Skip to content

Evil Twin Wi-Fi, portails captifs et défense contre la suppression SSL

Les numéros d'urgence diffèrent selon les pays. Cette page utilise le 911, le numéro des États-Unis et du Canada. De nombreux autres pays utilisent le 112, 999 ou un autre numéro. Trouvez le numéro de votre pays.

La connexion aux réseaux sans fil publics dans les hôtels, les aéroports, les cafés, les centres de conférence et les salons de transit expose vos appareils à une interception physique active de proximité connue sous le nom d'attaque Evil Twin Wi-Fi. À l'aide d'un matériel multi-radio compact alimenté par batterie, tel qu'un Wi-Fi Pineapple ou un ordinateur portable exécutant le hostapd démon de point d'accès sans fil, un adversaire assis à moins de 100 mètres (328 pieds) peut diffuser un nom de réseau identique (SSID), inondez le routeur légitime de cadres de gestion falsifiés qui déconnectent de force votre appareil et incitent votre système d'exploitation à rejoindre leur point d'accès malveillant ouvert. Une fois connecté, l'attaquant diffuse une page de démarrage de portail captif clonée conçue pour récolter les informations d'identification de Google, Microsoft 365 ou de chambre d'hôtel, intercepter les jetons de session actifs ou rétrograder les connexions cryptées.

Si vous venez de saisir vos identifiants de connexion, l'authentification unique d'entreprise (SSO) ou des numéros de carte de paiement sur un écran de démarrage Wi-Fi suspect dans un aéroport ou un hôtel, ou si votre navigateur affiche soudainement un avertissement de non-concordance de certificat après la chute et la reconnexion de votre réseau Wi-Fi, vous devez immédiatement rompre la liaison sans fil et isoler vos comptes via les données cellulaires. Si vous êtes victime d'extorsion, d'espionnage d'entreprise actif ou de drainage immédiat de comptes financiers, contactez les forces de l'ordre ou appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans l'Union européenne, 999 au Royaume-Uni) en utilisant notre annuaire mondial de numéros d'urgence. Pour les menaces de proximité sans fil et matérielles étroitement liées, consultez nos guides sur Wi-Fi public, points d'accès Evil Twin et défense contre le juice jacking, Détournement DNS, reconfiguration WAN du routeur FAI et usurpation de portail captif, et Phishing MFA et contournement de l'adversaire au milieu.

Fais ça maintenant

  1. Éteignez immédiatement votre radio Wi-Fi et supprimez le profil réseau enregistré. Désactivez immédiatement le Wi-Fi à partir de la barre de menu supérieure ou de la barre de paramètres de votre système d'exploitation. Ouvrez votre liste de réseaux enregistrée, sélectionnez l'hôtel, l'aéroport ou le café SSID, puis cliquez sur Oublier ce réseau (ou décochez Se connecter automatiquement) afin que votre carte sans fil arrête de diffuser les demandes de sonde et ne puisse pas se reconnecter automatiquement à la radio malveillante.
  2. Passez exclusivement aux données cellulaires 4G/5G ou à un point d'accès cellulaire personnel. N'utilisez jamais de réseau Wi-Fi local sur place pour modifier vos mots de passe ou vérifier vos comptes bancaires. Activez le point d'accès cellulaire de votre smartphone en utilisant WPA3-Personal cryptage et connectez votre ordinateur portable via un câble USB-C physique (USB Tethering) ou Wi-Fi personnel crypté.
  3. Révoquer toutes les sessions de connexion actives et les autorisations OAuth si vous avez saisi vos informations d'identification dans une page de démarrage. Si un portail captif vous a invité à « Connectez-vous avec Google », « Connectez-vous avec Microsoft » ou entrez votre mot de passe de messagerie pour obtenir un accès Wi-Fi gratuit, connectez-vous immédiatement au tableau de bord de sécurité de votre compte à partir de votre connexion cellulaire. Terminez toutes les sessions Web et mobiles actives, révoquez les tiers inconnus OAuth jetons d'application et faites pivoter votre mot de passe.
  4. Inspectez et purgez le magasin de certificats racine et les profils MDM de votre système d'exploitation. Si le portail Wi-Fi vous a invité à télécharger un « certificat de sécurité réseau », .mobileconfig profil ou utilitaire d’aide à la connexion, supprimez-le immédiatement. Vérifiez Paramètres > Général > VPN et gestion des appareils sur iOS/macOS ou certmgr.msc sous Windows et supprimez toute autorité de certification racine inconnue (CA).
  5. Videz votre cache ARP local, le cache du résolveur DNS et les sockets de navigateur actifs. Même après vous être déconnecté d'un système de noms de domaine Evil Twin, empoisonné (DNS) enregistrements et protocole de résolution d'adresse (ARP) les liaisons peuvent persister dans la mémoire volatile. Courir ipconfig /flushdns et arp -d * sous Windows, ou sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder sur macOS, puis quittez complètement et redémarrez votre navigateur Web.
  6. Gelez toute carte de crédit ou de débit saisie dans un portail de facturation Wi-Fi frauduleux. Les attaquants déploient fréquemment de faux portails de mise à niveau « Premium High-Speed ​​Tier » à bord des vols ou des hôtels des compagnies aériennes pour récolter les numéros de compte principaux (PAN), les dates d'expiration et CVV codes de sécurité. Verrouillez la carte concernée dans votre application bancaire mobile et demandez un numéro de remplacement.

