eines aktiven Evil Twin-Angriffs scheitern.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Multi-Radio-Aufklärung und KARMA-Sonden-Ernte¶

Wenn das WLAN Ihres Smartphones oder Laptops in einem Flughafen oder Café eingeschaltet ist, wird die WLAN-Schnittstellenkarte (NIC) überträgt 802.11 Probe Request-Frames über 2,4-GHz- und 5-GHz-Kanäle. Ein Angreifer, der eine Dual-Radio-Auditing-Plattform wie einen Hak5 Wi-Fi Pineapple, einen ESP32 Marauder oder einen laufenden Linux-Laptop betreibt hostapd-mana hört passiv auf einem Funkgerät zu, während es auf dem zweiten sendet. Der Angreifer klont den genauen Service Set Identifier (SSID, wie z Starbucks WiFi oder MarriottBonvoy_Guest) und kann auch den Basic Service Set Identifier klonen (BSSID, die 48-Bit-Hardware MAC Adresse des legitimen Deckenrouters).

2. Erzwungene 802.11-Deauthentifizierung und Dissoziationsfluten¶

Wenn Ihr Laptop oder Telefon bereits mit der legitimen Verbindung des Veranstaltungsortes verbunden ist WPA2 oder einen offenen WLAN-Router, wechselt er nicht freiwillig zum bösen Zwilling des Angreifers, es sei denn, seine aktuelle Verbindung schlägt fehl. Um Ihr Gerät sofort vom legitimen Router zu trennen, startet der Angreifer eine Deauthentication Flood mit Tools wie aireplay-ng, mdk4, oder bettercap.

Unter dem Erbe IEEE 802.11 Standard (vor obligatorisch 802.11w Geschützte Verwaltungsrahmen in WPA3), Verwaltungsrahmen einschließlich Deauthentifizierung (Subtype 0xC0) und Dissoziation (Subtype 0xA0) werden unverschlüsselt und unauthentifiziert übertragen. Der Angreifer fälscht die des legitimen Routers BSSID und sendet Hunderte gefälschter Deauthentifizierungspakete pro Sekunde an Ihr Gerät MAC Adresse. Ihre WLAN-Karte gehorcht dem Trennbefehl. Weil der Angreifer in der Nähe sitzt (z. B. 3 Meter [10 Fuß] entfernt) und sendet -35 dBm, im Vergleich zu -70 dBm vom Hoteldecken-AP 20 Meter [65 Fuß] den Flur hinunter), greift der Roaming-Algorithmus Ihres Betriebssystems beim erneuten Herstellen der Verbindung sofort auf das stärkere Evil Twin-Funkgerät zu.

3. Captive-Portal-Betriebssysteme lösen Hijacking und das Sammeln von Anmeldeinformationen aus¶

In dem Moment, in dem sich Ihr Gerät mit dem Evil Twin verbindet und vom Angreifer eine lokale IP-Adresse erhält dnsmasq DHCP-Server, Ihr Betriebssystem löst eine unverschlüsselte Verbindung aus HTTP Hintergrundprobe, um zu prüfen, ob das Netzwerk eine Login-Splash-Seite erfordert:

• Apple iOS, iPadOS und macOS: Sendet HTTP GET zu http://captive.apple.com/hotspot-detect.html erwarten Success.
• Google Android und ChromeOS: Sendet eine Anfrage an http://connectivitycheck.gstatic.com/generate_204 erwarten HTTP 204 No Content.
• Microsoft Windows 10 und 11: Sendet eine Anfrage an http://www.msftconnecttest.com/connecttest.txt erwarten Microsoft Connect Test.

Der Angreifer fängt diesen Klartext ab HTTP Sonde mit iptables oder nftables Netzwerkadressenübersetzung (DNAT) und antwortet mit einem HTTP 302 Found auf ihren lokalen Webserver umleiten. Ihr Telefon oder Laptop öffnet automatisch ein Mini-Browserfenster (Captive Network Assistant), das einen Klon des Anmeldebildschirms der Hotelkette oder ein „Free Social Wi-Fi“-Anmeldegate mit der Option „Weiter mit Google / Microsoft / Apple“ anzeigt. Bei der Weiterleitung über ein Reverse-Proxy-Framework wie z Evilginx2, gibt der Angreifer Ihren Benutzernamen, Ihr Passwort und Ihr 6-stelliges Einmalpasswort weiter (OTP) in Echtzeit an den echten Anmeldeserver und erfasst Ihr authentifiziertes Sitzungscookie.

