Как обнаружить Evil Twin и поддельные Wi-Fi точки доступа в Linux

Вы подключаетесь к знакомой сети Office-WiFi. Название правильное, сигнал отличный, интернет работает. Но настоящий маршрутизатор находится в серверной, а рядом с ноутбуком кто-то включил другую точку доступа с таким же именем. В списке доступных сетей подмена выглядит вполне убедительно.

Подобную атаку называют Evil Twin, или «злой двойник». Злоумышленник создаёт беспроводную сеть, которая выдаёт себя за доверенную. В простейшем случае копирует название SSID. В более сложном пытается воспроизвести MAC-адрес точки доступа, параметры безопасности и характеристики радиокадров.

Цель зависит от сценария. Атакующий может заманивать пользователей на поддельную страницу авторизации, пытаться получить учётные данные, нарушать подключение к настоящей сети или направлять трафик через контролируемое оборудование.

Однако одинаковые названия Wi-Fi ещё не доказывают атаку. В современном офисе десятки легальных точек доступа могут использовать один SSID. Домашняя mesh-система тоже создаёт несколько радиосетей с общим именем. В Wi-Fi 7 ситуация усложняется многоканальными соединениями, когда у одного логического устройства есть несколько радиоинтерфейсов и MAC-адресов.

Поэтому задача аудитора не просто найти неизвестный BSSID, а выяснить, действительно ли появилось постороннее оборудование и представляет ли его работа угрозу.

В заключительном материале серии по аудиту Wi-Fi в Linux построим небольшую систему обнаружения подозрительных точек. Настроим Kismet, изучим управляющие кадры в Wireshark, проверим радиоэфир с помощью bettercap и проведём безопасный лабораторный эксперимент. В конце соберём результаты в отчёт с конкретными рекомендациями по защите.

Практические упражнения предназначены для собственных сетей и лабораторий, где владелец разрешил проверку. Не подключайтесь к чужим устройствам, не создавайте поддельные порталы для сбора паролей и не отправляйте кадры, нарушающие чужие соединения. Радиозахваты могут содержать сведения о пользователях и их устройствах. Храните записи только в пределах согласованного аудита.

1. Как работает Evil Twin и какие признаки выдают подмену

Почему одинаковый SSID ничего не доказывает

У беспроводной сети есть несколько идентификаторов, которые часто путают.

SSID представляет собой название сети, например Office-WiFi. Название не уникально и не подтверждает владельца. Любой совместимый передатчик способен объявить такое же имя.

BSSID обычно представляет собой MAC-адрес конкретной точки доступа или виртуального беспроводного интерфейса. По BSSID можно различать несколько точек с одним SSID. Но MAC-адрес не является криптографическим доказательством подлинности. Злоумышленник может его скопировать.

Beacon представляет собой управляющий кадр IEEE 802.11, который точка доступа периодически передаёт в радиоэфир. Beacon сообщает название сети, поддерживаемые скорости, параметры безопасности и другие характеристики.

Именно объявления Beacon позволяют обнаруживать беспроводные сети без подключения к ним. Одновременно через такие объявления атакующие могут выдавать чужую точку за настоящую.

Рассмотрим лабораторную сеть.

Параметр	Настоящая точка	Подозрительная точка
SSID	Office-Lab	Office-Lab
BSSID	02:11:22:33:44:10	02:AA:BB:CC:DD:20
Канал	6	6
Защита	WPA3-SAE	Open
PMF	Required	Отсутствует
RSSI	-65 dBm	-38 dBm

В примере обе точки называют себя Office-Lab, но используют разные BSSID и несовместимые параметры безопасности. Подозрительный передатчик также имеет более сильный сигнал на месте наблюдения.

Различия требуют проверки. Возможно, неизвестную точку действительно включил злоумышленник. Но нельзя исключить тестовое оборудование администратора или ошибочно настроенный маршрутизатор.

Есть и другой нюанс. Сохранённый профиль WPA3 обычно не должен автоматически подключаться к открытой сети только из-за совпадающего SSID. Реальное поведение зависит от операционной системы, настроек профиля и реализации клиента. Поэтому открытый двойник не следует описывать как универсальный способ незаметно перехватить любое WPA3-соединение.

Четыре сценария, которые нужно различать

Поддельная открытая сеть. Атакующий копирует имя публичного Wi-Fi, например Hotel-Guest. Пользователь подключается вручную или через ранее сохранённый совместимый профиль. Дальше злоумышленник может показывать фальшивый портал авторизации. Само подключение не означает, что атакующий автоматически получил пароли от сайтов, защищённых корректным HTTPS.

Клон защищённой сети. Атакующий объявляет тот же SSID, что и точка WPA2 или WPA3, и пытается воспроизвести её параметры. Для успешного подключения к WPA2-Personal обычно нужно знать правильный пароль. WPA3-SAE дополнительно защищает процедуру согласования ключей от простого пассивного перебора. Одного совпадения названия недостаточно.