N'installez jamais de certificat racine ou de profil de configuration pour rejoindre le Wi-Fi public

Aucun réseau Wi-Fi légitime d'hôtel, de café, d'aéroport ou de compagnie aérienne n'exige qu'un client installe une autorité de certification racine (CA) X.509, une gestion des appareils mobiles (.mobileconfig) ou un programme d'installation exécutable (.exe, .dmg, .apk) pour vous connecter. Si vous installez l'autorité de certification racine auto-signée d'un attaquant, son proxy Evil Twin peut créer dynamiquement de faux certificats TLS pour n'importe quel domaine bancaire, de messagerie ou d'entreprise sur Internet et décrypter 100 % de vos informations. HTTPS trafic en temps réel sans déclencher un seul avertissement du navigateur.

Arbre décisionnel de triage des incidents du Evil Twin et du portail captif

Utilisez cet organigramme de diagnostic pour évaluer votre niveau d'exposition après vous être connecté à un réseau sans fil suspect et exécuter les étapes de confinement techniques exactes requises.

flowchart TD
    A["Connecté au Wi-Fi d'un hôtel, d'un aéroport ou d'un café suspect"] --> B["Désactivez immédiatement le Wi-Fi et appuyez sur Oublier ce réseau"]
    B --> C{"Que s'est-il passé pendant la connexion au réseau ?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Identifiants actifs et compromission de session"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Compromis complet TLS Man-in-the-Middle et Endpoint"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Interception TLS active ou exposition à la suppression SSL"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Faible exposition : protégé par HSTS et TLS 1.3"]

    D --> D1["Passez immédiatement aux données cellulaires 4G/5G"]
    D1 --> D2["Révoquer toutes les sessions actives et les jetons OAuth dans la sécurité du compte"]
    D2 --> D3["Rotation des mots de passe et vérification des règles de transfert automatique des e-mails"]

    E --> E1["Déconnectez le réseau et activez le mode avion sur l'appareil"]
    E1 --> E2["Supprimer le profil non fiable et l'autorité de certification racine du magasin de certificats du système d'exploitation"]
    E2 --> E3["Supposons que tout le trafic pendant la session a été lu en texte brut"]
    E3 --> D2

    F --> F1["Vider les caches DNS et ARP du système d'exploitation et redémarrer le navigateur"]
    F1 --> F2["Effacez tous les cookies du navigateur et le stockage de session pour les sites exposés"]
    F2 --> D2

    G --> G1["Vider le cache du résolveur DNS local et la table ARP"]
    G1 --> G2["Désactiver la jointure automatique sur tous les SSID publics enregistrés"]
    G2 --> G3["Activez WireGuard ou OpenVPN avec Strict Kill Switch"]

Anatomie d'un jumeau maléfique, inondation de désauthentification et attaque de portail captif

De nombreux voyageurs supposent que parce qu'un hôtel ou un café fournit un WPA2-Personal mot de passe sur une pochette de carte-clé ou un tableau noir, le réseau sans fil est crypté et protégé contre les écoutes clandestines. D'autres supposent que leur appareil restera naturellement connecté au point d'accès légitime monté au plafond (AP) plutôt que de vous connecter au routeur sac à dos d'un étranger. Comprendre comment la fréquence radio (RF) la physique et le IEEE 802.11 Le fonctionnement du protocole explique pourquoi les deux hypothèses échouent lors d'une attaque active Evil Twin.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Reconnaissance multi-radio et récolte de sondes KARMA