SSL-Stripping, HSTS-Umgehungen und Überprüfung der TLS-Zertifikatskette¶

Sobald ein Angreifer Ihr Netzwerk-Gateway über einen Evil Twin-Zugangspunkt oder lokal kontrolliert ARP Vergiftung, ihr Haupthindernis ist Transport Layer Security (TLS / HTTPS). Wenn Ihr Browser eine Verbindung herstellt https://login.microsoftonline.com, TLS verschlüsselt die HTTP-Nutzlast Ende-zu-Ende zwischen Ihrem Browser und den Servern von Microsoft. Um diese Verschlüsselung zu umgehen oder zu umgehen, nutzen die Betreiber von Evil Twin drei verschiedene Techniken.

So überprüfen Sie eine TLS-Zertifikatskette¶

Wenn Ihr Browser „Ihre Verbindung ist nicht privat“ anzeigt (NET::ERR_CERT_AUTHORITY_INVALID oder SEC_ERROR_UNKNOWN_ISSUER), klicken Sie niemals auf „Weiter zur Website“:

1. Triggern Sie das Captive-Portal über Klartext-HTTP aus: Öffnen http://neverssl.com oder http://captive.apple.com um den Begrüßungsbildschirm des Veranstaltungsortes sauber zu laden, ohne einen zu umgehen HTTPS Warnung.
2. Überprüfen Sie den Zertifikatsaussteller: Sobald Sie online sind, laden Sie Ihr Zertifikat neu HTTPS Registerkarte. Wenn weiterhin ein Fehler auftritt, sehen Sie sich das Feld Ausgestellt von des Zertifikats an. Seriöse Websites nutzen öffentliche Zertifizierungsstellen (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Wenn der Emittent sagt mitmproxy, Fortinet, Self-Signed, oder eine unbekannte lokale Zertifizierungsstelle, trennen Sie sofort die Verbindung.

Schritt-für-Schritt-Überprüfung des Betriebssystems: Entfernen unerwünschter Zertifikate und Profile¶

Wenn ein gefälschtes Captive-Portal Sie dazu verleitet hat, ein Zertifikat oder Profil zu installieren, entfernen Sie es aus Ihrem Betriebssystem, bevor Sie Passwörter wechseln:

1. Apple iOS und iPadOS (iPhone / iPad)¶

1. Konfigurationsprofile entfernen: Öffnen Sie Einstellungen > Allgemein > VPN- und Geräteverwaltung. Tippen Sie unter Konfigurationsprofile auf ein unbekanntes Profil, tippen Sie auf Profil entfernen und geben Sie Ihren Passcode ein.
2. Vollständige Vertrauenswürdigkeit für Stammzertifikate deaktivieren: Öffnen Sie Einstellungen > Allgemein > Info > Einstellungen für die Zertifikatsvertrauenswürdigkeit. Schalten Sie unter Vollständige Vertrauenswürdigkeit für Stammzertifikate aktivieren alle Nicht-Unternehmenszertifikate AUS.

2. Apple macOS (MacBook / iMac)¶

1. Profile überwachen: Öffnen Sie Systemeinstellungen > Allgemein > Geräteverwaltung und entfernen Sie alle unbekannten Profile mit dem Minuszeichen (-)-Taste.
2. Schlüsselbundzugriff prüfen: Öffnen Sie Schlüsselbundzugriff, wählen Sie die Schlüsselbunde System und Anmeldung aus, klicken Sie auf Zertifikate und löschen Sie alle unbekannten Stammzertifizierungsstellen oder benutzerdefinierten Vertrauensüberschreibungen, die an dem Tag hinzugefügt wurden, an dem Sie dem öffentlichen WLAN beigetreten sind.

