Skip to content

Evil Twin Wi-Fi, Captive Portals og SSL Stripping Defense

Neyðarnúmer eru mismunandi eftir löndum. Þessi síða notar 911, númerið fyrir Bandaríkin og Kanada. Mörg önnur lönd nota 112, 999 eða annað númer. Finndu númerið fyrir landið þitt.

Með því að tengjast almennu þráðlausu neti á hótelum, flugvöllum, kaffihúsum, ráðstefnumiðstöðvum og samgöngustofum verða tækin þín fyrir virkri líkamlegri nálægðarhlerun sem kallast Evil Twin Wi-Fi árás. Með því að nota nettan, rafhlöðuknúinn fjölútvarpsbúnað eins og Wi-Fi Pineapple eða fartölvu sem keyrir hostapd þráðlausa aðgangsstaðapúkinn, andstæðingur sem situr innan 100 metra (328 feta) getur útvarpað sama netheiti (SSID), flæða lögmæta beininn með fölsuðum stjórnunarrömmum sem aftengja tækið þitt með valdi og blekkja stýrikerfið þitt til að ganga til liðs við opna fantavirka reitinn þeirra. Þegar árásarmaðurinn hefur verið tengdur, þjónar árásarmaðurinn klónaðri sveppasíðu fyrir fangagátt sem er hönnuð til að safna Google, Microsoft 365 eða hótelherbergisskilríkjum, stöðva virka lotumerki eða lækka dulkóðaðar tengingar.

Ef þú slóst bara inn innskráningarskilríki, fyrirtækjaeinskráning (SSO) tákn, eða greiðslukortanúmer inn á grunsamlegan Wi-Fi skjá á flugvelli eða hóteli, eða ef vafrinn þinn birti skyndilega viðvörun um ósamræmi vottorðs eftir að Wi-Fi tækið þitt féll niður og tengdist aftur, verður þú að rjúfa þráðlausa hlekkinn strax og einangra reikninga þína yfir farsímagögn. Ef þú verður fyrir fjárkúgun, virkum fyrirtækjanjósnum eða tafarlausri tæmingu á fjárhagsreikningum skaltu hafa samband við lögreglu eða hringja í neyðarnúmerið þitt (911 í Bandaríkjunum og Kanada, 112 í Evrópusambandinu, 999 í Bretlandi) með því að nota alþjóðlega skrá okkar yfir neyðarnúmer. Fyrir nátengdar þráðlausar og vélbúnaðar nálægðarógnir, skoðaðu leiðbeiningar okkar um almennings Wi-Fi, Evil Twin hotspots, og safa jack vörn, DNS ræning, WAN endurstilling ISP beini og skopstæling á fangagátt, og MFA vefveiðar og andstæðingur-í-miðja framhjá.

Gerðu þetta núna

  1. Slökktu strax á Wi-Fi útvarpinu þínu og eyddu vistuðum netsniði. Slökktu strax á Wi-Fi á efstu valmyndarstiku stýrikerfisins eða stillingabakkanum. Opnaðu listann yfir vistað netkerfi, veldu hótelið, flugvöllinn eða kaffihúsið SSID, og smelltu á Gleymdu þessu neti (eða taktu hakið úr Tengdu sjálfkrafa) svo þráðlausa kortið þitt hætti að senda út könnunarbeiðnir og getur ekki tengst sjálfvirkt við útvarpið.
  2. Skiptu eingöngu yfir í 4G/5G farsímagögn eða persónulegan farsímanet. Notaðu aldrei neitt staðbundið Wi-Fi net á staðnum til að breyta lykilorðum þínum eða athuga bankareikninga þína. Virkjaðu farsímanetkerfi snjallsímans þíns með því að nota WPA3-Personal dulkóðun og tengdu fartölvuna þína með líkamlegri USB-C snúru (USB Tethering) eða dulkóðuðu persónulegu Wi-Fi.
  3. Afturkalla allar virkar innskráningarlotur og OAuth-styrki ef þú slóst inn skilríki á splash-síðu. Ef fangagátt bað þig um að „Skráðu þig inn með Google,“ „Skráðu þig inn með Microsoft,“ eða sláðu inn lykilorðið þitt fyrir tölvupóst til að fá ókeypis Wi-Fi aðgang, skráðu þig strax inn á öryggisstjórnborð reikningsins úr farsímatengingunni þinni. Lokaðu öllum virkum vef- og farsímalotum, afturkallaðu ókunnugan þriðja aðila OAuth forritamerki og snúðu lykilorðinu þínu.
  4. Skoðaðu og hreinsaðu stýrikerfið Root Certificate Store og MDM prófíla. Ef Wi-Fi gáttin bað þig um að hlaða niður "Network Security Certificate," .mobileconfig prófíl, eða tengingarhjálparforrit, fjarlægðu það strax. Athugaðu Stillingar > Almennt > VPN og tækjastjórnun á iOS/macOS eða certmgr.msc á Windows og eyða öllum ókunnugum rótarvottorðsyfirvöldum (CA).
  5. Skolaðu staðbundið ARP skyndiminni, skyndiminni DNS lausnarans og virka vafrainnstungur. Jafnvel eftir að hafa aftengst Evil Twin, eitrað lénsheitakerfi (DNS) færslur og heimilisfangsupplausnarbókun (ARP) bindingar geta haldið áfram í rokgjörnu minni. Hlaupa ipconfig /flushdns og arp -d * á Windows, eða sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder á macOS, slepptu síðan alveg og endurræstu vafrann þinn.
  6. Frysta öll kredit- eða debetkort sem eru slegin inn á sviksamlega Wi-Fi reikningagátt. Árásarmenn nota oft falsaða uppfærslugátt flugfélaga á flugi eða hóteli til að safna aðalreikningsnúmerum („Premium High-Speed Tier“)PAN), fyrningardagsetningar og CVV öryggiskóða. Læstu viðkomandi korti í farsímabankaforritinu þínu og biðja um skiptinúmer.