Lorsque la radio Wi-Fi de votre smartphone ou ordinateur portable est allumée dans un aéroport ou un café, la carte d'interface réseau sans fil (NIC) transmet les trames de demande de sonde 802.11 sur les canaux de 2,4 GHz et 5 GHz. Un attaquant exploitant une plate-forme d'audit à double radio telle qu'un Hak5 Wi-Fi Pineapple, un ESP32 Marauder ou un ordinateur portable Linux exécutant hostapd-mana écoute passivement sur une radio tout en émettant sur la seconde. L'attaquant clone le Service Set Identifier exact (SSID, comme Starbucks WiFi ou MarriottBonvoy_Guest) et peut également cloner l'identifiant de l'ensemble de services de base (BSSID, le matériel 48 bits MAC adresse du routeur de plafond légitime).

2. Inondations forcées de désauthentification et de dissociation 802.11

Si votre ordinateur portable ou votre téléphone est déjà connecté au réseau légitime du lieu WPA2 ou ouvrez un routeur Wi-Fi, il ne passera pas volontairement au Evil Twin de l'attaquant à moins que sa connexion actuelle échoue. Pour forcer votre appareil à quitter immédiatement le routeur légitime, l'attaquant lance un Deauthentication Flood à l'aide d'outils tels que aireplay-ng, mdk4, ou bettercap.

Sous l'héritage IEEE 802.11 standard (avant l'obligation 802.11w Cadres de gestion protégés dans WPA3), cadres de gestion incluant Désauthentification (Subtype 0xC0) et Dissociation (Subtype 0xA0) sont transmis en clair et non authentifiés. L'attaquant usurpe l'adresse du routeur légitime BSSID et envoie des centaines de faux paquets de désauthentification par seconde à votre appareil MAC adresse. Votre carte sans fil obéit à la commande de déconnexion. Parce que l'attaquant se trouve à proximité (par exemple, à 3 mètres [10 pieds]) et diffuse à -35 dBm, par rapport à -70 dBm du plafond de l'hôtel AP à 20 mètres [65 pieds] dans le couloir), l'algorithme d'itinérance de votre système d'exploitation se verrouille immédiatement sur la radio Evil Twin la plus puissante lors de la reconnexion.

3. Le système d’exploitation du portail captif déclenche le détournement et la collecte d’informations d’identification

Au moment où votre appareil s'associe au Evil Twin et reçoit une adresse IP locale de l'attaquant dnsmasq serveur DHCP, votre système d'exploitation déclenche un message non chiffré HTTP sonde en arrière-plan pour vérifier si le réseau nécessite une page de démarrage de connexion :

  • Apple iOS, iPadOS et macOS : Envoie HTTP GET à http://captive.apple.com/hotspot-detect.html en attendant Success.
  • Google Android et ChromeOS : envoie une demande à http://connectivitycheck.gstatic.com/generate_204 en attendant HTTP 204 No Content.
  • Microsoft Windows 10 et 11 : envoie une demande à http://www.msftconnecttest.com/connecttest.txt en attendant Microsoft Connect Test.

L'attaquant intercepte ce texte clair HTTP sonde utilisant iptables ou nftables traduction d'adresse réseau (DNAT) et répond par un HTTP 302 Found rediriger vers leur serveur Web local. Votre téléphone ou ordinateur portable ouvre automatiquement une mini-fenêtre de navigateur (Captive Network Assistant) affichant un clone de l'écran de connexion de la chaîne hôtelière ou une porte de connexion « Wi-Fi social gratuit » proposant « Continuer avec Google / Microsoft / Apple ». S'il est acheminé via un cadre de proxy inverse tel que Evilginx2, l'attaquant transmet votre nom d'utilisateur, votre mot de passe et votre mot de passe à usage unique à 6 chiffres (OTP) au serveur de connexion réel en temps réel et capture votre cookie de session authentifié.

The WPA2-Personal Pre-Shared Key (PSK) "Hole 196" Insider Threat

Même si vous êtes connecté au routeur légitime du café ou de l'hôtel à l'aide d'un réseau partagé WPA2-Personal mot de passe imprimé sur votre reçu, votre trafic local n'est pas isolé des autres invités, sauf si le lieu a activé l'isolation client d'entreprise. Quiconque connaît le public WPA2 mot de passe et capture votre poignée de main EAPOL à 4 voies au moment où vous vous connectez peut décrypter vos trames sans fil par liaison radio, ou utiliser ARP Spoofing (arpspoof / ettercap) et Publicité du routeur IPv6 (RA) Spoofing pour positionner leur ordinateur portable comme passerelle Man-in-the-Middle pour tous les autres invités de ce sous-réseau.