3. Microsoft Windows 10 und Windows 11¶

1. Zertifikatspeicher öffnen: Drücken Sie Win + R, lauf certmgr.msc (Aktueller Benutzer) und dann ausführen certlm.msc (Lokale Maschine).
2. Vertrauenswürdige Stammzertifizierungsstellen prüfen: Erweitern Sie Vertrauenswürdige Stammzertifizierungsstellen > Zertifikate. Klicken Sie mit der rechten Maustaste und Löschen Sie einen unbekannten Aussteller (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxy, und AOSP)¶

1. Benutzerzertifikate überprüfen: Öffnen Sie Einstellungen > Sicherheit und Datenschutz > Mehr Sicherheit und Datenschutz > Verschlüsselung und Anmeldeinformationen > Vertrauenswürdige Anmeldeinformationen und tippen Sie auf die Registerkarte Benutzer.
2. Rogue-Anmeldeinformationen entfernen: Ein privates Android-Telefon sollte eine leere Registerkarte Benutzer haben. Tippen Sie auf ein unbekanntes Zertifikat und wählen Sie Entfernen oder tippen Sie auf Anmeldeinformationen löschen.

Spoofing von MAC-Adressen auf Captive-Portalen: Offensiver Missbrauch und defensive Verhärtung¶

Jede drahtlose Netzwerkkarte verfügt über eine 48-Bit-Hardware Media Access Control (MAC) Adresse (z. B A4:83:E7:2B:91:0C) wird im unverschlüsselten Header von jedem übertragen 802.11 Rahmen. Die meisten Hotel-, Flughafen- und Bord-Captive-Portale verfolgen bezahlte oder authentifizierte Gäste, indem sie ihre hinzufügen MAC Adresse auf eine Gateway-Zulassungsliste setzen.

Wie Angreifer MAC-Spoofing in öffentlichen Netzwerken missbrauchen¶

Ein Angreifer, der eine passive Überwachung durchführt (airodump-ng oder Kismet) kann jeden aktiven Client anzeigen MAC Adresse auf dem Access Point:

1. Kostenloses Huckepack- und Abrechnungsbetrug: Der Angreifer entdeckt einen aktiven Client, der bereits für den WLAN-Zugang bezahlt hat und diesen ausführt macchanger -m <Victim_MAC> wlan0 (Linux) bzw sudo ifconfig en0 ether <Victim_MAC> (macOS), um das Opfer zu klonen MAC Adresse.
2. Sitzungskollision und Deauthentifizierung: Gleiches teilen MAC Ursachen ansprechen ARP und Switching-Kollisionen, oder der Angreifer sendet gezielte Deauthentifizierungsframes, um den zahlenden Gast offline zu schalten und gleichzeitig seine kostenpflichtige Sitzung zu kapern.
3. Zeitlimits umgehen: Wechsel zu einem neuen Zufallsprinzip MAC Die Adresse setzt die Captive-Portal-Zähler „Kostenlose 30-Minuten-Testversion“ zurück.

So konfigurieren Sie private/zufällige MAC-Adressen¶

Übertragen Sie Ihre permanente Fabrik MAC Adresse in 802.11 Mit Probe Requests können Einzelhandelsbeacons und Stalker Ihre physischen Bewegungen verfolgen. Stellen Sie sicher, dass MAC-Adress-Randomisierung aktiv ist:

• iOS und iPadOS (iOS 18+): Öffnen Sie Einstellungen > WLAN und tippen Sie auf (i) neben dem Netzwerk und stellen Sie Private WLAN-Adresse auf Rotierend oder Fest ein.
• macOS (macOS Sequoia 15+): Öffnen Sie Systemeinstellungen > WLAN, klicken Sie auf Details... und stellen Sie Private WLAN-Adresse auf Rotierend oder Fest ein.
• Android (Android 10+): Öffnen Sie Einstellungen > Netzwerk & Internet > Internet, tippen Sie auf das Zahnradsymbol neben dem Netzwerk, tippen Sie auf Datenschutz und wählen Sie Zufällige MAC-Adresse verwenden.
• Windows 10 und 11: Öffnen Sie Einstellungen > Netzwerk & Internet > WLAN und schalten Sie Zufällige Hardwareadressen auf Ein.

