Evil-Twin- und Captive-Portal-Angriffe

Ein Evil Twin ist ein Rogue Access Point, der dieselbe SSID wie ein legitimes Netzwerk ausstrahlt. Clients, die sich mit ihm verbinden, leiten ihren gesamten Datenverkehr über den Angreifer, wodurch das Abgreifen von Zugangsdaten, das Abfangen des Datenverkehrs und Phishing ermöglicht werden.

WLAN-Clients verbinden sich mit der bekannten SSID, die das stärkste Signal und passende Sicherheitsparameter bietet. Durch eine höhere Sendeleistung oder indem Clients durch Deauthentifizierung vom legitimen AP getrennt werden, kann ein Evil Twin Verbindungen auf sich ziehen.

Hostapd erstellt einen softwarebasierten Access Point. In Kombination mit DHCP (dnsmasq) und iptables-NAT stellt es einen funktionsfähigen Access Point bereit, der Datenverkehr weiterleitet und das Abfangen ermöglicht.

airbase-ng (Bestandteil der aircrack-ng-Suite) erstellt Rogue APs direkt über eine Schnittstelle im Monitor-Modus – eine einfachere Lösung für grundlegende Evil-Twin-Setups.

Ein Captive Portal ist eine Webseite, die den gesamten HTTP-Datenverkehr abfängt und eine Anmeldeseite anzeigt – wie es häufig in Hotels und Flughäfen vorkommt. Angreifer erstellen Rogue Captive Portals, um Zugangsdaten oder WLAN-Passwörter abzugreifen.

Automatisierte Tools erstellen vollständige Evil-Twin-Umgebungen mit Captive Portals, die wie legitime Router-Konfigurationsseiten oder Anmeldeseiten von Internetanbietern aussehen.

Evil-Twin-Angriffe stützten sich traditionell auf SSL-Stripping (sslstrip), um HTTPS auf HTTP herabzustufen. Modernes HSTS und HSTS-Preloading haben dies weitgehend verhindert – nicht besuchte oder nicht durch HSTS geschützte Webseiten bleiben jedoch angreifbar.

Mit einem Rogue AP sowie Wireshark oder Bettercap können Sie alle Klartext-Zugangsdaten aus HTTP, DNS-Abfragen mit Hinweisen auf besuchte Webseiten und unverschlüsselte Anwendungsprotokolle (FTP, SMTP, POP3) mitschneiden.

Zwingen Sie Clients zu Ihrem Evil Twin, indem Sie kontinuierlich Deauth-Frames senden, um sie vom legitimen AP zu trennen. Sie verbinden sich anschließend mit dem stärksten Signal – Ihrem Rogue AP.

Verteidiger erkennen Evil Twins mithilfe von WIDS (Wireless Intrusion Detection Systems), die doppelte SSIDs auf unterschiedlichen BSSIDs, Signalanomalien und Clients mit zertifikatsbasiertem WPA2-Enterprise erkennen. Letztere sind gegen PSK-basierte Evil Twins geschützt.

Verhindern Sie Evil Twins: Verwenden Sie WPA2/WPA3-Enterprise (EAP-TLS) – selbst die Verbindung mit einem Rogue AP erfordert dann ein gültiges Zertifikat. Aktivieren Sie 802.11w PMF, verwenden Sie ein Unternehmens-VPN, das sich außerhalb vertrauenswürdiger Netzwerke automatisch verbindet, und setzen Sie WIDS zur Überwachung von APs ein.

Warum verhindert WPA2-Enterprise mit EAP-TLS das Abgreifen von Zugangsdaten durch Evil Twins?

Evil-Twin-Angriffe nutzen aus, dass Clients SSIDs mehr vertrauen als einer kryptografisch bestätigten Identität. Ein Rogue AP mit passendem Namen kann Datenverkehr abfangen, über Captive Portals Zugangsdaten abgreifen und MitM-Angriffe durchführen. Der Schutz erfordert gegenseitige Authentifizierung (EAP-TLS-Zertifikate), Unternehmens-VPNs und WIDS-Überwachung – nicht nur starke WLAN-Passwörter.