Вы установили на роутере сложный пароль, включили WPA3 и уверены, что беспроводная сеть защищена. Но в настройках мог остаться переходный режим WPA2/WPA3, старый телевизор продолжает подключаться через WPA2, а WPS по-прежнему принимает запросы на сопряжение. Получается, что современная защита работает не для всех устройств.
Проверить реальную конфигурацию Wi-Fi можно самостоятельно. Linux позволяет увидеть, какие методы аутентификации объявляет роутер, записать подключение собственного устройства, проверить стойкость тестового пароля и выяснить, активен ли WPS. Для большинства проверок не нужно атаковать оборудование или принудительно отключать клиентов.
В этом руководстве проведём аудит собственной лабораторной сети с помощью Aircrack-ng, hcxtools, hashcat и wash. Разберём, почему WPA2 позволяет проверять пароли без постоянного обращения к роутеру, чем WPA3 отличается от предшественника, где остаются проблемы переходного режима и какие управляющие кадры защищает PMF.
Главная цель аудита не получить красивую надпись «пароль найден», а определить реальные слабые места и устранить их. Неудачная попытка подбора сама по себе не доказывает безопасность сети, а наличие WPA3 в интерфейсе роутера ещё не гарантирует, что все клиенты используют SAE.
Все практические действия выполняйте только на собственном оборудовании или в сети, владелец которой разрешил аудит. Радиосигнал выходит за пределы квартиры и офиса, поэтому даже пассивная запись может затронуть соседние устройства. Для экспериментов используйте отдельный роутер и тестовый клиент. Не проводите активные проверки соседних точек доступа и не сохраняйте чужой трафик.
1. Готовим Linux и выясняем, как защищена сеть
Для эксперимента понадобятся компьютер с Linux, Wi-Fi-адаптер с поддержкой режима мониторинга, собственный роутер и телефон или ноутбук для тестового подключения.
Желательно использовать два беспроводных адаптера. Первый останется в обычном режиме managed, а второй будет принимать кадры непосредственно из радиоэфира в режиме monitor. Если адаптер один, на время захвата придётся отказаться от обычного Wi-Fi-подключения через него.
Устанавливаем инструменты
В Kali Linux, Debian и совместимых дистрибутивах начнём с установки пакетов.
sudo apt update
sudo apt install aircrack-ng hcxtools hashcat reaver iwПакет reaver нужен для утилиты wash. Сам Reaver, предназначенный для активной проверки WPS, в нашем сценарии не потребуется.
Проверим, что нужные программы установлены.
aircrack-ng --help
hcxpcapngtool --version
hashcat --version
wash -hНазвания и доступность пакетов зависят от дистрибутива. При использовании старой версии Linux некоторые функции могут отсутствовать, поэтому ориентируйтесь на справку фактически установленной программы.
Проверяем Wi-Fi-адаптер
Посмотрим список беспроводных интерфейсов.
iw devДопустим, Linux обнаружил wlan0 и wlan1. Первый интерфейс используем для обычной работы, второй выделим для аудита.
Проверим, поддерживает ли адаптер режим мониторинга.
iw list | grep -A 15 "Supported interface modes"Среди доступных режимов должен присутствовать monitor. Если адаптер умеет работать только в managed, он не подходит для выбранного способа захвата чужих для самого адаптера кадров.
Не менее существенно, какие частоты поддерживает радиомодуль. Адаптер, рассчитанный только на 2,4 ГГц, не сможет наблюдать сеть в диапазоне 5 или 6 ГГц. Поддержка режима мониторинга также не гарантирует, что драйвер корректно принимает все типы кадров на каждом канале.
Посмотреть поддерживаемые частоты можно командой.
iw list | grep -A 50 "Frequencies"Проверяем параметры WPA2 и WPA3 до захвата трафика
Для начала не нужен ни словарь паролей, ни графический процессор. Точка доступа сама сообщает базовые параметры безопасности в кадрах Beacon и ответах на запросы сканирования.
Выполним сканирование через интерфейс, который пока работает в обычном режиме.
sudo iw dev wlan1 scanНайдите свою сеть по SSID и BSSID. SSID обозначает имя сети, а BSSID идентифицирует конкретную точку доступа или её радиоинтерфейс.
Обратите внимание на раздел RSN, содержащий параметры безопасности.
Для обычной WPA2-Personal сети вывод может выглядеть примерно так.