Suppression SSL, contournements HSTS et vérification de la chaîne de certificats TLS

Une fois qu'un attaquant contrôle votre passerelle réseau via un point d'accès Evil Twin ou local ARP empoisonnement, leur principal obstacle est Transport Layer Security (TLS / HTTPS). Lorsque votre navigateur se connecte à https://login.microsoftonline.com, TLS chiffre la charge utile HTTP de bout en bout entre votre navigateur et les serveurs de Microsoft. Pour vaincre ou contourner ce cryptage, les opérateurs d’Evil Twin emploient trois techniques distinctes.

Technique d'attaque Comment l’adversaire l’exécute Ce que la victime voit à l'écran Navigateur moderne / Défense du système d'exploitation
Suppression SSL classique (sslstrip) Types d'utilisateurs bank.com dans la barre d'adresse (par défaut http://). L'attaquant intercepte le HTTP 301 rediriger vers https://, récupère le HTTPS site lui-même et sert un contenu non crypté http://bank.com version à la victime. Aucune icône de cadenas dans la barre d'adresse ; L'URL commence par http:// ou utilise un domaine similaire (https://login-bank.com). Le Mode HTTPS uniquement et les Listes de préchargement HSTS forcent le navigateur à lancer HTTPS sur le tout premier paquet sans envoyer de message HTTP demande.
** HSTS Cache-Busting / Redirection d'homographe (sslstrip2)** L'attaquant réécrit les liens sur une page non cryptée à partir de https://www.chase.com à http://wwww.chase.com (supplément w) ou un domaine Punycode non répertorié dans le tableau de préchargement HSTS du navigateur, puis transmet le trafic vers le site réel. Sous-domaine légèrement modifié (wwww. ou secure-login.) sans HTTPS cryptage ou un certificat Let's Encrypt émis par un attaquant pour un domaine de faute de frappe. Utilisation d'un Password Manager ou d'une clé d'accès FIDO2 liée strictement au domaine enregistré exact (chase.com) refuse de remplir automatiquement les domaines similaires.
Homme du milieu TLS actif (mitmproxy / Fausse CA) L'attaquant intercepte le port TCP 443 directement et présente un certificat TLS auto-signé ou falsifié prétendant être le serveur de destination. Blocage du navigateur plein écran : NET::ERR_CERT_AUTHORITY_INVALID ou MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT. HSTS (HTTP Strict Transport Security) supprime le bouton de contournement « Continuer quand même » sur les domaines préchargés afin que les utilisateurs ne puissent pas cliquer sur l'avertissement.

Comment inspecter une chaîne de certificats TLS

Si votre navigateur affiche "Votre connexion n'est pas privée" (NET::ERR_CERT_AUTHORITY_INVALID ou SEC_ERROR_UNKNOWN_ISSUER), ne cliquez jamais sur « Accéder au site » :

  1. Déclenchez le portail captif via HTTP en texte brut : Ouvrir http://neverssl.com ou http://captive.apple.com pour charger proprement l'écran de démarrage du lieu sans contourner un HTTPS avertissement.
  2. Inspectez l'émetteur du certificat : Une fois en ligne, rechargez votre HTTPS onglet. Si une erreur persiste, affichez le champ Émis par du certificat. Les sites légitimes utilisent des autorités de certification publiques (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Si l'émetteur dit mitmproxy, Fortinet, Self-Signed, ou une autorité de certification locale inconnue, déconnectez-vous immédiatement.

Audit du système d'exploitation étape par étape : suppression des certificats et des profils malveillants

Si un faux portail captif vous a incité à installer un certificat ou un profil, supprimez-le de votre système d'exploitation avant de modifier les mots de passe :

1. Apple iOS et iPadOS (iPhone / iPad)

  1. Supprimer les profils de configuration : Ouvrez Paramètres > Général > VPN et gestion des appareils. Appuyez sur n'importe quel profil inconnu sous Profils de configuration, appuyez sur Supprimer le profil et saisissez votre code d'accès.
  2. Désactivez la confiance totale pour les certificats racines : Ouvrez Paramètres > Général > À propos > Paramètres de confiance des certificats. Sous Activer la confiance totale pour les certificats racine, désactivez OFF tout certificat non professionnel.