Поддельная корпоративная сеть. В сетях WPA2/WPA3-Enterprise злоумышленник может имитировать инфраструктуру аутентификации. Если клиент неправильно проверяет сертификат сервера, возникает риск раскрытия учётных данных. Особенно опасны профили, где пользователь может самостоятельно принять неизвестный сертификат.

Посторонняя точка внутри организации. Сотрудник или нарушитель подключает собственный маршрутизатор к корпоративному Ethernet. Такое оборудование может создавать обходной вход в сеть, даже если не копирует существующий SSID. В терминологии беспроводной безопасности такую точку часто называют Rogue AP.

Не каждый Rogue AP является Evil Twin. Не каждый Evil Twin подключён к проводной инфраструктуре организации. Для расследования разница принципиальна.

Подробнее механизм атак на Wi-Fi можно рассмотреть отдельно. Здесь сосредоточимся на обнаружении и проверке признаков.

Какие изменения должны насторожить

Признак	Возможная угроза	Легальная причина
Новый BSSID под известным SSID	Клон точки доступа	Дополнительный радиомодуль, mesh-узел
Неожиданная смена WPA3 на WPA2 или Open	Попытка ослабить защиту	Ошибочная или согласованная перенастройка
Один BSSID виден с противоречивыми параметрами	Подмена MAC-адреса	Сбой драйвера, перезапуск оборудования
Массовые кадры Deauthentication	Принудительное отключение клиентов	Сбой контроллера, изменение конфигурации
Неожиданные объявления о смене канала	Поддельные управляющие кадры	Автоматическое управление радиоканалами
Резко изменился RSSI	Другой передатчик с тем же BSSID	Перемещение приёмника, отражения сигнала

Единственного признака, который безошибочно разоблачает Evil Twin, нет. Надёжнее сопоставлять данные нескольких датчиков, параметры радиокадров, инвентаризацию оборудования и журналы настоящих точек доступа.

2. Ищем подозрительные точки с Kismet, Wireshark и bettercap

Готовим Linux и создаём эталон сети

Для работы понадобится Linux и Wi-Fi-адаптер, поддерживающий режим мониторинга. Желательно использовать отдельный USB-адаптер, чтобы захват не прерывал основное интернет-соединение.

Сначала выясним название беспроводного интерфейса.

iw dev

Проверим доступные режимы адаптера.

iw list

В разделе Supported interface modes ищем monitor. Если режим отсутствует, потребуется другой адаптер или драйвер. Наличие режима мониторинга не гарантирует поддержку всех частот и форматов современных кадров Wi-Fi 6E и Wi-Fi 7.

Для Debian и Ubuntu инструменты, доступные в подключённых репозиториях, можно установить так.

sudo apt update
 sudo apt install kismet wireshark tshark

bettercap установим отдельно из репозитория дистрибутива или через официальный выпуск программы, если подходящий пакет недоступен.

До эксперимента составляем эталонный список разрешённых точек. Возьмём две лабораторные точки с одинаковым SSID.

SSID	BSSID	Канал	Защита
Office-Lab	02:11:22:33:44:10	6	WPA3-SAE
Office-Lab	02:11:22:33:44:11	36	WPA3-SAE

Адреса условные. В реальной сети возьмите BSSID из административного интерфейса маршрутизатора или контроллера, а не только из радиосканирования. Для корпоративной инфраструктуры внесите все разрешённые виртуальные точки и радиомодули.

В Wi-Fi 7 с Multi-Link Operation, сокращённо MLO, отдельные радиоканалы могут иметь собственные MAC-адреса. Кроме того, применяется общий адрес логического многоканального устройства. Без учёта такой архитектуры система обнаружения может ошибочно принять дополнительные соединения одного маршрутизатора за неизвестные точки.

Kismet. Настраиваем обнаружение Evil Twin

Kismet работает как система наблюдения за беспроводным радиоэфиром и может выполнять функции WIDS, то есть Wireless Intrusion Detection System.

Программа собирает информацию о точках доступа, клиентах, радиоканалах, параметрах безопасности и управляющих кадрах. При обнаружении характерных аномалий Kismet генерирует предупреждения.

Предположим, адаптер мониторинга называется wlan1. Запустим Kismet.

kismet -c wlan1

Kismet самостоятельно работает с режимом мониторинга через поддерживаемый драйвер Linux. Если запуск не удался, проверьте права компонента захвата и программы, которые уже используют адаптер. Запускать весь сервер Kismet с правами root без необходимости не следует.

Откройте локальный веб-интерфейс.

http://localhost:2501

При первом подключении настройте учётную запись. Затем проверьте список источников захвата и найденных беспроводных устройств.

Найдите Office-Lab и посмотрите все обнаруженные BSSID. На первом этапе должны присутствовать только разрешённые адреса, попадающие в зону приёма и на наблюдаемые каналы.

