Wi-Fi Evil Twin, Captive Portal e difesa SSL Stripping¶

La connessione alle reti wireless pubbliche di hotel, aeroporti, bar, centri congressi e lounge di transito espone i tuoi dispositivi a un'intercettazione attiva di prossimità fisica nota come attacco Wi-Fi Evil Twin. Utilizzando hardware multi-radio compatto e alimentato a batteria come un Wi-Fi Pineapple o un laptop con hostapd daemon del punto di accesso wireless, un avversario situato entro 100 metri (328 piedi) può trasmettere un nome di rete identico (SSID), inondano il router legittimo con frame di gestione contraffatti che disconnettono forzatamente il tuo dispositivo e inducono il tuo sistema operativo a unirsi al loro hotspot non autorizzato. Una volta connesso, l'aggressore fornisce una pagina splash captive Portal clonata progettata per raccogliere le credenziali di Google, Microsoft 365 o delle camere d'albergo, intercettare token di sessione attivi o eseguire il downgrade di connessioni crittografate.

Se hai appena inserito le credenziali di accesso, il Single Sign-On aziendale (SSO) o numeri di carte di pagamento in una schermata iniziale Wi-Fi sospetta di un aeroporto o di un hotel oppure se il tuo browser ha improvvisamente visualizzato un avviso di mancata corrispondenza del certificato dopo che il Wi-Fi si è interrotto e si è ricollegato, devi interrompere immediatamente il collegamento wireless e isolare i tuoi account sui dati cellulari. Se riscontri estorsioni, spionaggio aziendale attivo o drenaggio immediato di conti finanziari, contatta le forze dell'ordine o chiama il numero di emergenza locale (911 negli Stati Uniti e in Canada, 112 nell'Unione Europea, 999 nel Regno Unito) utilizzando il nostro elenco globale di numeri di emergenza. Per le minacce di prossimità wireless e hardware strettamente correlate, consulta le nostre guide su Wi-Fi pubblico, hotspot Evil Twin e difesa dal juice jacking, Dirottamento DNS, riconfigurazione WAN del router ISP e spoofing del captive Portal, e Phishing MFA e bypass dell'avversario in-the-middle.

Fallo adesso¶

1. Spegni immediatamente la radio Wi-Fi ed elimina il profilo di rete salvato. Disattiva immediatamente il Wi-Fi dalla barra dei menu superiore del sistema operativo o dalla barra delle impostazioni. Apri l'elenco delle reti salvate, seleziona l'hotel, l'aeroporto o il bar SSIDe fai clic su Dimentica questa rete (o deseleziona Connetti automaticamente) in modo che la scheda wireless interrompa la trasmissione delle richieste di rilevamento e non possa riconnettersi automaticamente alla radio non autorizzata.
2. Passa esclusivamente alla rete dati cellulare 4G/5G o a un hotspot cellulare personale. Non utilizzare mai alcuna rete Wi-Fi locale presso la sede per modificare le password o controllare i tuoi conti bancari. Abilita l'hotspot cellulare del tuo smartphone utilizzando WPA3-Personal crittografia e collega il tuo laptop tramite un cavo USB-C fisico (USB Tethering) o Wi-Fi personale crittografato.
3. Revoca tutte le sessioni di accesso attive e le autorizzazioni OAuth se hai digitato le credenziali in una pagina iniziale. Se un captive Portal ti chiede di "Accedi con Google", "Accedi con Microsoft" o di inserire la password e-mail per ottenere l'accesso Wi-Fi gratuito, accedi immediatamente al dashboard di sicurezza del tuo account dalla connessione cellulare. Termina tutte le sessioni web e mobili attive, revoca terze parti sconosciute OAuth token dell'applicazione e ruotare la password.
4. Ispeziona ed elimina l'archivio certificati root e i profili MDM del tuo sistema operativo. Se il portale Wi-Fi ti ha chiesto di scaricare un "Certificato di sicurezza di rete", .mobileconfig profile o l'utilità di supporto della connessione, rimuovilo immediatamente. Controlla Impostazioni > Generali > Gestione VPN e dispositivo su iOS/macOS o certmgr.msc su Windows ed eliminare qualsiasi autorità di certificazione radice sconosciuta (CA).
5. Svuota la cache ARP locale, la cache del risolutore DNS e i socket del browser attivi. Anche dopo essersi disconnesso da un Evil Twin, Domain Name System avvelenato (DNS) record e protocollo di risoluzione degli indirizzi (ARP) i collegamenti possono persistere nella memoria volatile. Corri ipconfig /flushdns e arp -d * su Windows o sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder su macOS, quindi chiudi completamente e riavvia il browser web.
6. Blocca qualsiasi carta di credito o debito inserita in un portale di fatturazione Wi-Fi fraudolento. Gli aggressori utilizzano spesso falsi portali di upgrade di "livello Premium ad alta velocità" di compagnie aeree a bordo o di hotel per raccogliere numeri di conto primari (PAN), date di scadenza e CVV codici di sicurezza. Blocca la carta interessata nella tua app di mobile banking e richiedi un numero sostitutivo.