Settu aldrei upp rótarvottorð eða stillingarsnið til að tengjast almennu Wi-Fi

Ekkert lögmætt hótel, kaffihús, flugvöllur eða Wi-Fi netkerfi flugfélaga krefst þess að gestur setji upp X.509 Root Certificate Authority (CA), stjórnun farsíma (.mobileconfig) prófíl, eða keyranlegt uppsetningarforrit (.exe, .dmg, .apk) til að komast á netið. Ef þú setur upp sjálfundirritaðan Root CA árásaraðila, getur Evil Twin umboðsmaður þeirra búið til fölsuð TLS vottorð fyrir hvaða banka-, tölvupóst- eða fyrirtækjalén sem er á internetinu og afkóða 100 prósent af þínu HTTPS umferð í rauntíma án þess að kveikja á einni vafraviðvörun.

Evil Twin og fangagátt atvik Triage ákvörðunartré

Notaðu þetta greiningarflæðirit til að meta váhrifastig þitt eftir tengingu við grunsamlegt þráðlaust net og framkvæma nákvæmlega þau tæknilegu innilokunarskref sem krafist er.

flowchart TD
    A["Tengt við grunsamlegt hótel, flugvöll eða kaffihús Wi-Fi"] --> B["Slökktu strax á Wi-Fi og pikkaðu á Gleymdu þessu neti"]
    B --> C{"Hvað gerðist þegar tengdur var við netið?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Virk skilríki og málamiðlun á fundi"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Full TLS Man-in-the-Middle og endapunktur málamiðlun"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Virk TLS hlerun eða SSL Stripping Exposure"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Lítil lýsing: Varið með HSTS og TLS 1.3"]

    D --> D1["Skiptu strax yfir í 4G/5G farsímagögn"]
    D1 --> D2["Afturkalla allar virkar lotur og OAuth tákn í reikningsöryggi"]
    D2 --> D3["Snúa lykilorðum og endurskoða reglur um sjálfvirka framsendingu tölvupósts"]

    E --> E1["Aftengdu netkerfi og virkjaðu flugstillingu á tæki"]
    E1 --> E2["Eyða Rogue Profile og Root CA frá OS Certificate Store"]
    E2 --> E3["Gerum ráð fyrir að öll umferð á fundinum hafi verið lesin í einföldum texta"]
    E3 --> D2

    F --> F1["Skolaðu OS DNS og ARP skyndiminni og endurræstu vafra"]
    F1 --> F2["Hreinsaðu allar vafrakökur og lotugeymslu fyrir óvarðar síður"]
    F2 --> D2

    G --> G1["Skolaðu staðbundið DNS Resolver Cache og ARP töflu"]
    G1 --> G2["Slökktu á sjálfvirkri tengingu á öllum vistuðum opinberum SSID"]
    G2 --> G3["Virkjaðu WireGuard eða OpenVPN með Strict Kill Switch"]

Líffærafræði ills tvíbura, afauðkenningarflóð og árás á fangagátt

Margir ferðamenn gera ráð fyrir því vegna þess að hótel eða kaffihús veitir útprentaða WPA2-Personal lykilorð á lyklakortshylki eða krítartöflu, þráðlausa netið er dulkóðað og öruggt fyrir hlerun. Aðrir gera ráð fyrir að tækið þeirra verði náttúrulega tengt við lögmætan aðgangsstað sem er í loftinu (AP) frekar en að tengjast bakpokabeini ókunnugra. Að skilja hvernig útvarpstíðni (RF) eðlisfræði og IEEE 802.11 siðareglur starfa útskýrir hvers vegna báðar forsendurnar mistakast meðan á virkri Evil Twin árás stendur.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Multi-radio könnun og KARMA rannsaka uppskeru