2. Apple macOS (MacBook / iMac)

  1. Profils d'audit : ouvrez Paramètres système > Général > Gestion des appareils et supprimez tout profil inconnu à l'aide du signe moins (-) bouton.
  2. Audit de l'accès au trousseau : ouvrez Accès au trousseau, sélectionnez les trousseaux Système et Connexion, cliquez sur Certificats et supprimez toute autorité de certification racine inconnue ou remplacement de confiance personnalisé ajouté à la date à laquelle vous avez rejoint le Wi-Fi public.

3. Microsoft Windows 10 et Windows 11

  1. Ouvrir les magasins de certificats : Appuyez sur Win + R, cours certmgr.msc (Utilisateur actuel), puis exécutez certlm.msc (Machine locale).
  2. Inspectez les autorités de certification racines de confiance : Développez Autorités de certification racines de confiance > Certificats. Cliquez avec le bouton droit et Supprimez tout émetteur inconnu (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxy, et AOSP)

  1. Vérifiez les certificats utilisateur : Ouvrez Paramètres > Sécurité et confidentialité > Plus de sécurité et de confidentialité > Chiffrement et informations d'identification > Informations d'identification fiables et appuyez sur l'onglet Utilisateur.
  2. Supprimer les informations d'identification malveillantes : Un téléphone Android personnel doit avoir un onglet Utilisateur vide. Appuyez sur n'importe quel certificat inconnu et sélectionnez Supprimer, ou appuyez sur Effacer les informations d'identification.

Usurpation d’adresse MAC sur les portails captifs : abus offensifs et durcissement défensif

Chaque carte réseau sans fil dispose d'un matériel 48 bits Media Access Control (MAC) adresse (telle que A4:83:E7:2B:91:0C) transmis dans l'en-tête non chiffré de chaque 802.11 cadre. La plupart des portails captifs des hôtels, des aéroports et des vols suivent les clients payés ou authentifiés en ajoutant leur MAC adresse à une liste blanche de passerelle.

Comment les attaquants abusent de l'usurpation d'identité MAC sur les réseaux publics

Un attaquant exécutant une surveillance passive (airodump-ng ou Kismet) peut voir tous les clients actifs MAC adresse sur le point d'accès :

  1. Piggybacking gratuit et fraude à la facturation : L'attaquant repère un client actif qui a déjà payé pour un accès Wi-Fi et exécute macchanger -m <Victim_MAC> wlan0 (Linux) ou sudo ifconfig en0 ether <Victim_MAC> (macOS) pour cloner celui de la victime MAC adresse.
  2. Collision de session et désauthentification : Partage de la même chose MAC traiter les causes ARP et des collisions de commutation, ou l'attaquant envoie des trames de désauthentification ciblées pour mettre l'invité payant hors ligne tout en détournant sa session payante.
  3. Contournement des limites de temps : Rotation vers un nouvel aléatoire MAC L'adresse réinitialise les compteurs du portail captif « Essai gratuit de 30 minutes ».

Comment configurer des adresses MAC privées/aléatoires

Diffusez votre usine permanente MAC adresse dans 802.11 Les demandes de sonde permettent aux balises de vente au détail et aux harceleurs de suivre vos mouvements physiques. Vérifiez que la Randomisation des adresses MAC est active :

  • iOS et iPadOS (iOS 18+): Ouvrez Paramètres > Wi-Fi, appuyez sur (i) à côté du réseau et définissez Adresse Wi-Fi privée sur Rotative ou Fixe.
  • macOS (macOS Sequoia 15+): Ouvrez Paramètres système > Wi-Fi, cliquez sur Détails... et définissez Adresse Wi-Fi privée sur Rotative ou Fixe.
  • Androïde (Android 10+): Ouvrez Paramètres > Réseau et Internet > Internet, appuyez sur l'icône d'engrenage à côté du réseau, appuyez sur Confidentialité et sélectionnez Utiliser un MAC aléatoire.
  • Windows 10 et 11 : ouvrez Paramètres > Réseau et Internet > Wi-Fi et basculez Adresses matérielles aléatoires sur Activé.

Se défendre contre les jointures automatiques forcées, les attaques KARMA et l'usurpation d'identité SSID

La défense la plus efficace contre un flot de désauthentification Evil Twin consiste à vous assurer que votre appareil ne rejoint jamais automatiquement un réseau Wi-Fi public ouvert ou enregistré. Quand vous rejoignez Starbucks WiFi, attwifi, ou Airport_Free_WiFi une fois, votre appareil enregistre cela SSID dans sa Liste de réseaux préférés (PNL) avec Auto-Join activé. Plus tard, le Wi-Fi Pineapple d'un attaquant peut diffuser cette information. SSID avec zéro cryptage et capturez votre appareil en quelques millisecondes.