RSN:
* Version: 1
* Group cipher: CCMP
* Pairwise ciphers: CCMP
* Authentication suites: PSKЗначение PSK указывает на поддержку аутентификации с предварительно заданным ключом. CCMP обозначает механизм защиты данных, обычно использующий AES.
У WPA3-Personal вместо PSK в списке методов аутентификации ожидается SAE.
Authentication suites: SAEПереходный режим WPA2/WPA3 обычно объявляет оба метода.
Authentication suites: PSK SAEПоследний вариант требует особого внимания. Роутер поддерживает WPA3, но разрешает клиентам подключаться и через WPA2. По одному только имени сети нельзя узнать, какой вариант выбрал конкретный телефон.
Заодно найдите признаки поддержки защиты управляющих кадров. В зависимости от версии iw они могут отображаться как MFP-capable и MFP-required внутри сведений RSN.
Если сканирование не показывает нужные поля, не делайте вывод об отсутствии PMF. Проверьте полную запись RSN, свойства подключения и настройки роутера. Разные драйверы и версии инструментов могут отображать информацию по-разному.
Сохраним исходные результаты.
sudo iw dev wlan1 scan > wifi-before.txtФайл понадобится для сравнения после изменения настроек. Учтите, что результаты сканирования могут содержать сведения о соседних сетях, поэтому не публикуйте их без необходимости.
Подготавливаем тестовую сеть
Для проверки пароля создадим на отдельном роутере лабораторную сеть. Желательно отключить её от рабочей локальной сети и интернета.
| Параметр | Лабораторное значение |
|---|---|
| SSID | AuditLab |
| Режим безопасности | WPA2-Personal |
| Шифрование | AES/CCMP |
| Пароль | AuditWifi2026! |
| Диапазон | 2,4 ГГц |
| Канал | 6 |
| Тестовый клиент | Собственный телефон или ноутбук |
| WPS | Отключён на этапе проверки пароля |
Значения BSSID и канала в дальнейших командах необходимо заменить на реальные параметры вашей точки доступа.
Пароль AuditWifi2026! используется исключительно для демонстрации. Поскольку комбинация опубликована, применять её в настоящей домашней или рабочей сети нельзя.
2. Проверяем стойкость WPA2-пароля с Aircrack-ng и hashcat
WPA2-Personal не становится уязвимым только потому, что кто-то записал несколько пакетов. Ключевая проблема возникает, когда владелец использует слабый пароль, который можно угадать по словарю или предсказуемому шаблону.
Во время подключения устройства происходит четырёхстороннее рукопожатие 4-way handshake. Точка доступа и клиент подтверждают наличие общего ключевого материала и создают ключи для дальнейшего обмена.
При WPA2-Personal подходящая запись такого обмена позволяет проверять предполагаемые пароли локально. После получения необходимых данных атакующему не требуется отправлять каждый вариант пароля роутеру.
На практике программа вычисляет ключевой материал из проверяемого пароля и имени сети, затем сопоставляет результат с криптографическими данными захваченного обмена. Если значения совпадают, пароль найден.
Метод не позволяет восстановить произвольный сильный пароль мгновенно. Вычислительная сложность зависит от числа кандидатов, их структуры и используемого оборудования.
Шаг 1. Переводим адаптер в режим мониторинга
Создадим рабочий каталог.
mkdir -p ~/wifi-audit
cd ~/wifi-audit
umask 077Теперь переведём второй адаптер в режим мониторинга.
sudo airmon-ng start wlan1Во многих конфигурациях появится интерфейс wlan1mon. Но название зависит от драйвера и способа переключения.
Проверим фактическое состояние.
iw devНужный интерфейс должен иметь тип monitor.
Если NetworkManager или другой сетевой менеджер мешает работе, проверьте список конфликтующих процессов.
sudo airmon-ng checkНе стоит без необходимости завершать все найденные службы. На компьютере с единственным Wi-Fi-адаптером такой подход может оборвать текущую сеть или удалённую сессию. Для лаборатории удобнее выделить отдельный адаптер, которым NetworkManager не управляет.
Шаг 2. Записываем подключение собственного устройства
Запустим airodump-ng на канале тестового роутера. В примере используется условный BSSID 02:11:22:33:44:55.
sudo airodump-ng
--channel 6
--bssid 02:11:22:33:44:55
--write lab
--output-format pcap
wlan1monУтилита начнёт записывать принятые кадры. Ограничение по BSSID помогает сосредоточиться на собственной точке доступа и уменьшить объём ненужных данных.
