Serangan Nirkabel: Evil Twin, Deauth, dan AP Ilegal

Jaringan nirkabel sangat rentan karena sinyalnya tidak dapat dibatasi oleh batas fisik. Penyerang dapat beroperasi dari mobil di tempat parkir, kantor sebelah, atau bahkan menggunakan antena terarah jarak jauh dari jarak ratusan meter. Kategori serangan nirkabel utama yang dibahas dalam Security+ adalah serangan evil twin, serangan deautentikasi, dan titik akses liar. Masing-masing mengeksploitasi kelemahan yang berbeda dalam cara Client WiFi menemukan, terhubung ke, dan mempercayai titik akses.

Titik akses liar adalah AP nirkabel tidak sah yang terhubung ke jaringan perusahaan — baik dipasang oleh penyerang yang memperoleh akses fisik maupun disiapkan oleh karyawan yang bermaksud baik demi kemudahan. AP liar dapat melewati kontrol keamanan berkabel organisasi dengan memberikan titik masuk nirkabel ke jaringan internal bagi penyerang atau perangkat lunak jahat. sistem deteksi penyusupan nirkabel (WIDS) dan survei RF rutin mendeteksi AP liar dengan mencocokkan alamat MAC yang terlihat melalui udara dengan inventaris AP yang sah.

evil twin adalah AP liar yang menyamar sebagai titik akses sah dengan menyiarkan SSID yang sama (nama jaringan). Client yang dikonfigurasi untuk terhubung otomatis ke SSID yang dikenal dapat terhubung ke evil twin alih-alih AP yang sah, terutama jika sinyal penyerang lebih kuat. Setelah terhubung, penyerang dapat melakukan serangan MitM, menangkap kredensial melalui HTTP, dan menyadap Traffic yang tidak dienkripsi. Serangan evil twin sangat efektif terhadap jaringan WiFi publik karena Client tidak dapat membedakan AP asli dari yang palsu.

Standar 802.11 mencakup frame pengelolaan untuk mengendalikan koneksi, termasuk frame deautentikasi yang memberi tahu Client bahwa koneksinya telah diputus dari AP. Tanpa 802.11w (Protected Management Frames), frame ini tidak diautentikasi dan dapat dipalsukan oleh siapa pun. Serangan deautentikasi mengirimkan frame deauth palsu kepada Client, memaksanya terputus dan tersambung kembali. Penyerang menggunakan serangan deauth untuk memaksa Client mengungkapkan jabat tangan 4 arah (untuk cracking WPA2) atau mengarahkan Client ke AP evil twin dengan sinyal yang lebih kuat.

Banyak jaringan WiFi publik menggunakan portal captive — halaman web yang mengharuskan pengguna menyetujui ketentuan atau memasukkan kredensial sebelum memberikan akses internet. Penyerang dapat menerapkan AP liar yang mengarahkan Client ke portal captive palsu untuk mencuri kredensial atau memasang perangkat lunak jahat. Portal captive biasanya menggunakan HTTP (bukan HTTPS), sehingga rentan terhadap MitM. OWE (Opportunistic Wireless Encryption) dari WPA3 mengatasi jaringan terbuka dengan menyediakan enkripsi tanpa autentikasi, tetapi portal captive masih umum dan berbahaya. Pengguna sebaiknya menggunakan VPN pada jaringan portal captive apa pun.

Perusahaan mendeteksi serangan evil twin menggunakan Wireless Intrusion Detection Systems (WIDS) yang terus-menerus memantau lingkungan RF. Sensor WIDS mengidentifikasi AP yang menyiarkan SSID perusahaan dengan BSSID yang tidak ada dalam daftar yang disetujui, atau mendeteksi Client yang terhubung ke AP tidak sah. Korelasi dengan data jaringan berkabel membantu memastikan apakah AP yang mencurigakan benar-benar terhubung ke jaringan internal (AP liar) atau sepenuhnya berada di luar jaringan (evil twin). Pengendali WLAN perusahaan (Cisco, Aruba, Juniper) sering memiliki kemampuan WIDS bawaan yang mengotomatiskan pendeteksian ini.