Þegar kveikt er á Wi-Fi útvarpinu á snjallsímanum eða fartölvunni á flugvelli eða kaffihúsi, mun þráðlausa netviðmótskortið (NIC) sendir 802.11 Probe Request ramma yfir 2,4 GHz og 5 GHz rásir. Árásarmaður sem rekur endurskoðunarvettvang með tvöföldum útvarpi eins og Hak5 Wi-Fi Pineapple, ESP32 Marauder eða Linux fartölvu í gangi hostapd-mana hlustar aðgerðalaust á einu útvarpinu á meðan það sendir í öðru. Árásarmaðurinn klónar nákvæmlega þjónustusett auðkenni (SSID, svo sem Starbucks WiFi eða MarriottBonvoy_Guest) og getur líka klónað auðkenni grunnþjónustusetts (BSSID, 48-bita vélbúnaðurinn MAC heimilisfang lögmæta loftbeinisins).

2. Þvinguð 802.11 deautentication and dissociation flóð

Ef fartölvan þín eða síminn þinn er þegar tengdur við lögmætan vettvang WPA2 eða opinn Wi-Fi bein, mun hann ekki sjálfviljugur skipta yfir í Evil Twin árásarmannsins nema núverandi tenging hans bili. Til að þvinga tækið þitt af lögmætum beininum tafarlaust, setur árásarmaðurinn af stað afsankingaflóð með því að nota verkfæri eins og aireplay-ng, mdk4, eða bettercap.

Undir arfleifðinni IEEE 802.11 staðall (áður en lögboðið er 802.11w Verndaðir stjórnunarrammar í WPA3), stjórnunarrammar þar á meðal Auðvottun (Subtype 0xC0) og Aðtenging (Subtype 0xA0) eru sendar ódulkóðaðar og óstaðfestar. Árásarmaðurinn spokar á lögmætan beini BSSID og sendir hundruð fölsuðra auðkenningarpakka á sekúndu til tækisins þíns MAC heimilisfang. Þráðlausa kortið þitt hlýðir aftengingarskipuninni. Vegna þess að árásarmaðurinn situr nálægt (til dæmis 3 metra [10 feta] fjarlægð og sendir út kl -35 dBm, miðað við -70 dBm frá hótelloftinu AP 20 metrum [65 fet] niður ganginn), þá læsist reikireiknirit stýrikerfisins strax á sterkara Evil Twin útvarpið þegar það tengist aftur.

3. Captive portal OS kveikir á ræningum og heimildauppskeru

Um leið og tækið þitt tengist Evil Twin og fær staðbundna IP tölu frá árásarmanninum dnsmasq DHCP miðlara, stýrikerfið þitt skýtur ódulkóðuðu HTTP bakgrunnsrannsókn til að athuga hvort netið krefjist innskráningarsíðu:

  • Apple iOS, iPadOS og macOS: Sendir HTTP GET til http://captive.apple.com/hotspot-detect.html búast við Success.
  • Google Android og ChromeOS: Sendir beiðni til http://connectivitycheck.gstatic.com/generate_204 búast við HTTP 204 No Content.
  • Microsoft Windows 10 og 11: Sendir beiðni til http://www.msftconnecttest.com/connecttest.txt búast við Microsoft Connect Test.

Árásarmaðurinn stöðvar þennan texta HTTP rannsaka að nota iptables eða nftables þýðing netfangs (DNAT) og svarar með an HTTP 302 Found beina á staðbundinn vefþjón sinn. Síminn þinn eða fartölva sprettur sjálfkrafa upp smávafraglugga (Captive Network Assistant) sem sýnir klón af innskráningarskjá hótelkeðjunnar eða „Free Social Wi-Fi“ innskráningarhlið sem býður upp á „Continue with Google / Microsoft / Apple“. Ef það er flutt í gegnum öfugan umboðsramma eins og Evilginx2, sendir árásarmaðurinn notendanafnið þitt, lykilorð og 6 stafa einstaks lykilorð (OTP) til raunverulegs innskráningarþjóns í rauntíma og fangar staðfestu lotukökuna þína.

The WPA2-Personal Pre-Shared Key (PSK) "Hole 196" Insider Threat

Jafnvel ef þú ert tengdur við lögmæta kaffihúsið eða hótelbeini með því að nota sameiginlega WPA2-Personal lykilorð prentað á kvittunina þína, staðbundin umferð þín er ekki einangruð frá öðrum gestum nema vettvangurinn hafi virkjað fyrirtæki Client Einangrun. Allir sem þekkja almenning WPA2 lykilorð og fangar 4-átta EAPOL handabandið þitt á því augnabliki sem þú tengist getur afkóðað þráðlausa ramma þína yfir loftið, eða notað ARP Spoofing (arpspoof / ettercap) og IPv6 leiðarauglýsing (RA) Spoofing til að staðsetja fartölvuna sína sem Man-in-the-Middle gátt fyrir hvern annan gest á því undirneti.