Liste de contrôle de renforcement de la connexion automatique Wi-Fi obligatoire

  1. Purger les SSID publics génériques des réseaux enregistrés :
  2. iOS / iPadOS : Paramètres > Wi-Fi > Modifier > supprimez tous les réseaux d'hôtels, d'aéroports et de cafés sous Réseaux connus.
  3. macOS : Paramètres système > Wi-Fi > Avancé... > cliquez sur ... à côté des points d'accès publics et cliquez sur Supprimer de la liste.
  4. Windows 11 : Paramètres > Réseau et Internet > Wi-Fi > Gérer les réseaux connus > cliquez sur Oublier sur les réseaux publics.
  5. Android : Paramètres > Réseau et Internet > Internet > Réseaux enregistrés > appuyez sur Oublier.
  6. Désactivez « Rejoindre automatiquement » sur les réseaux de sites temporaires : Chaque fois que vous utilisez le Wi-Fi d'un hôtel ou d'une conférence, basculez Rejoindre automatiquement (ou Connectez-vous automatiquement) sur OFF immédiatement. Si un attaquant envoie un flot de désauthentification, votre appareil reviendra au cellulaire 4G/5G plutôt que de sauter sur l'Evil Twin.
  7. Désactivez l'analyse automatique des points d'accès : Désactivez Désactivez Activez automatiquement le Wi-Fi sur Android et définissez Demander à rejoindre les réseaux sur Désactivé sur iOS.

Architecture sécurisée pour voyager : points d'accès cellulaires, partage de connexion USB et WireGuard/OpenVPN

Niveau 1 (Gold Standard) : point d'accès cellulaire 4G/5G pour smartphone via câble USB ou WPA3

Réseaux cellulaires (4G LTE et 5G NR) utiliser du matériel SIM/eSIM authentification cryptographique et ne peut pas être désauthentifié par un Pineapple Wi-Fi :

  • Partage de connexion USB filaire (exposition zéro RF) : Connectez votre téléphone à votre ordinateur portable via USB-C et activez Point d'accès personnel/Partage de connexion USB avec la radio Wi-Fi de votre ordinateur portable désactivée**.
  • ** Point d'accès personnel sans fil avec WPA3-Personal:** Définissez une phrase secrète de plus de 16 caractères et vérifiez le cryptage WPA3-Personal (SAE), qui applique les Cadres de gestion protégés (802.11w) pour bloquer les inondations de désauthentification.

Niveau 2 : Wi-Fi de site non fiable enveloppé dans un tunnel WireGuard ou OpenVPN avec Kill Switch

Si la réception cellulaire n'est pas disponible et que vous devez utiliser le Wi-Fi du site :

  1. Résolvez d'abord le portail captif : Mettez votre VPN en pause pendant 30 secondes, rejoignez le Wi-Fi du site, accédez strictement à http://neverssl.com, et acceptez les conditions sans saisir de vrais mots de passe OAuth.
  2. Engagez WireGuard ou OpenVPN avec un Kill Switch du système d'exploitation : Allumez votre WireGuard (ChaCha20-Poly1305) ou OpenVPN (AES-256-GCM) client avec son Kill Switch actif donc tous les paquets TCP/UDP et DNS les requêtes sont cryptées avant d’atteindre le routeur local.
  3. Contourner le blocage UDP : Si le pare-feu d'un hôtel bloque les ports VPN standard (UDP 51820 ou UDP 1194), basculez votre client VPN sur OpenVPN sur le port TCP 443.

Utilisez les clés de sécurité matérielles ou les clés d'accès FIDO2 sur les réseaux publics

Si vous devez vous connecter à un compte pendant votre voyage, authentifiez-vous à l'aide d'une clé d'accès FIDO2 / WebAuthn ou d'une clé de sécurité matérielle physique (telle qu'une YubiKey). Contrairement aux codes SMS ou authentificateur à 6 chiffres, qui peuvent être hameçonnés en temps réel par un Evilginx2 proxy de portail captif, les signatures cryptographiques FIDO2 sont mathématiquement liées à l'origine exacte du domaine TLS dans votre navigateur. Même si un attaquant crée un faux portail de connexion d'apparence identique sur un hotspot Evil Twin, votre YubiKey ou Passkey refusera de signer le défi d'authentification car l'origine du domaine ne correspond pas.