Albero decisionale per il triage degli incidenti di Evil Twin e Captive Portal¶

Utilizza questo diagramma di flusso diagnostico per valutare il tuo livello di esposizione dopo esserti connesso a una rete wireless sospetta ed eseguire gli esatti passaggi tecnici di contenimento richiesti.

flowchart TD
    A["Connesso al Wi-Fi di un hotel, aeroporto o bar sospetto"] --> B["Disattiva immediatamente il Wi-Fi e tocca Dimentica questa rete"]
    B --> C{"Cosa è successo durante la connessione alla rete?"}

    C -->|Typed Email, OAuth, or Corporate Password into Splash Page| D["Credenziali attive e compromissione della sessione"]
    C -->|Installed Certificate, .mobileconfig, or Helper App| E["Compromesso TLS Man-in-the-Middle ed endpoint completo"]
    C -->|Clicked Bypass on Browser TLS Certificate Warning| F["Intercettazione TLS attiva o esposizione allo stripping SSL"]
    C -->|Passive Connection Only, No Prompts or Warnings| G["Bassa esposizione: protetto da HSTS e TLS 1.3"]

    D --> D1["Passa immediatamente alla rete dati cellulare 4G/5G"]
    D1 --> D2["Revoca tutte le sessioni attive e i token OAuth in Sicurezza account"]
    D2 --> D3["Ruota le password e controlla le regole di inoltro automatico delle email"]

    E --> E1["Disconnetti la rete e attiva la modalità aereo sul dispositivo"]
    E1 --> E2["Elimina il profilo non autorizzato e la CA radice dall'archivio certificati del sistema operativo"]
    E2 --> E3["Supponiamo che tutto il traffico durante la sessione sia stato letto in testo normale"]
    E3 --> D2

    F --> F1["Svuota il DNS del sistema operativo e le cache ARP e riavvia il browser"]
    F1 --> F2["Cancella tutti i cookie del browser e l'archiviazione della sessione per i siti esposti"]
    F2 --> D2

    G --> G1["Svuota la cache del risolutore DNS locale e la tabella ARP"]
    G1 --> G2["Disabilita l'adesione automatica su tutti gli SSID pubblici salvati"]
    G2 --> G3["Abilita WireGuard o OpenVPN con Strict Kill Switch"]

Anatomia di un gemello malvagio, flusso di deautenticazione e attacco al portale prigioniero¶

Molti viaggiatori lo presumono perché un hotel o un bar fornisce una stampa WPA2-Personal password sulla custodia della chiave magnetica o sulla lavagna, la rete wireless è crittografata e protetta da intercettazioni. Altri presumono che il loro dispositivo rimarrà naturalmente connesso al punto di accesso legittimo montato sul soffitto (AP) anziché connettersi al router nello zaino di uno sconosciuto. Comprendere come funziona la radiofrequenza (RF) fisica e il IEEE 802.11 il funzionamento del protocollo spiega perché entrambi i presupposti falliscono durante un attacco Evil Twin attivo.