Abwehr von Forced Auto-Join, KARMA-Angriffen und SSID-Spoofing¶

Der stärkste Schutz gegen eine Deauthentifizierungsflut von Evil Twin besteht darin, sicherzustellen, dass Ihr Gerät niemals automatisch einem offenen oder gespeicherten öffentlichen Wi-Fi-Netzwerk beitritt. Wenn Sie beitreten Starbucks WiFi, attwifi, oder Airport_Free_WiFi einmalig, Ihr Gerät speichert das SSID in seiner Liste bevorzugter Netzwerke (PNL) mit Auto-Join aktiviert. Später kann das Wi-Fi Pineapple eines Angreifers dies übertragen SSID ohne Verschlüsselung und erfassen Sie Ihr Gerät in Millisekunden.

Obligatorische Checkliste zur Wi-Fi-Auto-Join-Härtung¶

1. Löschen Sie generische öffentliche SSIDs aus gespeicherten Netzwerken:
2. iOS / iPadOS: Einstellungen > WLAN > Bearbeiten > alle Hotel-, Flughafen- und Café-Netzwerke unter Bekannte Netzwerke löschen.
3. macOS: Systemeinstellungen > WLAN > Erweitert... > klicken ... neben öffentlichen Hotspots und klicken Sie auf Aus Liste entfernen.
4. Windows 11: Einstellungen > Netzwerk & Internet > WLAN > Bekannte Netzwerke verwalten > bei öffentlichen Netzwerken auf Vergessen klicken.
5. Android: Einstellungen > Netzwerk & Internet > Internet > Gespeicherte Netzwerke > tippen Sie auf Vergessen.
6. Deaktivieren Sie „Auto-Join“ in temporären Veranstaltungsortnetzwerken: Wenn Sie Hotel- oder Konferenz-WLAN nutzen, schalten Sie Auto-Join (oder Automatisch verbinden) sofort auf OFF. Wenn ein Angreifer eine Deauthentifizierungsflut sendet, wird Ihr Gerät auf 4G/5G-Mobilfunk zurückgesetzt, anstatt auf den Evil Twin zu springen.
7. Deaktivieren Sie die automatische Suche nach Hotspots: Schalten Sie AUS Wi-Fi automatisch einschalten unter Android aus und setzen Sie Nach Netzwerkbeitritt fragen auf Aus unter iOS.

Sichere Architektur für unterwegs: Mobilfunk-Hotspots, USB-Tethering und WireGuard / OpenVPN¶

Tier 1 (Gold Standard): Smartphone 4G/5G Mobilfunk-Hotspot über USB-Kabel oder WPA3¶

Mobilfunknetze (4G LTE und 5G NR) Hardware verwenden SIM/eSIM kryptografische Authentifizierung und kann nicht von einem Wi-Fi Pineapple deauthentifiziert werden:

• Kabelgebundenes USB-Tethering (keine RF-Belastung): Verbinden Sie Ihr Telefon über USB-C mit Ihrem Laptop und aktivieren Sie Persönlichen Hotspot/USB-Tethering, während der WLAN-Funk Ihres Laptops AUS ausgeschaltet ist.
• Drahtloser persönlicher Hotspot mit WPA3-Personal: Legen Sie eine Passphrase mit mehr als 16 Zeichen fest und überprüfen Sie die WPA3-Personal (SAE)-Verschlüsselung, die Protected Management Frames (802.11w), um Deauthentifizierungsfluten zu blockieren.

