Attaques Evil Twin et portail captif

Un faux jumeau malveillant est un point d’accès malveillant qui diffuse le même SSID qu’un réseau légitime. Les clients qui s’y connectent envoient tout leur trafic via l’attaquant, ce qui permet la collecte d’identifiants, l’interception du trafic et l’hameçonnage.

Les clients Wi-Fi se connectent au SSID connu dont le signal est le plus puissant et dont les paramètres de sécurité correspondent. En émettant à une puissance supérieure (ou en désauthentifiant les clients de l’AP légitime), un faux jumeau malveillant peut attirer les connexions.

Hostapd crée un point d’accès logiciel. Associé à DHCP (dnsmasq) et au NAT d’iptables, il fournit un point d’accès fonctionnel qui achemine le trafic et permet son interception.

airbase-ng (qui fait partie de la suite aircrack-ng) crée des AP malveillants directement depuis une interface en mode moniteur — une solution plus simple pour les configurations élémentaires de faux jumeau malveillant.

Un portail captif est une page web qui intercepte tout le trafic HTTP et affiche une page de connexion — une configuration courante dans les hôtels et les aéroports. Les attaquants créent des portails captifs malveillants qui collectent des identifiants ou des mots de passe Wi-Fi.

Des outils automatisés créent des environnements complets de faux jumeau malveillant avec des portails captifs conçus pour ressembler à des pages légitimes de configuration de routeur ou de connexion d’ISP.

Les attaques par faux jumeau malveillant reposaient traditionnellement sur la rétrogradation de SSL (sslstrip) pour faire passer HTTPS à HTTP. Le HSTS moderne et le préchargement HSTS ont en grande partie neutralisé cette technique, mais les sites non visités ou non protégés par HSTS restent vulnérables.

Avec un AP malveillant et Wireshark ou Bettercap, capturez tous les identifiants HTTP en clair, les requêtes DNS révélant les sites visités et les protocoles applicatifs non chiffrés (FTP, SMTP, POP3).

Forcez les clients à se connecter à votre faux jumeau malveillant en envoyant continuellement des trames de désauthentification pour les déconnecter de l’AP légitime. Ils se reconnectent au signal le plus puissant : celui de votre AP malveillant.

Les défenseurs détectent les faux jumeaux malveillants au moyen de WIDS (systèmes de détection des intrusions sans fil), qui vérifie la présence de SSID en double sur différents BSSID, les anomalies de signal et les clients utilisant WPA2-Enterprise fondé sur des certificats (insensible aux faux jumeaux malveillants fondés sur PSK).

Pour empêcher les faux jumeaux malveillants, utilisez WPA2/WPA3-Enterprise (EAP-TLS) : même la connexion à un AP malveillant nécessite un certificat valide. Activez le PMF 802.11w. Utilisez un VPN d’entreprise qui se connecte automatiquement lorsque vous êtes en dehors des réseaux de confiance. Déployez WIDS pour surveiller les AP.

Les attaques par faux jumeau malveillant exploitent le fait que les clients font davantage confiance aux SSID qu’à l’identité cryptographique. Un AP malveillant portant un nom identique peut intercepter le trafic, recueillir des identifiants via des portails captifs et mener des attaques MitM. La défense nécessite une authentification mutuelle (certificats EAP-TLS), des VPN d’entreprise et une surveillance par WIDS — pas seulement des mots de passe Wi-Fi robustes.