Теперь добавим автоматический контроль неизвестных BSSID.

Откройте файл kismet_site.conf. При стандартной пакетной установке путь обычно выглядит так.

sudo nano /etc/kismet/kismet_site.conf

Добавьте правило.

apspoof=OfficeLab:ssid="Office-Lab",validmacs="02:11:22:33:44:10,02:11:22:33:44:11"

Параметр apspoof задаёт контролируемый SSID и список разрешённых MAC-адресов. В данном случае имя правила OfficeLab, а допустимых BSSID два.

Если Kismet обнаружит Beacon или Probe Response с SSID Office-Lab от другого BSSID, сработает предупреждение APSPOOF.

После сохранения настроек перезапустите Kismet. Название события и порядок его обработки можно проверить в настройках предупреждений.

У APSPOOF есть принципиальное ограничение. Если злоумышленник скопировал не только SSID, но и разрешённый BSSID, обычный список доверенных MAC-адресов уже не поможет. Для обнаружения такой подмены потребуется анализ других характеристик.

Не пропускаем события из-за переключения каналов

По умолчанию Kismet может переключать беспроводной интерфейс между поддерживаемыми каналами. Такой режим удобен для общей разведки эфира, но короткие события легко пропустить.

Допустим, настоящая лабораторная точка работает на канале 6. Для непрерывного наблюдения за конкретным каналом используйте отдельный адаптер.

kismet -c 'wlan1:channel_hop=false,channel=6'

Команда фиксирует источник на шестом канале. Если атака происходит на другом канале, данный адаптер её не увидит. Поэтому для большой сети разумно сочетать обзорное сканирование с несколькими источниками, закреплёнными за критическими частотами.

При оценке аномалий временных меток нескольких датчиков учитывайте, что они могут получать одни и те же кадры в разном порядке. Неправильное объединение записей создаёт ложные признаки подмены.

Какие предупреждения Kismet заслуживают внимания

Предупреждение	Что проверять
APSPOOF	Чужой BSSID, объявляющий контролируемый SSID
ADVCRYPTCHANGE	Неожиданное изменение объявляемых параметров шифрования
CRYPTODROP	Ослабление режима безопасности ранее известной точки
BSSTIMESTAMP	Аномалии временных меток Beacon
CHANCHANGE	Изменение канала известной точки
BEACONRATE	Изменение частоты объявлений Beacon
DEAUTHFLOOD	Необычно большое количество кадров деаутентификации
DOT11CSASPOOF	Признаки поддельных объявлений о смене канала
DOT11CSAFLOOD	Чрезмерное количество объявлений о смене канала

Набор событий и алгоритмы обнаружения зависят от установленной версии Kismet. Не все предупреждения возникают при первой встрече с точкой. Некоторые требуют накопить историю её нормального поведения, а отдельные механизмы имеют пороги срабатывания.

Особенно интересны предупреждения о поддельных объявлениях смены канала. Атакующие могут использовать Channel Switch Announcement, или CSA, для вмешательства в работу клиентов. Обычный PMF не обеспечивает полной защиты всех подобных объявлений.

В Kismet появились более точные проверки CSA, которые анализируют последовательность объявлений, временные метки и допустимость указываемого канала. Но даже такой механизм не гарантирует обнаружения каждой атаки.

Wireshark. Сравниваем настоящие и подозрительные радиокадры

Kismet показывает подозрительное событие. Wireshark помогает разобраться, что именно передавалось в эфире.

Для удобства настроим сохранение захваченных кадров в PCAPNG. В файл kismet_site.conf добавьте параметры.

log_types=kismet,pcapng
 pcapng_log_data_packets=false

Первый параметр включает базу Kismet и дополнительный файл PCAPNG. Второй исключает кадры данных из PCAPNG, оставляя управляющие кадры для анализа. Настройка не делает саму базу Kismet автоматически безопасной для публикации, поскольку база может хранить исходные пакеты отдельно.

Для ограничения сохраняемого содержимого добавьте.

hidedata=true

В Kismet начиная с реализации, появившейся в выпуске 2026-10-R1, параметр обрезает кадры данных до заголовков при обработке и записи. В более ранних версиях содержимое могло сохраняться в журналах полностью. Кадры EAPOL-Key при таком режиме остаются доступными. Поэтому перед работой с чувствительным трафиком проверьте версию программы и фактическое содержимое журналов.

После перезапуска откройте созданный PCAPNG в Wireshark. Путь к файлу зависит от конфигурации журналирования Kismet.

Для анализа пригодятся следующие фильтры.

Фильтр Wireshark	Назначение
wlan.fc.type_subtype == 0x08	Beacon
wlan.fc.type_subtype == 0x05	Probe Response
wlan.fc.type_subtype == 0x0c	Deauthentication
wlan.fc.type_subtype == 0x0a	Disassociation
wlan.bssid == 02:11:22:33:44:10	Кадры выбранного BSSID
wlan.rsn.capabilities.mfpr == 1	Объявления с обязательным PMF

Первым делом найдите Beacon подозрительной точки. Откройте сведения IEEE 802.11 и сравните с эталоном.