Stufe 2: Nicht vertrauenswürdiges WLAN am Veranstaltungsort, eingebettet in einen WireGuard- oder OpenVPN-Tunnel mit Kill Switch¶

Wenn kein Mobilfunkempfang verfügbar ist und Sie das WLAN am Veranstaltungsort nutzen müssen:

1. Beheben Sie zuerst das Captive Portal: Pausieren Sie Ihr VPN für 30 Sekunden, verbinden Sie sich mit dem WLAN des Veranstaltungsortes und navigieren Sie genau dorthin http://neverssl.com, und akzeptieren Sie die Bedingungen, ohne echte OAuth-Passwörter einzugeben.
2. Aktivieren Sie WireGuard oder OpenVPN mit einem Betriebssystem-Kill-Switch: Schalten Sie Ihren WireGuard ein (ChaCha20-Poly1305) oder OpenVPN (AES-256-GCM) Client mit aktivem Kill Switch, sodass alle TCP/UDP-Pakete und DNS Anfragen werden verschlüsselt, bevor sie den lokalen Router erreichen.
3. UDP-Blockierung umgehen: Wenn eine Hotel-Firewall Standard-VPN-Ports blockiert (UDP 51820 oder UDP 1194), stellen Sie Ihren VPN-Client auf OpenVPN über TCP-Port 443 um.

Globale Berichterstattung und offizielle Cybersicherheitsbehörden¶

Wenn Sie Ziel eines Evil-Twin-Angriffs sind, der zu unbefugtem Firmenzugang, Finanzbetrug oder Identitätsdiebstahl führt, melden Sie den Vorfall sowohl dem Management-/Sicherheitsteam des Veranstaltungsortes (damit das IT-Team die betrügerische Hardware über physische Signaltriangulation lokalisieren kann) als auch Ihrer nationalen Cyberkriminalitätsbehörde:

• Vereinigte Staaten: Reichen Sie sofort eine Beschwerde wegen Cyberkriminalität beim FBI Internet Crime Complaint Center ein (IC3) bei ic3.gov und Infrastrukturbedrohungen an die Cybersecurity and Infrastructure Security Agency () melden.CISA) bei cisa.gov/report. Melden Sie sich bei Identitätsdiebstahl bei Verbrauchern unter IdentityTheft.gov.
• Vereinigtes Königreich: Melden Sie Cyberangriffe und Anmeldedatendiebstahl an Action Fraud unter actionfraud.police.uk (oder anrufen 0300 123 2040; Rufen Sie in Schottland die Polizei Schottland an 101) und konsultieren Sie die technischen Abhilfeleitfäden des National Cyber Security Center (NCSC).
• Kanada: Melden Sie den Kompromiss dem Canadian Anti-Fraud Centre (CAFC) (1-888-495-8501) und das Canadian Center for Cyber Security (CCCS).
• Europäische Union: Melden Sie das Verbrechen Ihrer nationalen Polizeieinheit für Cyberkriminalität und Ihrem nationalen Computer Security Incident Response Team (CSIRT) koordiniert unter ENISA und Europol EC3.
• Australien und Neuseeland: Reichen Sie in Australien einen Bericht über das Australian Signals Directorate ein (ASD) ReportCyber-Portal unter cyber.gov.au (1300 292 371). Melden Sie sich in Neuseeland an CERT NZ / NCSC NZ unter cert.govt.nz (0800 237 869).
• Asien-Pazifik: Melden Sie sich in Singapur bei der Polizei von Singapur (SPF) Anti-Scam Centre und SingCERT (csa.gov.sg). In Japan wenden Sie sich an den Beratungsschalter für Cyberkriminalität der Präfekturpolizei (#9110) und JPCERT/CC.

Häufig gestellte Fragen¶

Wie kann ich feststellen, ob das WLAN-Netzwerk des Hotels oder Cafés auf meinem Bildschirm der echte Router oder ein Evil Twin ist?¶

