Serangan Evil Twin dan Portal Terperangkap

AP kembar jahat adalah titik akses tidak sah yang memancarkan SSID sama dengan jaringan resmi. Klien yang terhubung kepadanya mengirimkan semua lalu lintas melalui penyerang, sehingga memungkinkan pengumpulan kredensial, penyadapan lalu lintas, dan pengelabuan.

Klien Wi-Fi terhubung ke SSID yang dikenal, memiliki sinyal terkuat, dan menggunakan parameter keamanan yang sesuai. Dengan memancarkan sinyal berdaya lebih tinggi atau memutus klien dari AP resmi melalui deautentikasi, AP kembar jahat dapat menarik koneksi.

Hostapd membuat AP berbasis perangkat lunak. Jika dipadukan dengan DHCP (dnsmasq) dan NAT iptables, alat ini menyediakan AP yang berfungsi penuh, merutekan lalu lintas, dan memungkinkan penyadapan.

airbase-ng, yang merupakan bagian dari rangkaian aircrack-ng, membuat AP tidak sah langsung dari antarmuka mode pemantauan, sehingga lebih sederhana untuk penyiapan dasar AP kembar jahat.

Portal akses terbatas adalah halaman web yang menyadap semua lalu lintas HTTP dan menampilkan halaman masuk, seperti yang umum dijumpai di hotel dan bandara. Penyerang membuat portal akses terbatas tidak sah untuk mengumpulkan kredensial atau kata sandi Wi-Fi.

Alat otomatis membuat lingkungan AP kembar jahat yang lengkap, dengan portal akses terbatas yang dirancang agar terlihat seperti halaman konfigurasi perute resmi atau halaman masuk ISP.

Serangan AP kembar jahat secara tradisional mengandalkan pelucutan SSL (sslstrip) untuk menurunkan HTTPS menjadi HTTP. HSTS modern dan pemuatan awal HSTS sebagian besar telah menggagalkan cara ini, tetapi situs yang belum dikunjungi atau tidak menggunakan HSTS masih rentan.

Dengan AP tidak sah serta Wireshark atau Bettercap, tangkap semua kredensial HTTP dalam teks biasa, kueri DNS yang mengungkapkan situs yang dikunjungi, dan protokol aplikasi tanpa enkripsi seperti FTP, SMTP, dan POP3.

Paksa klien terhubung ke AP kembar jahat Anda dengan terus-menerus mengirim bingkai deautentikasi untuk memutuskan koneksi mereka dari AP resmi. Klien akan tersambung kembali ke sinyal terkuat, yaitu AP tidak sah Anda.

Tim pertahanan mendeteksi AP kembar jahat melalui: WIDS (Sistem Deteksi Penyusupan Nirkabel) yang memeriksa SSID duplikat pada BSSID berbeda, anomali sinyal, serta klien yang menggunakan WPA2-Enterprise berbasis sertifikat, yang kebal terhadap AP kembar jahat berbasis PSK.

Cegah AP kembar jahat dengan menggunakan WPA2/WPA3-Enterprise (EAP-TLS), karena bahkan koneksi ke AP tidak sah memerlukan sertifikat yang valid; aktifkan PMF 802.11w; gunakan VPN perusahaan yang tersambung otomatis saat berada di luar jaringan tepercaya; dan terapkan WIDS untuk memantau AP.

Mengapa WPA2-Enterprise dengan EAP-TLS mencegah pengumpulan kredensial oleh AP kembar jahat?

Serangan AP kembar jahat mengeksploitasi kecenderungan klien untuk mempercayai SSID alih-alih identitas kriptografis. AP tidak sah dengan nama yang sama dapat menyadap lalu lintas, mengumpulkan kredensial melalui portal akses terbatas, dan melakukan serangan MitM. Pertahanan memerlukan autentikasi timbal balik dengan sertifikat EAP-TLS, VPN perusahaan, dan pemantauan WIDS, bukan hanya kata sandi Wi-Fi yang kuat.