SSL strípur, HSTS framhjáhlaup og TLS vottorð keðju sannprófun

Þegar árásarmaður stjórnar netgáttinni þinni í gegnum Evil Twin aðgangsstað eða staðbundinn ARP eitrun, aðal hindrun þeirra er Transport Layer Security (TLS / HTTPS). Þegar vafrinn þinn tengist https://login.microsoftonline.com, TLS dulkóðar HTTP-hleðsluna frá enda til enda milli vafrans þíns og netþjóna Microsoft. Til að vinna bug á eða framhjá þessari dulkóðun nota Evil Twin rekstraraðilar þrjár aðskildar aðferðir.

Árásartækni Hvernig andstæðingurinn framkvæmir það Það sem fórnarlambið sér á skjánum Nútíma vafra / stýrikerfisvörn
Classic SSL stripping (sslstrip) Notendategundir bank.com í heimilisfangastikunni (sjálfgefið er http://). Árásarmaður grípur til HTTP 301 beina til https://, sækir HTTPS síðuna sjálfa og þjónar ódulkóðuðu http://bank.com útgáfu til fórnarlambsins. Ekkert hengilástákn í veffangastikunni; URL byrjar á http:// eða notar útlitslén (https://login-bank.com). HTTPS-aðeins stilling og HSTS forhleðslulistar þvinga vafrann til að ræsa HTTPS á fyrsta pakkanum án þess að senda an HTTP beiðni.
HSTS Cache-Busting / Homograph Redirect (sslstrip2) Árásarmaður endurskrifar tengla á ódulkóðaðri síðu frá https://www.chase.com til http://wwww.chase.com (aukalega w) eða Punycode lén sem ekki er skráð í HSTS forhleðslutöflu vafrans, og sendir síðan umboð á raunverulegu síðuna. Örlítið breytt undirlén (wwww. eða secure-login.) með nr HTTPS dulkóðun eða Let's Encrypt vottorð sem gefið er út af árásarmanni fyrir innsláttarvillulén. Notkun Lykilorðastjórnunar eða FIDO2 lykillykill bundinn nákvæmlega við nákvæmlega skráða lénið (chase.com) neitar að fylla út sjálfvirkt á svipuðum lénum.
Virkur TLS maður-í-miðju (mitmproxy / Fake CA) Árásarmaður stöðvar TCP tengi 443 beint og framvísar sjálfundirrituðu eða fölsuðu TLS vottorði sem segist vera áfangaþjónninn. Vafrablokk á öllum skjánum: NET::ERR_CERT_AUTHORITY_INVALID eða MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT. HSTS (HTTP Strict Transport Security) fjarlægir „Halda samt áfram“ framhjáhnappinn á forhlaðnum lénum svo notendur geta ekki smellt í gegnum viðvörunina.

Hvernig á að skoða TLS vottorðskeðju

Ef vafrinn þinn sýnir „Tengingin þín er ekki einka“ (NET::ERR_CERT_AUTHORITY_INVALID eða SEC_ERROR_UNKNOWN_ISSUER), smelltu aldrei á „Áfram á síðuna“:

  1. Kveiktu á fangagáttinni yfir látlausan texta HTTP: Opið http://neverssl.com eða http://captive.apple.com að hlaða vettvangsskvettuskjáinn hreint án þess að fara framhjá HTTPS viðvörun.
  2. Athugaðu útgefanda skírteinisins: Þegar þú ert nettengdur skaltu endurhlaða HTTPS flipa. Ef villa er eftir skaltu skoða reitinn Útgefið af vottorðsins. Lögmætar síður nota opinber CAs (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Ef útgefandi segir mitmproxy, Fortinet, Self-Signed, eða óþekkt staðbundið CA, aftengjast strax.

Skref-fyrir-skref endurskoðun stýrikerfis: fjarlægir fantur vottorð og snið

Ef fölsuð fangagátt plataði þig til að setja upp skírteini eða prófíl skaltu fjarlægja það úr stýrikerfinu þínu áður en þú skiptir lykilorðum:

1. Apple iOS og iPadOS (iPhone / iPad)

  1. Fjarlægja stillingarsnið: Opnaðu Stillingar > Almennt > VPN og tækjastjórnun. Pikkaðu á einhvern ókunnugan snið undir Stillingarsnið, pikkaðu á Fjarlægja snið og sláðu inn aðgangskóðann þinn.
  2. Slökkva á fullu trausti fyrir rótarvottorð: Opnaðu Stillingar > Almennt > Um > Stillingar vottorðstrausts. Undir Virkja fullt traust fyrir rótarskírteini, kveiktu á SLÖKKT hvaða skírteini sem er utan fyrirtækis.