+-------------------------------------------------------------------------+
|                 EVIL TWIN DEAUTH AND CAPTIVE PORTAL FLOW                |
+-------------------------------------------------------------------------+
|                                                                         |
|  [Legitimate Hotel AP]                      [Attacker Wi-Fi Pineapple]  |
|  SSID: "Grand_Hotel_WiFi"                   SSID: "Grand_Hotel_WiFi"    |
|  BSSID: 00:1A:2B:3C:4D:5E                   BSSID: Spoofed or New MAC   |
|  Signal at Laptop: -68 dBm (15m away)       Signal at Laptop: -35 dBm   |
|            |                                          |                 |
|            |  1. Attacker sends forged 802.11         |                 |
|            |     Deauthentication Frames (0xC0)       |                 |
|            |<-----------------------------------------|                 |
|            X  2. Victim kicked off legitimate AP      |                 |
|                                                       |                 |
|  [Victim Laptop / Phone]                              |                 |
|  Auto-Join Enabled ------------------> 3. Joins Stronger Signal (-35dBm)|
|  OS probes http://captive.apple.com -> 4. DNS/HTTP hijacked (302 Found) |
|  Captive Portal Assistant Opens -----> 5. Phishing Page Harvests OAuth  |
+-------------------------------------------------------------------------+

1. Ricognizione multi-radio e raccolta di sonde KARMA¶

Quando la radio Wi-Fi del tuo smartphone o laptop è accesa in un aeroporto o in un bar, la scheda di interfaccia di rete wireless (NIC) trasmette frame di richiesta sonda 802.11 sui canali a 2,4 GHz e 5 GHz. Un utente malintenzionato che utilizza una piattaforma di auditing dual-radio come un Hak5 Wi-Fi Pineapple, un ESP32 Marauder o un laptop Linux con sistema operativo hostapd-mana ascolta passivamente su una radio mentre trasmette sulla seconda. L'aggressore clona l'esatto Service Set Identifier (SSID, come ad esempio Starbucks WiFi o MarriottBonvoy_Guest) e può anche clonare l'identificatore del set di servizi di base (BSSID, l'hardware a 48 bit MAC indirizzo del router a soffitto legittimo).

2. Inondazioni forzate di disautenticazione e dissociazione 802.11¶

Se il tuo laptop o telefono è già collegato alla sede legittima WPA2 o un router Wi-Fi aperto, non passerà volontariamente all'Evil Twin dell'aggressore a meno che la sua connessione attuale non fallisca. Per allontanare immediatamente il tuo dispositivo dal router legittimo, l'aggressore lancia un Flood di deautenticazione utilizzando strumenti come aireplay-ng, mdk4, o bettercap.

Sotto l'eredità IEEE 802.11 standard (prima dell'obbligatorio 802.11w Frame di gestione protetta in WPA3), frame di gestione tra cui Deautenticazione (Subtype 0xC0) e Dissociazione (Subtype 0xA0) vengono trasmessi non crittografati e non autenticati. L'aggressore falsifica il router legittimo BSSID e invia centinaia di pacchetti di deautenticazione contraffatti al secondo al tuo dispositivo MAC indirizzo. La tua scheda wireless obbedisce al comando di disconnessione. Poiché l'aggressore si trova nelle vicinanze (ad esempio, a 3 metri [10 piedi] di distanza e trasmette a -35 dBm, rispetto a -70 dBm dal soffitto dell'hotel AP 20 metri [65 piedi] lungo il corridoio), l'algoritmo di roaming del tuo sistema operativo si aggancia immediatamente alla radio Evil Twin più potente quando si riconnette.

3. Il sistema operativo Captive Portal attiva il dirottamento e la raccolta di credenziali¶

Nel momento in cui il tuo dispositivo si associa all'Evil Twin e riceve un indirizzo IP locale da quello dell'aggressore dnsmasq Server DHCP, il tuo sistema operativo attiva un file non crittografato HTTP sonda in background per verificare se la rete richiede una pagina iniziale di accesso:

• Apple iOS, iPadOS e macOS: Invia HTTP GET a http://captive.apple.com/hotspot-detect.html aspettando Success.
• Google Android e ChromeOS: Invia una richiesta a http://connectivitycheck.gstatic.com/generate_204 aspettando HTTP 204 No Content.
• Microsoft Windows 10 e 11: Invia una richiesta a http://www.msftconnecttest.com/connecttest.txt aspettando Microsoft Connect Test.