Проверьте RSN Information, наборы AKM Suites, поддерживаемые шифры, флаги MFPC и MFPR, параметры радиоканала и дополнительные информационные элементы.

Если настоящий маршрутизатор объявляет только SAE, а новый передатчик с таким же SSID использует открытый режим или PSK, обнаружена существенная разница конфигурации. Но окончательный вывод всё равно требует сопоставления с административными данными.

Консольный TShark позволит быстро вывести список объявлений.

tshark -r wifi-audit.pcapng 
   -Y 'wlan.fc.type_subtype == 0x08' 
   -T fields 
   -e frame.time 
   -e wlan.ssid 
   -e wlan.bssid 
   -e radiotap.channel.freq 
   -e radiotap.dbm_antsignal

Замените wifi-audit.pcapng на имя своего файла. Команда показывает время, SSID, BSSID, частоту и уровень сигнала, если драйвер сохранил соответствующие радиоданные.

Для списка уникальных сочетаний SSID и BSSID достаточно следующего варианта.

tshark -r wifi-audit.pcapng 
   -Y 'wlan.fc.type_subtype == 0x08' 
   -T fields 
   -e wlan.ssid 
   -e wlan.bssid | sort -u

Полученный список удобно сравнивать с инвентарной таблицей. Однако перед автоматическим разбором следует проверить структуру файлов. В современных сетях часть сведений о дополнительных BSSID может передаваться внутри сложных информационных элементов, а не только отдельными привычными Beacon.

Как распознать копию BSSID по поведению кадров

Ситуация становится интереснее, когда два передатчика используют одинаковый BSSID. Простая проверка MAC-адреса здесь бессильна.

Помочь могут временные метки TSF, номера последовательности кадров, параметры радиоканала и характеристики самого передатчика.

TSF представляет собой механизм синхронизации времени в беспроводной сети. Точки доступа включают соответствующие временные значения в свои объявления. При нормальной работе последовательность обычно развивается согласованно.

Если два независимых передатчика используют одинаковый BSSID, в захваченных Beacon иногда появляются скачки временных значений или другие несоответствия. Kismet способен обнаруживать некоторые подобные аномалии.

Но здесь легко ошибиться. Настоящая точка могла перезагрузиться, а кадры могли прийти с нескольких датчиков в разном порядке. Ошибки прошивки тоже способны нарушать ожидаемую последовательность.

Поэтому полезнее сравнивать сразу несколько параметров, особенно если конфликтующие объявления получены на разных частотах или имеют устойчиво различные характеристики.

RSSI тоже пригодится как дополнительный сигнал. Если кадры с одинаковым BSSID одновременно принимаются разными датчиками с резко отличающимся уровнем сигнала, можно заподозрить наличие нескольких источников. Но один RSSI не даёт достоверного местоположения и не подтверждает подмену.

bettercap. Быстрая независимая проверка

bettercap поддерживает обнаружение беспроводных точек и клиентов. Программа также содержит средства активных атак, но для нашего аудита достаточно пассивного режима поиска.

Запускаем bettercap с подходящим интерфейсом.

sudo bettercap -iface wlan1

Если беспроводной модуль использует другой интерфейс, укажите его явно через параметр wifi.interface.

set wifi.interface wlan1
 wifi.recon on
 wifi.show

Команда wifi.recon on запускает обнаружение беспроводных станций, а wifi.show выводит найденные точки доступа.

Модуль может также пассивно собирать материалы рукопожатий, поэтому запускайте его только в контролируемом окружении и проверяйте создаваемые файлы.

Для наблюдения за шестым каналом используйте.

wifi.recon.channel 6
 wifi.show

Для возврата к автоматическому переключению каналов выполните.

wifi.recon.channel clear

По окончании проверки остановите модуль.

wifi.recon off

Сравните список найденных BSSID с результатами Kismet. bettercap удобен для оперативной ручной проверки. Kismet лучше подходит для длительного мониторинга и предупреждений, а Wireshark даёт подробную картину отдельных кадров.

При этом три программы не являются тремя независимыми физическими датчиками, если используют один Wi-Fi-адаптер. Ошибки драйвера или пропущенные радиокадры способны одинаково повлиять на все результаты.

3. Ловим атаки на управляющие кадры и неизвестные устройства

Deauthentication. Когда массовые отключения становятся подозрительными

Кадры Deauthentication и Disassociation участвуют в завершении беспроводного соединения. Без соответствующей защиты злоумышленник может подделывать определённые управляющие сообщения, заставляя клиент потерять связь с точкой доступа.

Такие действия могут применяться для отказа в обслуживании или как часть более сложной атаки. Например, атакующий пытается нарушить нормальное подключение и подтолкнуть пользователя к другой сети.