2. Apple macOS (MacBook / iMac)

  1. ** Endurskoðunarsnið:** Opnaðu Kerfisstillingar > Almennar > Tækjastjórnun og fjarlægðu óþekkt snið með mínus (-) hnappinn.
  2. Aðgangur lyklakippu endurskoðunar: Opnaðu Lyklakippuaðgang, veldu Kerfi og innskráningar lyklakippurnar, smelltu á Skírteini og eyddu öllum ókunnugum rótar-CA eða sérsniðnum traustshnekkingum sem bætt var við á þeim degi sem þú gekkst í almenna Wi-Fi.

3. Microsoft Windows 10 og Windows 11

  1. Opna vottorðabúðir: Ýttu á Win + R, hlaupa certmgr.msc (Núverandi notandi), og keyrðu síðan certlm.msc (Staðbundin vél).
  2. Skoðaðu traust rótarvottunaryfirvöld: Stækkaðu Traust rótarvottunaryfirvöld > Vottorð. Hægrismelltu og Eyða öllum ókunnugum útgefanda (mitmproxy, FiddlerRoot, Local Network CA).

4. Google Android (Pixel, Samsung Galaxy, og AOSP)

  1. Athugaðu notendaskírteini: Opnaðu Stillingar > Öryggi og næði > Meira öryggi og næði > Dulkóðun og skilríki > Traust skilríki og pikkaðu á flipann Notandi.
  2. Fjarlægja Rogue Credentials: Persónulegur Android sími ætti að hafa tóman Notanda flipa. Pikkaðu á ókunnugt vottorð og veldu Fjarlægja, eða pikkaðu á Hreinsa skilríki.

MAC heimilisfang skopstæling á fangagáttum: móðgandi misnotkun og varnarhersla

Öll þráðlaus netkort eru með 48 bita vélbúnaði Media Access Control (MAC) heimilisfang (svo sem A4:83:E7:2B:91:0C) send í ódulkóðuðum haus hvers 802.11 ramma. Flestar fangagáttir á hótelum, flugvelli og í flugi fylgjast með greiddum eða auðkenndum gestum með því að bæta við MAC heimilisfang á leyfislista gáttar.

Hvernig árásarmenn misnota MAC skopstælingar á opinberum netum

Árásarmaður sem keyrir óvirka vöktun (airodump-ng eða Kismet) getur skoðað alla virka viðskiptavini MAC heimilisfang á aðgangsstað:

  1. Ókeypis farþegaflug og innheimtusvik: Árásarmaðurinn kemur auga á virkan viðskiptavin sem hefur þegar greitt fyrir Wi-Fi aðgang og keyrir macchanger -m <Victim_MAC> wlan0 (Linux) eða sudo ifconfig en0 ether <Victim_MAC> (macOS) til að klóna fórnarlambið MAC heimilisfang.
  2. Session Collision and Deauthentication: Deilir því sama MAC taka á orsökum ARP og skiptaárekstrar, eða árásarmaðurinn sendir markvissa afsannvottun ramma til að snerta greiðanda gestinn án nettengingar á meðan hann rænir greiddri lotu þeirra.
  3. ** Framhjá tímamörkum:** Snúið í nýtt handahófi MAC heimilisfang endurstillir „ókeypis 30 mínútna prufuáskrift“ teljara fyrir fangagátt.

Hvernig á að stilla einka / slembiraðað MAC vistföng

Sendir út varanlega verksmiðjuna þína MAC heimilisfang í 802.11 rannsaka beiðnir gera smásöluvitar og stalkers kleift að fylgjast með líkamlegum hreyfingum þínum. Staðfestu að MAC Address Randomization sé virk:

  • iOS og iPadOS (iOS 18+): Opnaðu Stillingar > Wi-Fi, pikkaðu á (i) við hliðina á netinu og stilltu Privat Wi-Fi Address á Snúning eða Fast.
  • macOS (macOS Sequoia 15+): Opnaðu Kerfisstillingar > Wi-Fi, smelltu á Upplýsingar... og stilltu Privat Wi-Fi Address á Snúning eða Fast.
  • Android (Android 10+): Opnaðu Stillingar > Net og internet > Internet, pikkaðu á gírtáknið við hliðina á netinu, pikkaðu á Persónuvernd og veldu Nota slembiraðaða MAC.
  • Windows 10 og 11: Opnaðu Stillingar > Net og internet > Wi-Fi og kveiktu á Tilviljanakenndum netföngum vélbúnaðar í Kveikt.

Að verjast þvinguðum sjálfvirkum tengingum, KARMA árásum og SSID skopstælingum

Sterkasta vörnin gegn Evil Twin afvottunarflóði er að tryggja að tækið þitt tengi sig aldrei sjálfkrafa á opið eða vistað almennt Wi-Fi net. Þegar þú tekur þátt Starbucks WiFi, attwifi, eða Airport_Free_WiFi einu sinni vistar tækið það SSID í Preferred Network List (PNL) með Auto-Join virkt. Síðar getur Wi-Fi Ananas árásarmanns sent það út SSID með núlldulkóðun og fanga tækið þitt á millisekúndum.