L'aggressore intercetta questo testo in chiaro HTTP sonda utilizzando iptables o nftables traduzione dell'indirizzo di rete (DNAT) e risponde con un HTTP 302 Found reindirizzare al server Web locale. Sul tuo telefono o laptop si apre automaticamente una finestra del mini-browser (Captive Network Assistant) che mostra un clone della schermata di accesso della catena di hotel o un portale di accesso "Social Wi-Fi gratuito" che offre "Continua con Google/Microsoft/Apple". Se instradato attraverso un framework proxy inverso come Evilginx2, l'autore dell'attacco trasmette il nome utente, la password e la password monouso di 6 cifre (OTP) al server di accesso reale in tempo reale e acquisisce il tuo cookie di sessione autenticato.

Stripping SSL, bypass HSTS e verifica della catena di certificati TLS¶

Una volta che un utente malintenzionato controlla il gateway di rete tramite un punto di accesso Evil Twin o locale ARP avvelenamento, il loro ostacolo principale è Transport Layer Security (TLS / HTTPS). Quando il tuo browser si connette a https://login.microsoftonline.com, TLS crittografa il payload HTTP end-to-end tra il tuo browser e i server Microsoft. Per sconfiggere o aggirare questa crittografia, gli operatori Evil Twin utilizzano tre tecniche distinte.

Come ispezionare una catena di certificati TLS¶

Se il browser visualizza "La tua connessione non è privata" (NET::ERR_CERT_AUTHORITY_INVALID o SEC_ERROR_UNKNOWN_ISSUER), non fare mai clic su "Procedi al sito":

1. Attiva il captive Portal su HTTP in testo normale: Apri http://neverssl.com o http://captive.apple.com per caricare la schermata iniziale della sede in modo pulito senza bypassare un file HTTPS avvertimento.
2. Controlla l'emittente del certificato: Una volta online, ricarica il tuo HTTPS scheda. Se l'errore persiste, visualizza il campo Emesso da del certificato. I siti legittimi utilizzano CA pubbliche (DigiCert, Let's Encrypt, Cloudflare, Google Trust Services, Sectigo). Se l'emittente dice mitmproxy, Fortinet, Self-Signedo una CA locale sconosciuta, disconnettersi immediatamente.

Audit passo passo del sistema operativo: rimozione di certificati e profili non autorizzati¶

Se un captive Portal falso ti ha indotto con l'inganno a installare un certificato o un profilo, rimuovilo dal tuo sistema operativo prima di ruotare le password:

1. Apple iOS e iPadOS (iPhone / iPad)¶

1. Rimuovi profili di configurazione: apri Impostazioni > Generali > Gestione VPN e dispositivo. Tocca qualsiasi profilo sconosciuto in Profili di configurazione, tocca Rimuovi profilo e inserisci il tuo passcode.
2. Disabilita l'attendibilità totale per i certificati root: apri Impostazioni > Generali > Informazioni > Impostazioni attendibilità certificato. In Abilita attendibilità completa per i certificati root, attiva OFF qualsiasi certificato non aziendale.

2.Apple macOS (MacBook / iMac)¶

1. Profili di controllo: apri Impostazioni di sistema > Generali > Gestione dispositivo e rimuovi qualsiasi profilo sconosciuto utilizzando il segno meno (-).
2. Controlla l'accesso al portachiavi: apri Accesso al portachiavi, seleziona i portachiavi Sistema e login, fai clic su Certificati ed elimina eventuali CA root sconosciute o override di attendibilità personalizzata aggiunti nella data in cui ti sei connesso al Wi-Fi pubblico.

3.Microsoft Windows 10 e Windows 11¶

1. Apertura negozi di certificati: Premere Win + R, corri certmgr.msc (Utente corrente), quindi esegui certlm.msc (Macchina locale).
2. Esamina Autorità di certificazione radice attendibili: Espandi Autorità di certificazione radice attendibili > Certificati. Fai clic con il pulsante destro del mouse ed Elimina qualsiasi emittente sconosciuto (mitmproxy, FiddlerRoot, Local Network CA).