Но деаутентификация сама по себе не является признаком взлома. Клиенты отключаются при перезагрузке роутера, изменении настроек, завершении сеансов и по другим штатным причинам.

Откройте захваченный файл в Wireshark и примените фильтр.

wlan.fc.type_subtype == 0x0c

Изучите адреса отправителя и получателя, коды причины отключения, временные интервалы и количество затронутых клиентов.

Для консольного анализа можно вывести кадры деаутентификации.

tshark -r wifi-audit.pcapng 
   -Y 'wlan.fc.type_subtype == 0x0c' 
   -T fields 
   -e frame.time 
   -e wlan.sa 
   -e wlan.da 
   -e wlan.bssid

Массовое появление подобных кадров за короткий период требует проверки, особенно если одновременно несколько пользователей жалуются на разрывы связи.

Однако без исходного профиля нормального поведения нельзя назвать универсальный порог, после которого сеть следует считать атакованной. Для небольшого домашнего Wi-Fi и крупной корпоративной инфраструктуры нормальные показатели будут совершенно разными.

PMF защищает не все управляющие кадры

Для борьбы с поддельными управляющими сообщениями используется Protected Management Frames, сокращённо PMF. Механизм связан со стандартом IEEE 802.11w.

PMF обеспечивает криптографическую защиту определённых управляющих кадров после установления необходимых ключей. В частности, злоумышленнику становится значительно сложнее подделывать кадры деаутентификации и разрыва ассоциации уже защищённого соединения.

В объявлениях RSN используются два признака.

• MFPC означает, что устройство поддерживает Protected Management Frames.
• MFPR означает, что защита управляющих кадров обязательна.

В Wireshark объявления с обязательным PMF можно найти так.

wlan.fc.type_subtype == 0x08 and wlan.rsn.capabilities.mfpr == 1

Для WPA3-соединений PMF обязателен. Однако в переходном режиме WPA2/WPA3 точка доступа может объявлять PMF как необязательный, чтобы сохранить совместимость со старыми клиентами. При этом клиенты, подключающиеся именно через WPA3, должны использовать PMF.

Сравнивайте не только настройки точки, но и фактически согласованный режим подключения клиента.

Самое интересное ограничение заключается в том, что обычный PMF не защищает автоматически все объявления Beacon. Поэтому некоторые атаки на управляющую информацию остаются возможными даже в сети с WPA3.

Поддельные объявления о смене канала

Точки доступа могут сообщать клиентам о переходе на другой радиоканал. Для этого используются элементы Channel Switch Announcement, или CSA.

Такие объявления нужны, например, при работе механизмов автоматического выбора канала и в сценариях, где точка должна освободить определённую частоту.

Злоумышленник может попытаться подделать управляющую информацию, связанную с переходом на другой канал. Некоторые реализации клиентов могут потерять связь с настоящей точкой или начать искать её не там, где требуется.

Для обнаружения подозрительных CSA полезны предупреждения Kismet DOT11CSASPOOF и DOT11CSAFLOOD, если соответствующие проверки доступны в установленной версии.

В отличие от простого подсчёта кадров, более точная проверка учитывает временные метки, последовательность объявлений и допустимость нового канала.

Для дополнительной защиты существует Beacon Protection. Механизм помогает клиентам проверять подлинность определённой информации в Beacon после установления защищённого соединения. Но поддержку должны обеспечивать и точка доступа, и клиент. Наличие WPA3 или Wi-Fi 7 само по себе ещё не доказывает, что Beacon Protection реально используется.

Для обычной домашней сети достаточно включить WPA3 и PMF Required, если оборудование совместимо. Для корпоративной инфраструктуры стоит дополнительно проверить возможности защиты Beacon и настройки контроллера.

Неизвестный клиент не обязательно является нарушителем

Kismet показывает не только точки доступа, но и устройства, передающие радиокадры. Среди них могут оказаться смартфоны прохожих, соседние ноутбуки и устройства, которые вообще никогда не подключались к вашей сети.

Поэтому появление нового MAC-адреса в радиоэфире ещё не означает несанкционированное подключение.

Для расследования нужно выяснить, с какой точкой взаимодействовало устройство и прошла ли аутентификация.

Начните с административного интерфейса маршрутизатора. Посмотрите список ассоциированных клиентов, режимы безопасности и журналы подключения.

На собственном Linux-компьютере полезно проверить известные сетевые соседства.

ip neigh show

Команда показывает записи таблицы соседей IPv4 и IPv6, а не полный список Wi-Fi-клиентов. Если устройство отсутствует в таблице, нельзя делать вывод, что его нет в беспроводной сети.

В корпоративной инфраструктуре сопоставьте радиособытия с журналами контроллера, DHCP, системой 802.1X и данными коммутаторов.

Современные смартфоны часто используют случайные MAC-адреса. Поэтому смена адреса может означать изменение настроек приватности уже известного устройства, а не появление нового пользователя.