Skylda Wi-Fi Auto-Join herðingargátlisti

  1. Hreinsaðu almenn opinber SSID úr vistuðum netkerfum:
  2. iOS / iPadOS: Stillingar > Wi-Fi > Breyta > eyða öllum hótel-, flugvelli- og kaffihúsakerfum undir Þekkt net.
  3. macOS: Kerfisstillingar > Wi-Fi > Ítarlegt... > smelltu ... við hliðina á almennum heitum reitum og smelltu á Fjarlægja af lista.
  4. Windows 11: Stillingar > Net og internet > Wi-Fi > Stjórna þekktum netkerfum > smelltu á Gleyma á almennum netum.
  5. Android: Stillingar > Net og internet > Internet > Vistuð net > bankaðu á Gleyma.
  6. Slökktu á „Sjálfvirkri tengingu“ á tímabundnum vettvangsnetum: Alltaf þegar þú notar hótel- eða ráðstefnuþráðlaust net skaltu skipta Sjálfvirk tenging (eða Tengist sjálfkrafa) í SLÖKKT strax. Ef árásarmaður sendir afstaðfestingarflóð mun tækið þitt falla aftur í 4G/5G farsíma frekar en að hoppa á Evil Twin.
  7. Slökkva á sjálfvirkri netkerfisskönnun: Slökktu á SLÖKKU Kveiktu sjálfkrafa á Wi-Fi á Android og stilltu Biðja um að tengjast netum á Slökkt á iOS.

Öruggur arkitektúr fyrir ferðalög: Farsímakerfi, USB-tjóðrun og WireGuard / OpenVPN

Tier 1 (Gull Standard): Snjallsíma 4G/5G farsímakerfi heitur reitur með USB snúru eða WPA3

Farsímakerfi (4G LTE og 5G NR) nota vélbúnað SIM/eSIM dulmálsvottun og ekki er hægt að afsannvotta hana með Wi-Fi Ananas:

  • ** USB-tjóðrun með snúru (núll RF-útsetning):** Tengdu símann þinn við fartölvuna þína í gegnum USB-C og virkjaðu Persónulega heitan reit / USB-tjóðrun með slökkt á Wi-Fi útvarpi fartölvunnar á SLÖKKT.
  • Þráðlaus persónulegur heitur reitur með WPA3-Personal: Stilltu 16+ stafa lykilorð og staðfestu WPA3-Personal (SAE) dulkóðun, sem framfylgir Protected Management Frames (802.11w) til að koma í veg fyrir afvottunarflóð.

Tier 2: Ótraust vettvangur Wi-Fi vafinn í WireGuard eða OpenVPN göngum með Kill Switch

Ef farsímamóttaka er ekki tiltæk og þú verður að nota þráðlaust net:

  1. Leysaðu fangagáttina fyrst: Gerðu hlé á VPN-num þínum í 30 sekúndur, taktu þátt í Wi-Fi vettvangi, farðu stranglega að http://neverssl.com, og samþykkja skilmálana án þess að slá inn raunveruleg OAuth lykilorð.
  2. Taktu WireGuard eða OpenVPN með OS Kill Switch: Kveiktu á WireGuard þínum (ChaCha20-Poly1305) eða OpenVPN (AES-256-GCM) viðskiptavinur með Kill Switch virkan þannig að allir TCP/UDP pakkar og DNS fyrirspurnir eru dulkóðaðar áður en þær ná til staðbundins beini.
  3. Sjáið framhjá UDP-útilokun: Ef eldveggur hótels lokar á venjuleg VPN-tengi (UDP 51820 eða UDP 1194), skiptu VPN biðlaranum þínum yfir í OpenVPN yfir TCP Port 443.

Notaðu FIDO2 vélbúnaðaröryggislykla eða aðgangslykla á almennum netum

Ef þú verður að skrá þig inn á reikning á ferðalagi skaltu auðkenna með því að nota FIDO2 / WebAuthn Passkey eða líkamlegan vélbúnaðaröryggislykil (svo sem YubiKey). Ólíkt 6 stafa SMS eða Authenticator kóða, sem hægt er að vefveiða í rauntíma með Evilginx2 fangagátt umboð, FIDO2 dulmálsundirskriftir eru stærðfræðilega bundnar nákvæmlega TLS lénsuppruna í vafranum þínum. Jafnvel þó að árásarmaður byggi falsaða innskráningargátt í sömu útliti á Evil Twin heitum reit, mun YubiKey eða Passkey þinn neita að skrifa undir auðkenningaráskorunina vegna þess að uppruni lénsins passar ekki.