Jamming RF adalah transmisi sinyal frekuensi radio secara sengaja pada kanal yang sama dengan jaringan target untuk menimbulkan gangguan dan membuatnya tidak dapat digunakan — pada dasarnya merupakan serangan DoS nirkabel. Jamming mungkin ilegal di banyak yurisdiksi. Gangguan yang tidak disengaja dari oven microwave, monitor bayi, dan jaringan di sekitar yang menggunakan kanal sama lebih umum terjadi dan dapat menyebabkan gejala serupa. Organisasi yang mengalami gangguan terus-menerus sebaiknya melakukan analisis spektrum RF untuk membedakan jamming dari gangguan, lalu beralih ke kanal yang bersih atau pita 5 GHz / 6 GHz jika tersedia.

WPA2-Enterprise dengan 802.1X mencegah pengambilan kredensial oleh evil twin karena clients melakukan autentikasi ke Server RADIUS menggunakan EAP (Extensible Authentication Protocol). Client seharusnya memvalidasi sertifikat TLS milik Server RADIUS sebelum mengirimkan kredensial. Jika clients tidak dikonfigurasi untuk memvalidasi sertifikat Server dan mengunci CA yang diharapkan, evil twin dapat menjalankan Server RADIUS palsu dan mengambil kredensial EAP. Validasi sertifikat harus diterapkan melalui profil MDM pada perangkat perusahaan untuk mencegah penurunan keamanan ini.

Standar 802.11 mendefinisikan dua jenis frame manajemen berbeda yang digunakan untuk mengakhiri Connection. Frame deauthentication membongkar status autentikasi, sedangkan frame disassociation menghapus client dari tabel asosiasi AP tetapi mempertahankan autentikasi. Keduanya dapat dipalsukan tanpa 802.11w. Peserta Security+ harus memahami bahwa kedua jenis frame tersebut merupakan vektor serangan yang sah untuk memaksa koneksi ulang. Amendemen 802.11w (yang disertakan dalam WPA2 sebagai fitur opsional dan diwajibkan dalam WPA3) menambahkan Message Integrity Code (MIC) ke frame tersebut sehingga pemalsuan dapat dicegah.

Kontrol keamanan teknis nirkabel harus dilengkapi dengan keamanan fisik. AP yang dipasang di area yang mudah diakses dapat direset ke Settings bawaan pabrik sehingga semua konfigurasi keamanan terlewati. Praktik terbaik mencakup memasang AP di posisi yang aman atau tinggi, menggunakan sekrup bertanda kerusakan atau sangkar keamanan AP, menonaktifkan tombol reset melalui perangkat lunak jika memungkinkan, dan menyertakan AP dalam audit inventaris aset. Switch PoE yang memberi daya pada AP juga harus ditempatkan di ruang kabel yang terkunci agar penyerang tidak dapat begitu saja mencabut AP resmi dan menghubungkan perangkat mereka sendiri.

Untuk melindungi dari seluruh rangkaian serangan nirkabel: aktifkan WPA3 atau WPA2-Enterprise untuk mencegah pemecahan PSK; terapkan PMF (802.11w) untuk memblokir serangan deauthentication; gunakan WIDS untuk mendeteksi evil twin dan AP palsu; validasi sertifikat RADIUS untuk mencegah pengambilan kredensial RADIUS oleh evil twin; nonaktifkan WPS untuk menghilangkan brute-force PIN; dan bagi jaringan nirkabel berdasarkan peran (perusahaan, tamu, IoT) menggunakan SSID terpisah yang dipetakan ke VLAN berbeda. Gabungkan kontrol-kontrol ini untuk membangun pertahanan nirkabel berlapis.

Dalam lesson ini Anda mempelajari bahwa AP nakal adalah access point tidak sah pada jaringan perusahaan yang melewati kontrol keamanan berkabel, evil twin menyamar sebagai SSID resmi untuk mencegat lalu lintas client melalui MitM, dan serangan deauthentication memalsukan frame manajemen 802.11 untuk memutuskan client — ancaman yang dikurangi oleh Protected Management Frames (802.11w) yang diwajibkan oleh WPA3. Selanjutnya kita akan membahas jaringan nirkabel perusahaan dengan 802.1X dan RADIUS.