Autorités mondiales de reporting et autorités officielles de cybersécurité

Si vous êtes la cible d'une attaque Evil Twin entraînant un accès non autorisé à l'entreprise, une fraude par fil financier ou un vol d'identité, signalez l'incident à la fois à l'équipe de gestion/sécurité du site (afin que leur équipe informatique puisse localiser le matériel malveillant via la triangulation des signaux physiques) et à votre agence nationale de cybercriminalité :

  • États-Unis : Déposez immédiatement une plainte pour cybercriminalité auprès du Centre de plaintes contre la criminalité sur Internet du FBI (IC3) à ic3.gov et signaler les menaces liées aux infrastructures à la Agence de cybersécurité et de sécurité des infrastructures (CISA) à cisa.gov/report. Pour l’usurpation d’identité du consommateur, déposez-le à IdentityTheft.gov.
  • Royaume-Uni : Signalez les cyberattaques et le vol d'identifiants à Action Fraud à l'adresse actionfraud.police.uk (ou appelez 0300 123 2040; en Écosse, appelez la police écossaise au 101) et consultez les conseils techniques de remédiation du Centre national de cybersécurité (NCSC).
  • Canada : Signalez la compromission au Centre antifraude du Canada (CAFC) (1-888-495-8501) et le Centre canadien pour la cybersécurité (CCCS).
  • Union européenne : Signalez le crime à l'unité de cybercriminalité de votre police nationale et à l'équipe nationale de réponse aux incidents de sécurité informatique (CSIRT) coordonné par ENISA et Europol EC3.
  • Australie et Nouvelle-Zélande : En Australie, déposez un rapport auprès de la Direction australienne des transmissions (ASD) Portail ReportCyber sur cyber.gov.au (1300 292 371). En Nouvelle-Zélande, présentez-vous au CERT NZ / NCSC NZ à cert.govt.nz (0800 237 869).
  • Asie-Pacifique : à Singapour, signalez-vous à la force de police de Singapour (SPF) Centre anti-arnaque et SingCERT (csa.gov.sg). Au Japon, contactez le Bureau de consultation de la police préfectorale sur la cybercriminalité (#9110) et JPCERT/CC.

Questions fréquemment posées

Comment puis-je savoir si le réseau Wi-Fi de l'hôtel ou du café sur mon écran est le vrai routeur ou un Evil Twin ?

Vous ne pouvez pas distinguer un point d'accès légitime d'un Evil Twin simplement en regardant le nom du réseau (SSID) ou des barres de signal dans votre menu Wi-Fi standard, car un attaquant peut reproduire l'orthographe exacte et diffuser un signal plus fort juste à côté de votre siège. Demandez toujours à un membre du personnel à la réception ou au comptoir le nom officiel exact du réseau, s'il nécessite un WPA2/WPA3 mot de passe ou est complètement ouvert, et ce que demande l'écran de démarrage de connexion. Si vous voyez deux réseaux distincts portant exactement le même nom, l'un affichant une icône de cadenas (chiffré) et l'autre ne montrant aucune icône de cadenas (ouvert), le réseau ouvert est presque certainement un piège Evil Twin conçu pour attraper votre appareil via un flot de désauthentification.

Pourquoi mon navigateur a-t-il affiché une erreur de certificat « La connexion n'est pas privée » au moment où j'ai connecté le Wi-Fi de l'hôtel ?

Lorsque vous rejoignez pour la première fois un réseau Wi-Fi légitime d'hôtel ou d'aéroport avant de terminer sa connexion à l'écran de démarrage, le routeur local intercepte tout le trafic sortant pour vous rediriger vers sa page de portail captive. Si le premier onglet du navigateur que vous essayez d'actualiser est un fichier chiffré HTTPS site Web (tel que https://google.com), le routeur de l'hôtel intercepte le port 443 et présente son propre certificat de portail captif local, qui ne correspond pas au certificat de Google et déclenche un avertissement du navigateur. Ne cliquez jamais sur « Continuer quand même » sur cet avertissement ; à la place, ouvrez un nouvel onglet et tapez http://neverssl.com ou http://captive.apple.com afin que l'écran de démarrage de l'hôtel se charge proprement en mode non crypté HTTP, complétez l'accord du portail, puis vérifiez que votre HTTPS les onglets se chargent sans aucun avertissement de certificat.

L'activation de mon VPN me protège-t-elle complètement d'un hotspot Evil Twin ?