Alþjóðlegar skýrslur og opinber netöryggisyfirvöld

Ef þú ert skotmark með Evil Twin árás sem leiðir til óheimils fyrirtækjaaðgangs, fjársvika eða persónuþjófnaðar, tilkynntu atvikið bæði til stjórnenda/öryggisteymi staðarins (svo upplýsingatækniteymi þeirra geti fundið fanta vélbúnaðinn með líkamlegri merkjaþrengingu) og til innlendrar netglæpastofnunar þinnar:

  • Bandaríkin: Sendu tafarlaust kvörtun um netglæpi til FBI Internet Crime Complaint Center (IC3) kl ic3.gov og tilkynna innviðaógnir til Netöryggis- og innviðaöryggisstofnunarinnar (CISA) kl cisa.gov/report. Fyrir persónuþjófnað neytenda, skrá á IdentityTheft.gov.
  • Bretland: Tilkynna netárásir og skilríkisþjófnað til Aðgerðarsvik kl. actionfraud.police.uk (eða hringdu 0300 123 2040; í Skotlandi, hringdu í lögregluna í Skotlandi 101) og ráðfærðu þig við tæknilegar leiðbeiningar um úrbætur frá National Cyber Security Center (NCSC).
  • Kanada: Tilkynntu málamiðlunina til Canadian Anti-Fraud Center (CAFC) (1-888-495-8501) og Canadian Center for Cyber Security (CCCS).
  • Evrópusambandið: Tilkynntu glæpinn til landslögreglunnar um netglæpastarfsemi og landsvísu Tölvuöryggisviðbragðateymi (CSIRT) samræmd undir ENISA og Europol EC3.
  • Ástralía og Nýja Sjáland: Í Ástralíu skaltu leggja fram skýrslu í gegnum Australian Signals Directorate (ASD) ReportCyber vefgátt kl cyber.gov.au (1300 292 371). Á Nýja Sjálandi, tilkynntu til CERT NZ / NCSC NZ kl cert.govt.nz (0800 237 869).
  • Asía-Kyrrahaf: Í Singapúr, tilkynntu til Singapúr lögreglunnar (SPF) Anti-Scam Centre og SingCERT (csa.gov.sg). Í Japan, hafðu samband við ráðgjafastofu lögreglunnar um netglæpi (#9110) og JPCERT/CC.

Algengar spurningar

Hvernig get ég sagt hvort Wi-Fi netið á hótelinu eða kaffihúsinu á skjánum mínum sé raunverulegur beininn eða Evil Twin?

Þú getur ekki greint lögmætan aðgangsstað frá Evil Twin einfaldlega með því að skoða netheitið (SSID) eða merkjastikur í venjulegu Wi-Fi valmyndinni þinni, vegna þess að árásarmaður getur afritað nákvæma stafsetningu og sent út sterkara merki rétt við hliðina á sætinu þínu. Spyrðu alltaf starfsmann í afgreiðslu eða afgreiðsluborð um nákvæmlega opinbert nafn nets, hvort sem það krefst a WPA2/WPA3 lykilorð eða er alveg opið og það sem innskráningarskjárinn biður um. Ef þú sérð tvö aðskilin net með nákvæmlega sama nafni, annað sýnir hengilástákn (dulkóðað) og annað sýnir ekkert hengilástákn (opið), er opna netið næstum örugglega Evil Twin gildra sem er hönnuð til að ná tækinu þínu í gegnum afstaðfestingarflóð.

Af hverju sýndi vafrinn minn villu í vottorðinu „Connection Is Not Private“ um leið og ég tengdist Wi-Fi hóteli?

Þegar þú tengist fyrst lögmætu Wi-Fi neti hótels eða flugvallar áður en þú lýkur innskráningu á skvettaskjánum, stöðva staðbundna beini alla umferð á útleið til að vísa þér á fangagáttarsíðuna sína. Ef fyrsti vafraflipi sem þú reynir að endurnýja er dulkóðaður HTTPS vefsíðu (svo sem https://google.com), hlerar hótelbeini höfn 443 og framvísar sínu eigin staðbundnu vottorði fyrir fangagátt, sem passar ekki við vottorð Google og kallar á vafraviðvörun. Aldrei smelltu á "Halda samt áfram" á þeirri viðvörun; í staðinn skaltu opna nýjan flipa og slá inn http://neverssl.com eða http://captive.apple.com svo hótelskvettaskjárinn hleðst hreint yfir ódulkóðaðan HTTP, ljúktu við gáttarsamninginn og staðfestu síðan að þinn HTTPS flipar hlaðast án vottorðaviðvarana.

Verður það að kveikja á VPN-netinu mínu algjörlega fyrir Evil Twin heitum reit?