При работе с Wi-Fi 7 учитывайте дополнительные MAC-адреса многоканальных соединений MLO. Считать каждую отдельную радиосвязь новым физическим клиентом неправильно.

Особый случай. Посторонний маршрутизатор подключён к Ethernet

Пассивный радиосканер способен показать неизвестную точку, но не всегда определяет, подключена ли она к внутренней корпоративной сети.

Допустим, в офисе появился SSID Printer-Setup. Kismet обнаружил соответствующий BSSID, но не знает, находится ли передатчик в соседнем помещении или подключён к корпоративному коммутатору.

Для подтверждения Rogue AP нужны дополнительные данные.

• Проверьте, зарегистрирована ли точка в инвентарной базе организации.
• Посмотрите таблицы MAC-адресов управляемых коммутаторов.
• Проверьте, какие устройства подключены к подозрительному физическому порту.
• Сопоставьте сведения DHCP и сетевой авторизации.
• Уточните, кому принадлежит оборудование и разрешено ли его подключение.

Если неизвестная точка действительно подключена к внутренней сети, риск может оказаться выше, чем от соседского Wi-Fi с похожим названием. Особенно если маршрутизатор создаёт мост между внутренним Ethernet и неконтролируемым беспроводным доступом.

В подобных случаях систему радиомониторинга следует дополнять контролем проводной инфраструктуры. Отдельные средства WIPS способны автоматически выполнять защитные действия, но применять активное подавление чужих точек без правовых и технических оснований нельзя.

4. Проводим лабораторный аудит и собираем итоговый отчёт

Практический эксперимент с поддельным SSID

Для проверки работы системы обнаружения не нужно атаковать реальные устройства. Достаточно двух собственных точек доступа, Linux-ноутбука и отдельного тестового клиента.

Проводите эксперимент в контролируемой радиосреде. Желательно уменьшить мощность передатчиков и исключить автоматическое подключение посторонних устройств.

Первая точка уже работает с SSID Office-Lab и BSSID 02:11:22:33:44:10 на шестом канале. Вторая точка пока выключена.

Вторая точка будет объявлять то же имя Office-Lab, но использовать другой BSSID. Подключать её к рабочей сети не требуется.

Шаг 1. Проверяем исходное состояние.

Запустите Kismet на шестом канале.

kismet -c 'wlan1:channel_hop=false,channel=6'

Убедитесь, что программа обнаруживает настоящую точку, а правило APSPOOF содержит её BSSID. Зафиксируйте время начала наблюдения.

Шаг 2. Включаем вторую лабораторную точку.

Настройте на дополнительном маршрутизаторе SSID Office-Lab и разрешённый для лаборатории шестой канал. Для демонстрации достаточно другого BSSID. Не требуется подменять MAC-адрес настоящего оборудования или собирать учётные данные клиентов.

Если лабораторная точка использует другой режим безопасности, заранее запишите различия. Тестовые клиенты не должны автоматически подключаться к копии сети.

Шаг 3. Проверяем предупреждение Kismet.

После появления дополнительного передатчика в списке устройств должен обнаружиться новый BSSID. Если выполнены условия правила и захвачены соответствующие кадры, Kismet сформирует APSPOOF.

Если предупреждения нет, проверьте конфигурацию, канал, правильность имени SSID и фактический приём Beacon. Отсутствие предупреждения ещё не означает, что система успешно отличила настоящую точку от поддельной.

Шаг 4. Сравниваем радиокадры.

Откройте PCAPNG в Wireshark. Найдите объявления обеих точек и сравните BSSID, параметры RSN, частоту, интервалы Beacon и уровень сигнала.

Отдельно проверьте, сработал ли ADVCRYPTCHANGE, если параметры защиты различаются. Появление такого предупреждения зависит от того, как Kismet сопоставил объявления и какие изменения уже наблюдал.

Шаг 5. Завершаем эксперимент.

Выключите дополнительный маршрутизатор, сохраните журнал событий и убедитесь, что новые Beacon от тестовой точки больше не поступают. Историческая запись устройства в Kismet может остаться до очистки списка или завершения сеанса.

По результатам должен получиться воспроизводимый пример обнаружения неизвестного BSSID с доверенным SSID. Аудитор также должен понимать ограничение эксперимента. Проверка не доказывает способность системы обнаруживать произвольную подмену BSSID и более сложные атаки.

Как оценивать подозрительные события

В отчёте полезно разделять подтверждённые факты и предположения. Не каждое предупреждение WIDS требует немедленного реагирования как на реальный взлом.