Теперь возьмите собственный телефон, отключитесь от сети AuditLab и подключитесь заново. При необходимости выключите и снова включите Wi-Fi на телефоне.
Никаких кадров принудительного отключения отправлять не нужно. Обычного повторного подключения достаточно, чтобы создать законный тестовый обмен между собственными устройствами.
Если Aircrack-ng распознает подходящие сообщения, в верхней части окна появится строка наподобие следующей.
WPA handshake: 02:11:22:33:44:55Остановите захват сочетанием Ctrl+C.
В каталоге появится файл lab-01.cap.
Сообщение о рукопожатии не гарантирует пригодность записи для любого анализатора. Для WPA2 достаточно определённых пар сообщений EAPOL, но пропущенные пакеты, некорректные служебные поля или фильтрация могут испортить результат.
Перед продолжением ограничим доступ к файлу. Если запись создана от имени root, сначала передадим её текущему пользователю.
sudo chown "$USER":"$USER" lab-01.cap
chmod 600 lab-01.capШаг 3. Проверяем тестовый пароль через Aircrack-ng
Создадим небольшой словарь, в котором заранее присутствует лабораторный пароль.
printf '%sn'
'12345678'
'AuditWifi2026!'
'summer2026'
> lab-words.txtЗапустим проверку WPA2-рукопожатия.
aircrack-ng
-w lab-words.txt
-b 02:11:22:33:44:55
lab-01.capЕсли запись пригодна, а сеть действительно использует WPA2-PSK с указанным паролем, Aircrack-ng найдёт совпадение.
KEY FOUND! [ AuditWifi2026! ]Полученный результат подтверждает сразу несколько вещей. Захваченные данные пригодны для проверки, программа правильно обрабатывает WPA2-обмен, а пароль присутствует среди проверенных кандидатов.
Теперь измените пароль лабораторной сети на уникальную случайную комбинацию и повторите тест с тем же словарём после нового подключения клиента и нового захвата. Совпадения больше быть не должно.
Однако отсутствие совпадения нельзя трактовать как доказательство стойкости. Программа проверила всего три варианта. Пароль, отсутствующий в маленьком словаре, вполне может присутствовать в другом.
Шаг 4. Преобразуем запись через hcxtools
Для более гибкой проверки словарей существует hashcat. Программа умеет использовать поддерживаемые графические процессоры, но ей необходимы данные в подходящем формате.
Утилита hcxpcapngtool извлекает из записи WPA/WPA2 необходимые криптографические значения и сохраняет их в формате, который понимает hashcat.
hcxpcapngtool
-o lab.hc22000
lab-01.capРежим 22000 объединяет два типа материала WPA/WPA2, пригодного для соответствующей проверки паролей.
- EAPOL содержит данные из подходящих сообщений четырёхстороннего рукопожатия.
- PMKID представляет собой идентификатор ключевого материала, который при некоторых конфигурациях также позволяет проверять кандидаты.
Старые руководства могут предлагать режимы hashcat 2500 и 16800. Для современных рабочих сценариев предпочтителен формат 22000.
Проверим, появился ли выходной файл.
ls -lh lab.hc22000
wc -l lab.hc22000Если файл пустой, это не свидетельствует о безопасности точки доступа. Причиной может оказаться неполный обмен, отсутствие нужных данных или особенности записи.
Есть техническая тонкость. Разработчики hcxtools рекомендуют сохранять исходные захваты без предварительной очистки и фильтрации. Airodump-ng с фильтром BSSID обычно подходит для простого опыта с Aircrack-ng, но может удалить вспомогательные кадры, которые нужны hcxpcapngtool для корректного сопоставления данных.
Если преобразование не получилось, сначала попробуйте повторить подключение тестового клиента. Для более полного захвата можно убрать фильтр BSSID, но только в изолированной лабораторной среде, где вы контролируете передающие устройства. Не записывайте без необходимости окружающие сети.
Исходные файлы не стоит очищать или объединять случайными инструментами. Часть преобразований удаляет дополнительные поля, нужные hcxtools.
Шаг 5. Проверяем пароль через hashcat
Сначала выясним, видит ли hashcat доступные вычислительные устройства.
hashcat -IЕсли программа не обнаружила поддерживаемый процессор или видеокарту, проверьте драйверы и доступную вычислительную среду. Для работы могут потребоваться OpenCL, CUDA или другие поддерживаемые средства.
