Attacchi Evil Twin e captive portal

Un evil twin è un access point rogue che trasmette lo stesso SSID di una rete legittima. I client che vi si connettono inviano tutto il traffico attraverso l'attaccante, consentendo la raccolta delle credenziali, l'intercettazione del traffico e il phishing.

I client Wi-Fi si connettono all'SSID noto con il segnale più forte e parametri di sicurezza corrispondenti. Trasmettendo a potenza maggiore (o deautenticando i client dall'AP legittimo), un evil twin può attirare le connessioni.

Hostapd crea un access point software. In combinazione con DHCP (dnsmasq) e il NAT di iptables, fornisce un access point funzionante che instrada il traffico e ne consente l'intercettazione.

airbase-ng (parte della suite aircrack-ng) crea AP rogue direttamente dall'interfaccia in modalità monitor, offrendo una soluzione più semplice per le configurazioni di base degli evil twin.

Un captive portal è una pagina web che intercetta tutto il traffico HTTP e presenta una pagina di login, come avviene comunemente negli hotel e negli aeroporti. Gli attaccanti creano captive portal rogue che raccolgono credenziali o password Wi-Fi.

Gli strumenti automatizzati creano ambienti evil twin completi con captive portal progettati per assomigliare alle pagine legittime di configurazione del router o alle pagine di login degli ISP.

Gli attacchi evil twin si basavano tradizionalmente sullo stripping SSL (sslstrip) per effettuare il downgrade da HTTPS a HTTP. I moderni HSTS e il pre-caricamento HSTS hanno in gran parte contrastato questa tecnica, ma i siti non ancora visitati o che non usano HSTS restano vulnerabili.

Con un AP rogue e Wireshark o Bettercap, è possibile acquisire tutte le credenziali HTTP in chiaro, le query DNS che rivelano i siti visitati e i protocolli applicativi non cifrati (FTP, SMTP, POP3).

Forzi i client a connettersi al proprio evil twin inviando continuamente frame di deautenticazione per disconnetterli dall'AP legittimo. Si riconnetteranno al segnale più forte, cioè al proprio AP rogue.

I difensori rilevano gli evil twin tramite: WIDS (sistemi di rilevamento delle intrusioni wireless), che verificano la presenza di SSID duplicati su BSSID diversi, anomalie del segnale e client che utilizzano WPA2-Enterprise basato su certificati (immune agli evil twin basati su PSK).

Per prevenire gli evil twin, utilizzi WPA2/WPA3-Enterprise (EAP-TLS): anche la connessione a un AP rogue richiede un certificato valido. Abiliti 802.11w PMF, utilizzi una VPN aziendale che si connette automaticamente quando il dispositivo è al di fuori delle reti attendibili e implementi WIDS per il monitoraggio degli AP.

Perché WPA2-Enterprise con EAP-TLS impedisce la raccolta delle credenziali tramite evil twin?

Gli attacchi evil twin sfruttano il fatto che i client si fidano degli SSID più che dell'identità crittografica. Un AP rogue con un nome corrispondente può intercettare il traffico, raccogliere credenziali tramite captive portal ed eseguire attacchi MitM. La difesa richiede l'autenticazione reciproca (certificati EAP-TLS), VPN aziendali e il monitoraggio tramite WIDS, non soltanto password Wi-Fi robuste.