Находка	Что известно	Следующий шаг
Неизвестный BSSID с доверенным SSID	Обнаружена неучтённая точка	Сверить с инвентаризацией и контроллером
Открытая копия защищённой сети	Есть существенное расхождение настроек	Установить происхождение передатчика
Аномальные временные метки одного BSSID	Есть признаки несогласованного поведения	Проверить перезапуски, прошивку и другие датчики
Всплеск Deauthentication	Наблюдались массовые отключающие кадры	Сопоставить с журналами и жалобами клиентов
Неизвестный клиент в радиоэфире	Обнаружено передающее устройство	Проверить факт подключения к своей сети
Посторонний AP на внутреннем Ethernet	Подтверждено неучтённое проводное подключение	Определить владельца, права и сетевую доступность

Подтверждённое присутствие передатчика не равно подтверждённой атаке. Даже если обнаружен настоящий Evil Twin, остаётся выяснить, подключались ли к нему клиенты и какие последствия возникли.

Какие данные включить в отчёт

Для каждого существенного события сохраните основные сведения.

• Дата и точное время с указанием часового пояса.
• Расположение и идентификатор датчика наблюдения.
• SSID, BSSID и частота подозрительного передатчика.
• Режим шифрования и параметры PMF.
• Тип предупреждения Kismet.
• Соответствующие кадры PCAPNG.
• Сведения из журналов настоящего оборудования.
• Проверенные альтернативные объяснения.
• Вывод о степени подтверждения угрозы.

Удобно использовать три итоговых статуса. «Подтверждено», «не подтверждено» и «недостаточно данных». Такая классификация не позволяет случайному предупреждению превратиться в голословное утверждение о взломе.

При длительном наблюдении ведите историю появления разрешённых BSSID и изменений конфигурации. Если обнаружение строится на сравнении с эталоном, устаревшая инвентаризация быстро создаст поток ложных тревог.

Как реально защитить Wi-Fi от поддельных точек

По результатам аудита обычно приходится исправлять не одну конкретную ошибку, а несколько слабых мест инфраструктуры.

1. Используйте WPA3-Personal там, где поддерживают клиенты. Для несовместимых устройств выделите отдельный сегмент WPA2-AES с сильным паролем. Не оставляйте смешанный режим только ради давно неиспользуемой техники.
2. Настройте PMF. Для сети WPA3-only используйте обязательную защиту управляющих кадров. В переходных сетях проверяйте фактический режим подключения каждого клиента.
3. Проверяйте сертификаты корпоративной аутентификации. Для WPA2/WPA3-Enterprise предпочтительны управляемые профили EAP-TLS, доверенные центры сертификации и проверка имени сервера. Запретите пользователям принимать произвольные сертификаты при подключении.
4. Отключите ненужный WPS. Особенно если маршрутизатор продолжает поддерживать вход по PIN-коду.
5. Контролируйте разрешённые BSSID. Обновляйте список после замены точек, изменения радиомодулей и внедрения MLO.
6. Ограничьте автоматическое подключение. Удалите ненужные профили открытых сетей и применяйте управляемые настройки Wi-Fi на корпоративных устройствах.
7. Следите за проводными портами. Используйте учёт оборудования, сегментацию и 802.1X там, где позволяют возможности коммутаторов.
8. Настройте постоянный радиомониторинг. Разместите датчики в критических зонах, проверьте покрытие частот и регулярно тестируйте предупреждения контролируемыми лабораторными событиями.

Для сетей WPA2/WPA3 переходного режима полезно проверить поддержку Transition Disable. Механизм позволяет совместимой точке сообщить клиенту, что для последующих подключений следует отказаться от некоторых менее защищённых вариантов аутентификации. Но реальная защита зависит от поддержки обеими сторонами и корректности конфигурации.

В диапазоне 6 ГГц требования безопасности строже. Для соответствующих стандартам сетей применяются WPA3 или Enhanced Open с OWE. Обычный WPA2-Personal и традиционный открытый режим без OWE для 6 ГГц не подходят. При этом OWE шифрует радиосоединение, но не обеспечивает аутентификацию владельца точки доступа, поэтому не устраняет риск подключения к поддельной открытой сети.

Наконец, не стоит надеяться, что WIDS автоматически остановит атакующего. Обнаружение и предотвращение относятся к разным задачам. Даже качественная система радиомониторинга не гарантирует защиты от всех вариантов подмены и радиопомех.

Что делать после обнаружения вероятного Evil Twin

Если совокупность признаков указывает на реальную подмену, сначала сохраните радиозапись и журналы, а затем проверьте состояние настоящей сети.

Не пытайтесь самостоятельно отключать неизвестную точку с помощью кадров деаутентификации или других радиокоманд. Даже если устройство находится рядом с офисом, оно может принадлежать соседней организации.

В корпоративной инфраструктуре передайте материалы администраторам и группе реагирования. При подтверждённом риске ограничьте небезопасные профили Wi-Fi на управляемых устройствах, предупредите пользователей и проверьте журналы аутентификации.

Если сотрудники вводили корпоративные пароли на подозрительной странице, потребуется проверить использование учётных записей, сменить раскрытые секреты и отозвать затронутые сеансы. Если обнаружен несанкционированный маршрутизатор на внутреннем Ethernet, изолируйте соответствующий порт по согласованной процедуре.