Запустим словарную проверку.
hashcat
-m 22000
-a 0
lab.hc22000
lab-words.txtПараметр -m 22000 задаёт формат WPA-PBKDF2-PMKID+EAPOL. Параметр -a 0 включает словарный режим.
Программа проверит кандидаты из файла lab-words.txt. Для лабораторной сети ожидается совпадение с заранее известным паролем.
Посмотреть найденные значения можно отдельно.
hashcat -m 22000
lab.hc22000 --showПри повторных экспериментах учитывайте, что hashcat сохраняет ранее найденные пароли в локальном файле результатов. Уже известное совпадение может отображаться повторно и не означает, что программа заново выполнила весь подбор.
Для понимания структуры режима 22000 полезно изучить формат WPA-хешей и правила подготовки записей. Не загружайте реальные файлы захвата в посторонние онлайн-конвертеры. Такие файлы могут содержать идентификаторы устройств, сведения о сети и криптографические данные аутентификации.
Можно ли получить материал для проверки без подключённого клиента?
В некоторых конфигурациях WPA/WPA2-Personal точка доступа может предоставить пригодный PMKID без необходимости записывать полный четырёхсторонний обмен с обычным клиентом.
Но наличие поддержки WPA2 не гарантирует выдачу пригодного PMKID. Поведение зависит от реализации роутера, используемых механизмов управления ключами и дополнительных настроек.
Не нужно путать PMKID с паролем. Сам идентификатор не раскрывает секретную комбинацию напрямую. При наличии подходящего материала всё равно требуется проверять кандидаты, а стойкость длинного случайного пароля от этого не исчезает.
Для домашнего аудита достаточно понять принцип и проверить собственную запись EAPOL. Отсутствие PMKID не является доказательством безопасности WPA2, как и его наличие не означает, что пароль легко подобрать.
Как оценить стойкость пароля без иллюзий
Словарная атака хорошо демонстрирует слабость предсказуемых комбинаций. Но тест с ограниченным словарём проверяет только конкретные предположения, а не всю криптографическую стойкость пароля.
Например, пароль Alexander2026! может казаться длинным и сложным. Однако если злоумышленнику известно имя владельца, проверка очевидных сочетаний имени, года и символов становится относительно простой задачей.
Случайная комбинация из независимых символов значительно надёжнее. Для WPA2-Personal обычно допускается парольная фраза из 8–63 печатных ASCII-символов. Отдельно существует формат 64-символьного шестнадцатеричного ключа.
Практичный способ получить случайную комбинацию в Linux.
openssl rand -hex 16Команда создаёт 16 случайных байт и представляет их в виде 32 шестнадцатеричных символов. При корректной работе криптографического генератора исходная случайная величина содержит 128 бит энтропии.
Для домашней сети такая комбинация значительно лучше предсказуемого пароля, составленного из имён, дат или нескольких популярных слов.
Не стоит ориентироваться на универсальные обещания вроде «любые 12 символов невозможно подобрать за миллион лет». Скорость проверки зависит от оборудования, конкретного алгоритма, правил генерации кандидатов и структуры пароля. Без этих условий подобные оценки практически бесполезны.
3. WPA3, переходный режим и PMF. Проверяем реальную защиту
WPA3-Personal использует другой механизм аутентификации, SAE, Simultaneous Authentication of Equals.
SAE относится к протоколам аутентифицированного обмена ключами на основе пароля. Точка доступа и клиент подтверждают знание общего секрета, не создавая материал, который можно использовать для обычного пассивного словарного подбора WPA2.
Поэтому записать корректный SAE-обмен недостаточно, чтобы потом проверить миллионы вариантов пароля привычным методом hashcat 22000.
У WPA3 есть и другое преимущество. Корректно реализованный SAE обеспечивает прямую секретность, известную как forward secrecy. Если пароль сети станет известен позднее, одного знания пароля и ранее записанного трафика недостаточно для восстановления старых сеансовых ключей SAE.
Но WPA3 не защищает от всех атак. Возможны ошибки прошивок, уязвимости драйверов, проблемы управления роутером и недостатки конкретных реализаций SAE.