Sie können einen legitimen Zugangspunkt nicht von einem Evil Twin unterscheiden, indem Sie einfach auf den Netzwerknamen schauen (SSID) oder Signalbalken in Ihrem Standard-WLAN-Menü, da ein Angreifer die genaue Schreibweise kopieren und ein stärkeres Signal direkt neben Ihrem Sitzplatz senden kann. Fragen Sie immer einen Mitarbeiter an der Rezeption oder am Schalter nach dem genauen offiziellen Netzwerknamen, falls dieser erforderlich ist WPA2/WPA3 Passwort oder vollständig geöffnet ist und was auf dem Login-Begrüßungsbildschirm abgefragt wird. Wenn Sie zwei separate Netzwerke mit genau demselben Namen sehen, eines mit einem Vorhängeschloss-Symbol (verschlüsselt) und ein anderes ohne Vorhängeschloss-Symbol (offen), handelt es sich bei dem offenen Netzwerk mit ziemlicher Sicherheit um eine Evil-Twin-Falle, die darauf ausgelegt ist, Ihr Gerät durch eine Deauthentifizierungsflut abzufangen.

Warum zeigte mein Browser einen Zertifikatsfehler „Verbindung ist nicht privat“ an, als ich mich dem Hotel-WLAN anschloss?¶

Wenn Sie sich zum ersten Mal einem legitimen Hotel- oder Flughafen-WLAN-Netzwerk anschließen, bevor Sie sich über den Begrüßungsbildschirm angemeldet haben, fängt der lokale Router den gesamten ausgehenden Datenverkehr ab und leitet Sie auf die Captive-Portalseite weiter. Wenn der erste Browser-Tab, den Sie aktualisieren möchten, verschlüsselt ist HTTPS Website (z.B https://google.com), fängt der Hotelrouter den Port ab 443 und präsentiert sein eigenes lokales Captive-Portal-Zertifikat, das nicht mit dem Zertifikat von Google übereinstimmt und eine Browserwarnung auslöst. Klicken Sie bei dieser Warnung niemals auf „Trotzdem fortfahren“. Öffnen Sie stattdessen einen neuen Tab und geben Sie Folgendes ein http://neverssl.com oder http://captive.apple.com So wird der Begrüßungsbildschirm des Hotels sauber und unverschlüsselt geladen HTTP, füllen Sie die Portalvereinbarung aus und überprüfen Sie dann, ob Ihre HTTPS Tabs werden ohne Zertifikatwarnungen geladen.

Schützt mich die Aktivierung meines VPN vollständig vor einem Evil Twin-Hotspot?¶

Ein geprüftes virtuelles privates Netzwerk (VPN) läuft WireGuard oder OpenVPN mit einem aktiven Kill-Schalter verschlüsselt Ihren gesamten Netzwerkverkehr und Ihre DNS-Anfragen innerhalb eines authentifizierten Tunnels und verhindert so vollständig, dass ein Evil Twin-Betreiber Ihre Daten liest oder Websites fälscht, sobald der VPN-Tunnel eingerichtet ist. Ein VPN kann Sie jedoch nicht während des 30-Sekunden-Fensters schützen, in dem Sie das VPN anhalten müssen, um durch die Begrüßungsseite des Captive-Portals des Hotels zu klicken, und es kann Sie auch nicht schützen, wenn Sie Ihr echtes E-Mail-Passwort oder Ihre Kreditkartennummer manuell in ein gefälschtes Captive-Portal-Phishing-Formular eingeben.

Was ist IEEE 802.11w (Protected Management Frames) und stoppt es Deauthentifizierungsfluten?¶

IEEE 802.11w (Protected Management Frames oder PMF) ist ein drahtloser Sicherheitsstandard, der 802.11-Verwaltungsrahmen einschließlich kryptografischer Authentifizierung und Wiedergabeschutz hinzufügt Deauthentifizierung und Trennung Pakete. Auf Vermächtnis WPA2 In Netzwerken ohne PMF kann ein Angreifer die MAC-Adresse des Routers fälschen und jeden Client nach Belieben aus dem Netzwerk werfen. Auf modern WPA3-Personal und WPA3-Enterprise Netzwerke (wo 802.11w ist unbedingt erforderlich), überprüft Ihr Gerät Verwaltungsframes kryptografisch und verwirft nicht authentifizierte Deauthentifizierungspakete von einem Wi-Fi Pineapple stillschweigend.