4. GoogleAndroid (Pixel, Samsung Galaxye AOSP)¶

1. Controlla i certificati utente: apri Impostazioni > Sicurezza e privacy > Maggiore sicurezza e privacy > Crittografia e credenziali > Credenziali attendibili e tocca la scheda Utente.
2. Rimuovi credenziali non autorizzate: un telefono Android personale dovrebbe avere una scheda Utente vuota. Tocca un certificato sconosciuto e seleziona Rimuovi oppure tocca Cancella credenziali.

Spoofing degli indirizzi MAC sui captive Portal: abuso offensivo e rafforzamento difensivo¶

Ogni scheda di rete wireless dispone di un hardware a 48 bit Media Access Control (MAC) indirizzo (ad esempio A4:83:E7:2B:91:0C) trasmesso nell'intestazione non crittografata di ogni 802.11 cornice. La maggior parte dei captive Portal di hotel, aeroporti e voli tengono traccia degli ospiti pagati o autenticati aggiungendo i loro MAC indirizzo a una lista consentita del gateway.

In che modo gli aggressori abusano dello spoofing MAC sulle reti pubbliche¶

Un utente malintenzionato che esegue il monitoraggio passivo (airodump-ng o Kismet) può visualizzare tutti i client attivi MAC indirizzo sul punto di accesso:

1. Piggybacking gratuito e frode nella fatturazione: L'aggressore individua un client attivo che ha già pagato per l'accesso Wi-Fi ed esegue macchanger -m <Victim_MAC> wlan0 (Linux) o sudo ifconfig en0 ether <Victim_MAC> (macOS) per clonare quello della vittima MAC indirizzo.
2. Collisione e deautenticazione delle sessioni: Condivisione dello stesso MAC affrontare le cause ARP e collisioni di commutazione, oppure l'aggressore invia frame di deautenticazione mirati per mettere offline l'ospite pagante mentre dirotta la sua sessione a pagamento.
3. ** Bypassare i limiti di tempo: ** Rotazione verso un nuovo casuale MAC l'indirizzo reimposta i contatori del captive Portal della "prova gratuita di 30 minuti".

Come configurare indirizzi MAC privati/randomizzati¶

Trasmettere la tua fabbrica permanente MAC indirizzo dentro 802.11 le richieste di sondaggi consentono ai beacon e agli stalker di vendita al dettaglio di tracciare i tuoi movimenti fisici. Verifica che la Randomizzazione degli indirizzi MAC sia attiva:

• iOS e iPadOS (iOS 18+): Apri Impostazioni > Wi-Fi, tocca (i) accanto alla rete e imposta Indirizzo Wi-Fi privato su Rotante o Fisso.
• macOS (macOS Sequoia 15+): Apri Impostazioni di sistema > Wi-Fi, fai clic su Dettagli... e imposta Indirizzo Wi-Fi privato su Rotante o Fisso.
• Android (Android 10+): Apri Impostazioni > Rete e Internet > Internet, tocca l'icona a forma di ingranaggio accanto alla rete, tocca Privacy e seleziona Utilizza MAC randomizzato.
• Windows 10 e 11: apri Impostazioni > Rete e Internet > Wi-Fi e imposta Indirizzi hardware casuali su On.

Difesa da accesso automatico forzato, attacchi KARMA e spoofing SSID¶

La difesa più efficace contro un'ondata di deautenticazione di Evil Twin è assicurarsi che il tuo dispositivo non si connetta mai automaticamente a una rete Wi-Fi pubblica aperta o salvata. Quando ti iscrivi Starbucks WiFi, attwifi, o Airport_Free_WiFi una volta, il tuo dispositivo lo salva SSID nel suo Elenco delle reti preferite (PNL) con Auto-Join abilitato. Successivamente, il Wi-Fi Pineapple di un utente malintenzionato può trasmetterlo SSID con crittografia zero e cattura il tuo dispositivo in millisecondi.