Храните радиозахваты с ограниченным доступом. PCAPNG и базы Kismet могут содержать MAC-адреса, временные метки присутствия устройств, информацию об аутентификации и другие чувствительные сведения. Для передачи итогов руководству обычно достаточно обезличенных таблиц и небольших фрагментов, которые подтверждают конкретную находку.

Частые вопросы

Можно ли найти Evil Twin без подключения к подозрительной сети?

Да. Kismet и Wireshark могут пассивно получать Beacon, Probe Response и другие доступные управляющие кадры. Для выявления неизвестного BSSID не нужно подключаться к точке доступа. Однако одного радионаблюдения не всегда достаточно для подтверждения злонамеренных действий.

Может ли злоумышленник полностью скопировать BSSID настоящего роутера?

MAC-адрес можно подменить, поэтому совпадение BSSID не гарантирует подлинность передатчика. Но успешное воспроизведение защищённого соединения требует выполнения дополнительных условий, включая корректную аутентификацию. Обнаруживать такие попытки сложнее, поскольку простой список разрешённых BSSID перестаёт работать.

Защитит ли WPA3 от любого Evil Twin?

Нет. WPA3-SAE защищает аутентификацию и согласование ключей, но не мешает злоумышленнику объявить похожий SSID или показать пользователю фишинговую страницу в другой сети. Кроме того, остаются риски ошибочной конфигурации, переходных режимов, уязвимостей реализаций и атак на отдельные управляющие сообщения.

Можно ли определить физическое местоположение поддельной точки по RSSI?

Одного значения RSSI недостаточно. Для приблизительной локализации используют измерения из нескольких точек и учитывают условия распространения радиоволн. В помещениях отражения от стен, мебели и металлических конструкций сильно ухудшают точность.

Почему Kismet показывает неизвестные MAC-адреса, хотя никто новый к Wi-Fi не подключался?

Программа видит передающие устройства в радиоэфире, а не только клиентов вашей сети. Кроме того, смартфоны используют случайные MAC-адреса, а устройства Wi-Fi 7 с MLO могут иметь отдельные адреса для разных радиосоединений. Подтверждать подключение следует по журналам точки доступа.

Поможет ли VPN при подключении к поддельному Wi-Fi?

Корректно настроенный VPN может защищать данные, проходящие внутри туннеля, но не подтверждает подлинность Wi-Fi-точки. Некоторые соединения могут выполняться до установления туннеля или вне его. VPN также не защищает от ввода пароля на фишинговой странице. Использовать подобные средства следует только в законных сценариях.

Почему Kismet не видит часть сетей Wi-Fi 6E и Wi-Fi 7?

Причина может заключаться в ограничениях адаптера, драйвера, поддерживаемых частот, режима мониторинга или декодирования новых информационных элементов. Поддержка Wi-Fi 7 для обычного подключения не гарантирует полноценный анализ всех кадров Wi-Fi 7. Для сети с диапазоном 6 ГГц нужен совместимый приёмник и корректная настройка разрешённых каналов.

Нужна ли отдельная система WIDS для домашнего Wi-Fi?

В большинстве домашних сетей разумнее сначала обновить прошивку маршрутизатора, включить WPA3 или WPA2-AES с надёжным паролем, настроить PMF и проверить подключённые устройства. Постоянный Kismet полезен для лаборатории, сложной домашней инфраструктуры или регулярного аудита, но требует времени, совместимого оборудования и анализа ложных тревог.

Вывод

Evil Twin опасен не потому, что Wi-Fi легко подделать визуально. Главная проблема заключается в том, что знакомое название сети само по себе не доказывает принадлежность точки доступа. Даже BSSID можно скопировать, а часть управляющих сообщений остаётся доступной для манипуляций при определённых условиях.

Для практического аудита начните с инвентаризации доверенных BSSID. Настройте Kismet и правило APSPOOF, затем проверьте работу обнаружения с помощью второй собственной лабораторной точки. Если появляется подозрительное событие, откройте радиокадры в Wireshark, сравните параметры безопасности и сверьте результаты с журналами настоящего оборудования. bettercap пригодится для дополнительной ручной проверки.

Самые полезные меры защиты находятся не в сканере. Правильно настроенные WPA3 и PMF, проверка сертификатов корпоративной сети, контроль проводных портов, отказ от ненужных переходных режимов и постоянная инвентаризация существенно сокращают пространство для атаки.

Вся серия по аудиту Wi-Fi в Linux на этом завершается. Мы разобрались с выбором адаптера, разведкой радиоэфира, анализом кадров, проверкой WPA2/WPA3 и поиском поддельных точек доступа. Но окончательный критерий качества аудита прост. Нужно не только обнаружить подозрительный передатчик, но и объяснить, почему он представляет угрозу, чем подтверждён вывод и какие конкретные действия помогут защитить сеть.