Wenn ich mich fünf Minuten lang mit einem Evil Twin verbunden habe, aber nur HTTPS-Websites durchsucht und nichts in ein Portal eingegeben habe, wurden dann meine Passwörter gestohlen?¶

Nein, wenn Sie keine Anmeldeinformationen in ein gefälschtes Captive-Portal eingegeben, kein betrügerisches Root-Zertifikat oder Konfigurationsprofil installiert und keine TLS-Zertifikatwarnungen des Browsers ignoriert haben, modern TLS 1.3 Verschlüsselung und HTTP Strict Transport Security (HSTS) verhindert, dass der Evil Twin-Betreiber Ihre Passwörter, Sitzungscookies oder Webseiteninhalte liest. Im schlimmsten Fall kann ein passiver Evil Twin-Betreiber ohne eine betrügerische Root-CA nur die Servernamenanzeige sehen (SNI)-Header oder DNS-Abfragen, die zeigen, welche Top-Level-Domainnamen Ihr Gerät kontaktiert hat, bevor Sie die Verbindung getrennt haben.

Ist es sicherer, eine Brenner-E-Mail-Adresse zu verwenden, wenn ein Café oder ein Captive-Portal am Flughafen eine E-Mail-Adresse benötigt, um online zu gehen?¶

Ja, wenn Sie in einem legitimen Café, Flughafen oder Einzelhandelsportal aufgefordert werden, eine E-Mail-Adresse einzugeben, um 60 Minuten kostenloses WLAN zu erhalten, sollten Sie niemals Ihre primäre persönliche oder geschäftliche E-Mail-Adresse oder ein echtes Kontopasswort eingeben. Die meisten Captive-Portale verifizieren die E-Mail-Inhaberschaft nicht, bevor sie das Internet-Tor öffnen (oder geben Ihnen ein Zeitfenster von 5 bis 10 Minuten, um auf einen Verifizierungslink zu klicken), und verwenden daher einen Einweg-Alias (z. B. Apple). Meine E-Mail ausblenden, SimpleLogin oder eine nicht vertrauliche Wegwerfadresse) verhindert, dass Marketing-Tracker und Evil Twin-Betreiber Ihre wahre Identität ausspionieren.

Verwandte Leitfäden¶

• Öffentliches WLAN, Evil Twin-Hotspots und Saftdiebstahl-Verteidigung
• DNS-Hijacking, WAN-Neukonfiguration des ISP-Routers und Captive-Portal-Spoofing
• MFA-Phishing und Adversary-in-the-Middle-Bypass
• OAuth-Zustimmungs-Phishing, bösartige App-Gewährungen von Drittanbietern und API-Token-Widerruf
• Physische Manipulation durch Evil Maid, BIOS-Startpasswort für Hotelzimmer-Laptops und Thunderbolt-DMA-Abwehr

Quellen und offizielle Anleitung¶

• Cybersecurity and Infrastructure Security Agency (CISA) und National Security Agency (NSA, Vereinigte Staaten): Auswahl und Härtung von Remote Access VPN-Lösungen und Best Practices für mobile Geräte für Reisende und Hochrisikopersonal.
• National Institute of Standards and Technology (NIST, Vereinigte Staaten): Richtlinien zur Sicherung drahtloser lokaler Netzwerke (WLANs) (NIST-Sonderpublikation 800-153) und Zero Trust Architecture (NIST SP 800-207).
• National Cyber ​​Security Centre (NCSC, Vereinigtes Königreich): Sichere Nutzung von öffentlichem WLAN, Sicherheitsleitfaden für Endbenutzergeräte (EUD) und Zertifikatsvertrauensverwaltung.
• Agentur der Europäischen Union für Cybersicherheit (ENISA, Europäische Union): Richtlinien zur Sicherung drahtloser Zugangspunkte, Captive Portals und mobiler Unternehmensendpunkte.
• Institute of Electrical and Electronics Engineers (IEEE, International): IEEE Std 802.11-2020 und IEEE 802.11w Protected Management Frames (PMF) Spezifikation.
• Internet Engineering Task Force (IETF, International): RFC 6797 (HTTP Strict Transport Security / HSTS) und RFC 8952 (Captive Portal Architecture).