Elenco di controllo per la protezione avanzata dell'accesso automatico Wi-Fi obbligatorio¶

1. Elimina SSID pubblici generici dalle reti salvate:
2. iOS/iPadOS: Impostazioni > Wi-Fi > Modifica > elimina tutte le reti di hotel, aeroporti e bar in Reti conosciute.
3. macOS: Impostazioni di sistema > Wi-Fi > Avanzate... > fai clic su ... accanto agli hotspot pubblici e fai clic su Rimuovi dall'elenco.
4. Windows 11: Impostazioni > Rete e Internet > Wi-Fi > Gestisci reti conosciute > fai clic su Dimentica su reti pubbliche.
5. Android: Impostazioni > Rete e Internet > Internet > Reti salvate > tocca Dimentica.
6. Disabilita "Accesso automatico" sulle reti di sedi temporanee: Ogni volta che utilizzi il Wi-Fi di un hotel o una conferenza, imposta Accesso automatico (o Connetti automaticamente) su OFF immediatamente. Se un utente malintenzionato invia un flusso di deautenticazione, il tuo dispositivo tornerà alla rete cellulare 4G/5G invece di saltare sull'Evil Twin.
7. Disattiva la scansione automatica degli hotspot: Disattiva OFF Attiva il Wi-Fi automaticamente su Android e imposta Chiedi di accedere alle reti su Disattiva su iOS.

Architettura sicura per viaggiare: hotspot cellulari, tethering USB e WireGuard/OpenVPN¶

Livello 1 (Gold Standard): hotspot cellulare 4G/5G per smartphone tramite cavo USB o WPA3¶

Reti cellulari (4G LTE e 5G NR) utilizzare l'hardware SIM/eSIM autenticazione crittografica e non può essere deautenticato da un Wi-Fi Pineapple:

• Tethering USB cablato (esposizione RF zero): Collega il telefono al laptop tramite USB-C e attiva Hotspot personale/Tethering USB con la radio Wi-Fi del laptop disattivata SPENTA.
• Hotspot personale wireless con WPA3-Personal: Imposta una passphrase di oltre 16 caratteri e verifica la crittografia WPA3-Personal (SAE), che applica i Frame di gestione protetti (802.11w) per bloccare i flussi di deautenticazione.

Livello 2: Wi-Fi non affidabile racchiuso in un tunnel WireGuard o OpenVPN con Kill Switch¶

Se la ricezione cellulare non è disponibile ed è necessario utilizzare il Wi-Fi della struttura:

1. Risolvi prima il Captive Portal: Metti in pausa la tua VPN per 30 secondi, accedi al Wi-Fi della sede, naviga strettamente verso http://neverssl.come accetta i termini senza inserire password OAuth reali.
2. Utilizza WireGuard o OpenVPN con un Kill Switch del sistema operativo: Accendi il tuo WireGuard (ChaCha20-Poly1305) o OpenVPN (AES-256-GCM) client con il suo Kill Switch attivo in modo che tutti i pacchetti TCP/UDP e DNS le query vengono crittografate prima di raggiungere il router locale.
3. Ignora il blocco UDP: se il firewall di un hotel blocca le porte VPN standard (UDP 51820 o UDP 1194), cambia il tuo client VPN su OpenVPN su porta TCP 443.

Reporting globale e autorità ufficiali di sicurezza informatica¶

Se vieni preso di mira da un attacco Evil Twin che comporta accesso aziendale non autorizzato, frode finanziaria o furto di identità, segnala l'incidente sia al team di gestione/sicurezza della sede (in modo che il loro team IT possa individuare l'hardware non autorizzato tramite la triangolazione del segnale fisico) sia alla tua agenzia nazionale per la criminalità informatica:

• Stati Uniti: presentare immediatamente un reclamo per criminalità informatica al FBI Internet Crime Complaint Center (IC3) a ic3.gov e segnalare le minacce alle infrastrutture alla Cybersecurity and Infrastructure Security Agency (CISA) a cisa.gov/report. Per il furto d'identità del consumatore, presentare domanda a IdentityTheft.gov.
• Regno Unito: segnala attacchi informatici e furti di credenziali a Action Fraud all'indirizzo actionfraud.police.uk (o chiamare 0300 123 2040; in Scozia, chiamare la polizia scozzese 101) e consultare le linee guida tecniche per la riparazione del Centro nazionale per la sicurezza informatica (NCSC).
• Canada: segnalare la compromissione al Centro antifrode canadese (CAFC) (1-888-495-8501) e il Centro canadese per la sicurezza informatica (CCCS).
• Unione Europea: denunciare il reato all'unità nazionale di polizia per la criminalità informatica e al team nazionale di risposta agli incidenti di sicurezza informatica (CSIRT) coordinato nell'ambito di ENISA e Europol EC3.
• Australia e Nuova Zelanda: in Australia, presenta una segnalazione tramite l'Australian Signals Directorate (ASD) Portale ReportCyber all'indirizzo cyber.gov.au (1300 292 371). In Nuova Zelanda, fare rapporto al CERT NZ / NCSC NZ all'indirizzo cert.govt.nz (0800 237 869).
• Asia-Pacifico: A Singapore, fare rapporto alle forze di polizia di Singapore (SPF) Centro antitruffe e SingCERT (csa.gov.sg). In Giappone, contattare lo Sportello di consultazione sulla criminalità informatica della polizia prefettizia (#9110) e JPCERT/CC.

Domande frequenti¶

Come posso sapere se la rete Wi-Fi dell'hotel o del bar sul mio schermo è il vero router o un Evil Twin?¶

Non è possibile distinguere un punto di accesso legittimo da un Evil Twin semplicemente guardando il nome della rete (SSID) o barre del segnale nel menu Wi-Fi standard, perché un utente malintenzionato può duplicare l'ortografia esatta e trasmettere un segnale più forte proprio accanto al tuo posto. Chiedi sempre a un membro dello staff alla reception o allo sportello il nome esatto della rete ufficiale, se richiede un WPA2/WPA3 password o è completamente aperto e cosa richiede la schermata iniziale di accesso. Se vedi due reti separate con lo stesso identico nome, una che mostra l'icona di un lucchetto (crittografata) e un'altra che non mostra l'icona del lucchetto (aperta), la rete aperta è quasi certamente una trappola Evil Twin progettata per catturare il tuo dispositivo tramite un flusso di deautenticazione.

Perché il mio browser ha visualizzato l'errore del certificato "La connessione non è privata" nel momento in cui mi sono connesso al Wi-Fi dell'hotel?¶

Quando ti colleghi per la prima volta a una rete Wi-Fi legittima di un hotel o di un aeroporto prima di completare l'accesso alla schermata iniziale, il router locale intercetta tutto il traffico in uscita per reindirizzarti alla pagina del portale captive. Se la prima scheda del browser che provi ad aggiornare è crittografata HTTPS sito web (es https://google.com), il router dell'hotel intercetta la porta 443 e presenta il proprio certificato captive Portal locale, che non corrisponde al certificato di Google e attiva un avviso del browser. Non fare mai clic su "Procedi comunque" in quell'avviso; invece, apri una nuova scheda e digita http://neverssl.com o http://captive.apple.com quindi la schermata iniziale dell'hotel viene caricata in modo pulito e non crittografato HTTP, completa il contratto del portale, quindi verifica che il tuo HTTPS le schede vengono caricate senza avvisi di certificato.

L'attivazione della mia VPN mi protegge completamente da un hotspot Evil Twin?¶

Una rete privata virtuale (VPN) controllata in esecuzione WireGuard o OpenVPN con un attivo Interruttore di uccisione crittografa tutto il traffico di rete e le query DNS all'interno di un tunnel autenticato, impedendo completamente a un operatore Evil Twin di leggere i tuoi dati o effettuare spoofing di siti Web una volta stabilito il tunnel VPN. Tuttavia, una VPN non può proteggerti durante la finestra di 30 secondi in cui devi mettere in pausa la VPN per fare clic sulla pagina iniziale del captive Portal dell'hotel, né può proteggerti se digiti manualmente la tua vera password e-mail o il numero di carta di credito in un falso modulo di phishing del captive Portal.