Endurskoðað Virtual Private Network (VPN) í gangi WireGuard eða OpenVPN með virkum Kill Switch dulkóðar alla netumferð þína og DNS fyrirspurnir inni í auðkenndum göngum, sem kemur í veg fyrir að Evil Twin rekstraraðili geti lesið gögnin þín eða skopst að vefsíðum þegar VPN göngin hafa verið stofnuð. Hins vegar getur VPN ekki verndað þig meðan á 30 sekúndna glugganum stendur þegar þú verður að gera hlé á VPN til að smella í gegnum skvettusíðu hótelsins fyrir fangagátt, né getur það verndað þig ef þú slærð inn raunverulegt netfangalykilorð eða kreditkortanúmer handvirkt á falsað vefveiðareyðublað fyrir fangagátt.

Hvað er IEEE 802.11w (Protected Management Frames) og kemur það í veg fyrir afsönnunarflóð?

IEEE 802.11w (Protected Management Frames, eða PMF) er þráðlaus öryggisstaðall sem bætir dulritunar auðkenningu og endurspilunarvörn við 802.11 stjórnunarramma, þ.m.t. Afvottun og Sambandsleysi pakka. Um arfleifð WPA2 netkerfi án PMF getur árásarmaður falsað MAC vistfang beinisins og rekið hvaða viðskiptavin sem er af netinu að vild. Á nútíma WPA3-Persónulegt og WPA3-Enterprise net (hvar 802.11w er algjörlega skylda), tækið þitt staðfestir dulritunarramma stjórnunarramma og fleygir hljóðlaust óstaðfestum afvottunarpökkum frá Wi-Fi Ananas.

Ef ég tengdist Evil Twin í fimm mínútur en skoðaði aðeins HTTPS vefsíður og skrifaði ekkert inn á gátt, var lykilorðinu mínu stolið?

Nei, ef þú slóst ekki inn skilríki í falsa fangagátt, settir ekki upp rótarvottorð eða stillingarsnið og smelltir ekki framhjá neinum TLS vottorðaviðvörunum í vafra, nútíma TLS 1.3 dulkóðun og HTTP Strict Transport Security (HSTS) kom í veg fyrir að Evil Twin símafyrirtækið gæti lesið lykilorðin þín, setukökur eða innihald vefsíðunnar. Í versta falli getur aðgerðalaus Evil Twin rekstraraðili án fantur rót CA aðeins séð vísbendingu um netþjónnafn (SNI) hausa eða DNS fyrirspurnir sem sýna hvaða efstu lénsheiti tækið þitt hafði samband við áður en þú aftengdir.

Er öruggara að nota brennaranetfang þegar kaffihús eða flugvallargátt krefst tölvupósts til að komast á netið?

Já, alltaf þegar löggilt kaffihús, flugvöllur eða smásölugátt biður þig um að slá inn netfang til að fá 60 mínútur af ókeypis Wi-Fi, ættirðu aldrei að slá inn aðal persónulega eða fyrirtækjanetfangið þitt eða raunverulegt lykilorð fyrir reikninginn. Flestar fangagáttir staðfesta ekki eignarhald tölvupósts áður en internethliðið er opnað (eða gefa þér 5 til 10 mínútna frest til að smella á staðfestingartengil), þannig að nota einnota samnefni (eins og Apple Fela tölvupóstinn minn, SimpleLogin, eða óviðkvæmt brottfararfang) kemur í veg fyrir að markaðsleitarmenn og Evil Twin rekstraraðilar geti safnað raunverulegu auðkenni þínu.

Tengdir leiðsögumenn

Heimildir og opinberar leiðbeiningar

  • Netöryggis- og innviðaöryggisstofnunin (CISA) og þjóðaröryggisstofnunin (NSA, Bandaríkin): Velja og herða VPN-lausnir fyrir fjaraðgang og Bestu starfsvenjur fyrir farsíma fyrir ferðamenn og áhættusamt starfsfólk.
  • National Institute of Standards and Technology (NIST, Bandaríkin): Leiðbeiningar um öryggi þráðlausra staðarneta (WLAN) (NIST Special Publication 800-153) og Zero Trust Architecture (NIST SP 800-207).
  • National Cyber ​​Security Center (NCSC, Bretland): Notkun almennings Wi-Fi á öruggan hátt, öryggisleiðbeiningar (EUD) og stjórnun vottorða.
  • Netöryggisstofnun Evrópusambandsins (ENISA, Evrópusambandið): Leiðbeiningar um að tryggja þráðlausa aðgangsstaði, fangagáttir og farsímaendapunkta fyrir fyrirtæki.
  • Institute of Electrical and Electronics Engineers (IEEE, International): IEEE Std 802.11-2020 og IEEE 802.11w Protected Management Frames (PMF) Specification.
  • Internet Engineering Task Force (IETF, International): RFC 6797 (HTTP Strict Transport Security / HSTS) og RFC 8952 (Captive Portal Architecture).