Un réseau privé virtuel (VPN) audité exécutant WireGuard ou OpenVPN avec un actif Tuer le commutateur crypte tout votre trafic réseau et vos requêtes DNS dans un tunnel authentifié, empêchant complètement un opérateur Evil Twin de lire vos données ou d'usurper des sites Web une fois le tunnel VPN établi. Cependant, un VPN ne peut pas vous protéger pendant la fenêtre de 30 secondes pendant laquelle vous devez mettre le VPN en pause pour cliquer sur la page d'accueil du portail captif de l'hôtel, ni vous protéger si vous saisissez manuellement votre véritable mot de passe de courrier électronique ou votre numéro de carte de crédit dans un faux formulaire de phishing de portail captif.

Qu'est-ce que la norme IEEE 802.11w (Protected Management Frames) et arrête-t-elle les inondations de désauthentification ?

IEEE 802.11w (cadres de gestion protégés ou PMF) est une norme de sécurité sans fil qui ajoute une authentification cryptographique et une protection contre la relecture aux trames de gestion 802.11, notamment Désauthentification et Dissociation paquets. Sur l'héritage WPA2 réseaux sans PMF, un attaquant peut falsifier l'adresse MAC du routeur et expulser n'importe quel client du réseau à volonté. Sur le moderne WPA3-Personnel et WPA3-Entreprise réseaux (où 802.11w est strictement obligatoire), votre appareil vérifie cryptographiquement les trames de gestion et élimine silencieusement les paquets de désauthentification non authentifiés d'un Wi-Fi Pineapple.

Si je me suis connecté à un Evil Twin pendant cinq minutes mais que je n'ai parcouru que des sites Web HTTPS et que je n'ai rien saisi sur un portail, mes mots de passe ont-ils été volés ?

Non, si vous n'avez pas saisi d'informations d'identification sur un faux portail captif, n'avez pas installé de certificat racine ou de profil de configuration malveillant et n'avez pas cliqué sur les avertissements de certificat TLS du navigateur, moderne TLS1.3 le cryptage et Sécurité de transport stricte HTTP (HSTS) a empêché l'opérateur Evil Twin de lire vos mots de passe, vos cookies de session ou le contenu de vos pages Web. Dans le pire des cas, un opérateur Evil Twin passif sans autorité de certification racine malveillante ne peut voir que l'indication du nom du serveur (SNI) en-têtes ou requêtes DNS indiquant les noms de domaine de premier niveau que votre appareil a contactés avant votre déconnexion.

Est-il plus sûr d'utiliser une adresse e-mail graveur lorsqu'un portail captif de café ou d'aéroport demande un e-mail pour se connecter ?

Oui, chaque fois qu'un café, un aéroport ou un portail captif de vente au détail légitime vous demande de saisir une adresse e-mail pour recevoir 60 minutes de Wi-Fi gratuite, vous ne devez jamais saisir votre adresse e-mail personnelle ou professionnelle principale ni aucun mot de passe de compte réel. La plupart des portails captifs ne vérifient pas la propriété des e-mails avant d'ouvrir le portail Internet (ou ne vous accordent pas une fenêtre de grâce de 5 à 10 minutes pour cliquer sur un lien de vérification), donc en utilisant un alias jetable (tel qu'Apple Masquer mon e-mail, SimpleLogin ou une adresse jetable non sensible) empêche les trackers marketing et les opérateurs Evil Twin de récolter votre véritable identité.

Guides associés

Sources et directives officielles

  • Cybersecurity and Infrastructure Security Agency (CISA) et National Security Agency (NSA, États-Unis) : Sélection et renforcement des solutions VPN d'accès à distance et Meilleures pratiques en matière d'appareils mobiles pour les voyageurs et le personnel à haut risque.
  • National Institute of Standards and Technology (NIST, États-Unis) : Directives pour la sécurisation des réseaux locaux sans fil (WLAN) (Publication spéciale NIST 800-153) et Architecture Zero Trust (NIST SP 800-207).
  • National Cyber ​​Security Center (NCSC, Royaume-Uni) : Utilisation sécurisée du Wi-Fi public, conseils de sécurité des appareils de l'utilisateur final (EUD) et gestion de la confiance des certificats.
  • Agence de l'Union européenne pour la cybersécurité (ENISA, Union européenne) : Lignes directrices sur la sécurisation des points d'accès sans fil, des portails captifs et des points de terminaison d'entreprise mobiles.
  • Institute of Electrical and Electronics Engineers (IEEE, International) : Spécification IEEE Std 802.11-2020 et IEEE 802.11w Protected Management Frames (PMF).
  • Internet Engineering Task Force (IETF, International) : RFC 6797 (HTTP Strict Transport Security / HSTS) et RFC 8952 (Captive Portal Architecture).