Che cos'è IEEE 802.11w (Protected Management Frames) e blocca i flussi di deautenticazione?¶

IEEE 802.11w (Frame di gestione protetta o PMF) è uno standard di sicurezza wireless che aggiunge l'autenticazione crittografica e la protezione dalla riproduzione ai frame di gestione 802.11, inclusi Deautenticazione e Dissociazione pacchetti. Sull'eredità WPA2 reti senza PMF, un utente malintenzionato può falsificare l'indirizzo MAC del router e cacciare qualsiasi client dalla rete a piacimento. Sul moderno WPA3-Personale e WPA3-Enterprise reti (dove 802.11w è strettamente obbligatorio), il tuo dispositivo verifica crittograficamente i frame di gestione e scarta silenziosamente i pacchetti di deautenticazione non autenticati da un Wi-Fi Pineapple.

Se mi collegassi a un Evil Twin per cinque minuti ma navigassi solo su siti Web HTTPS e non digitassi nulla in un portale, le mie password sarebbero state rubate?¶

No, se non hai digitato le credenziali in un captive Portal falso, non hai installato un certificato root o un profilo di configurazione non autorizzati e non hai fatto clic su alcun avviso di certificato TLS del browser, moderno TLS 1.3 crittografia e Sicurezza di trasporto rigorosa HTTP (HSTS) ha impedito all'operatore Evil Twin di leggere le tue password, i cookie di sessione o il contenuto della pagina web. Nel peggiore dei casi, un operatore Evil Twin passivo senza una CA root canaglia può vedere solo l'indicazione del nome del server (SNI) o query DNS che mostrano quali nomi di dominio di primo livello sono stati contattati dal tuo dispositivo prima della disconnessione.

È più sicuro utilizzare un indirizzo e-mail masterizzato quando un captive Portal di un bar o di un aeroporto richiede un'e-mail per connettersi online?¶

Sì, ogni volta che un legittimo bar, aeroporto o captive Portal ti chiede di inserire un indirizzo email per ricevere 60 minuti di Wi-Fi gratuito, non dovresti mai inserire il tuo indirizzo email personale o aziendale principale o la password di un account reale. La maggior parte dei captive Portal non verifica la proprietà dell'e-mail prima di aprire la porta Internet (o concede una finestra di tolleranza di 5-10 minuti per fare clic su un collegamento di verifica), quindi utilizzando un alias usa e getta (come Apple Nascondi la mia email, SimpleLogin o un indirizzo usa e getta non sensibile) impedisce ai tracker di marketing e agli operatori di Evil Twin di raccogliere la tua vera identità.

Guide correlate¶

• Wi-Fi pubblico, hotspot Evil Twin e difesa dal juice jacking
• Dirottamento DNS, riconfigurazione WAN del router ISP e spoofing del captive Portal
• Phishing MFA e bypass dell'avversario in-the-middle
• Phishing del consenso OAuth, concessioni di app dannose di terze parti e revoca dei token API
• Manomissione fisica di Evil Maid, password di avvio del BIOS del laptop della camera d'albergo e difesa DMA Thunderbolt

Fonti e indicazioni ufficiali¶

• CISA (Cybersecurity and Infrastructure Security Agency) e National Security Agency (NSA, Stati Uniti): Selezione e rafforzamento delle soluzioni VPN di accesso remoto e Best practice per i dispositivi mobili per viaggiatori e personale ad alto rischio.
• National Institute of Standards and Technology (NIST, Stati Uniti): Linee guida per la protezione delle reti locali wireless (WLAN) (pubblicazione speciale NIST 800-153) e Architettura Zero Trust (NIST SP 800-207).
• Centro nazionale per la sicurezza informatica (NCSC, Regno Unito): Utilizzo sicuro del Wi-Fi pubblico, linee guida sulla sicurezza dei dispositivi dell'utente finale (EUD) e gestione dell'attendibilità dei certificati.
• Agenzia dell'Unione europea per la sicurezza informatica (ENISA, Unione europea): Linee guida sulla protezione dei punti di accesso wireless, dei captive Portal e degli endpoint mobili aziendali.
• Institute of Electrical and Electronics Engineers (IEEE, internazionale): Specifica IEEE Std 802.11-2020 e IEEE 802.11w Protected Management Frames (PMF).
• Internet Engineering Task Force (IETF, internazionale): RFC 6797 (HTTP Strict Transport Security / HSTS) e RFC 8952 (Captive Portal Architecture).