Почему WPA2/WPA3 не равен полноценному WPA3
Большинство домашних роутеров предлагают несколько вариантов защиты.
| Параметр | WPA2-Personal | WPA2/WPA3 | WPA3-Personal |
|---|---|---|---|
| Аутентификация | PSK | PSK и SAE | SAE |
| Офлайн-подбор по обычной записи WPA2 | Возможен | Возможен для WPA2-подключений | Классический метод неприменим |
| PMF | Необязателен, если не потребован настройками | Обязателен для SAE, обычно необязателен для WPA2-клиентов | Обязателен |
| Совместимость | Широкая | Широкая | Требуется поддержка WPA3 |
| Основной компромисс | Слабый пароль можно проверять офлайн | Сохраняется путь подключения через WPA2 | Старые устройства могут не подключаться |
В переходном режиме WPA2/WPA3 один и тот же SSID принимает клиентов с разными способами аутентификации. Как правило, для обоих вариантов используется общая парольная фраза.
Представим домашнюю сеть, где новый смартфон подключается через SAE, а старый телевизор использует WPA2-PSK. Злоумышленник может получить пригодную запись WPA2-подключения телевизора и проверить пароль локально.
Если пароль восстановлен, знание общего секрета может позволить подключиться к той же сети, даже если некоторые другие устройства используют WPA3.
При этом восстановление пароля через WPA2 не означает автоматическую расшифровку ранее записанных WPA3-сеансов. SAE создаёт отдельные сеансовые ключи, которые не вычисляются простым повторением WPA2-подбора.
Дополнительную проблему представляют атаки понижения защиты. В рамках семейства Dragonblood были продемонстрированы сценарии, в которых переходный режим и отдельные недостатки SAE создавали возможности для словарных атак или утечки сведений о пароле через побочные каналы.
Нельзя автоматически считать любой современный WPA3-роутер уязвимым к ранним вариантам Dragonblood. Многие выявленные проблемы получили программные исправления, а механизмы SAE продолжают развиваться.
Однако поддержка WPA2 по-прежнему сохраняет отдельную поверхность атаки. Поэтому переходный режим лучше воспринимать как средство совместимости, а не как полноценную замену WPA3-only.
Проверяем, какой режим использует конкретный клиент
Наличие SAE в объявлениях точки доступа означает поддержку WPA3, но не доказывает, что конкретный ноутбук подключился через SAE.
На Linux-клиенте с wpa_supplicant можно выполнить команду.
sudo wpa_cli -i wlan0 statusВ результате найдите поле key_mgmt.
Например.
wpa_state=COMPLETED
key_mgmt=SAEЗначение SAE указывает на WPA3-Personal. Если отображается WPA2-PSK, клиент использует соответствующий механизм WPA2.
Команда работает при наличии доступного интерфейса управления wpa_supplicant. На системах с iwd или другой конфигурацией сетевого менеджера потребуется проверить свойства подключения другими средствами либо посмотреть сведения о клиенте в интерфейсе роутера.
Для полноценной оценки переходного режима желательно проверить каждый тип устройства. Телефон, ноутбук, телевизор и устройство умного дома могут выбирать разные способы подключения к одной сети.
Как помогает Transition Disable
У WPA3 есть механизм Transition Disable, который позволяет точке доступа сообщить совместимому клиенту, что при последующих подключениях больше не следует использовать определённые устаревшие варианты защиты.
Если клиент поддерживает механизм и успешно получил соответствующее указание, профиль сети может перейти к более строгой политике подключения.
Например, устройство, уже подключившееся через SAE, сможет отказаться от дальнейшего возврата к WPA2 для соответствующего профиля.
Поддержка Transition Disable зависит от роутера и клиента. Функция не отменяет необходимость исправлять уязвимости WPA2 и не защищает устройства, которые её не поддерживают.
Есть и практическая ловушка. Если несколько точек доступа используют одинаковый SSID, но часть работает только с WPA2, клиент после применения Transition Disable может перестать подключаться к старому сегменту. Перед включением механизма нужно проверить единообразие настроек всей сети.
Что такое PMF и от каких атак защищает
Protected Management Frames, сокращённо PMF, защищает определённые управляющие кадры Wi-Fi от подделки и повторного воспроизведения.
До появления соответствующих механизмов злоумышленник мог отправлять поддельные кадры деаутентификации и отключения, выдавая себя за точку доступа или клиентское устройство.
PMF добавляет криптографическую проверку защищаемых управляющих сообщений. После согласования и установки необходимых ключей поддельные кадры, не прошедшие проверку, должны отвергаться.
Но PMF не защищает вообще все кадры IEEE 802.11.
| Тип кадра | Обычная защита PMF |
|---|---|
| Deauthentication | Защищается после установления соответствующей защищённой связи |
| Disassociation | Защищается после установления соответствующей защищённой связи |
| Robust Action | Защищается |
| Beacon | Не защищается обычным PMF |
| Probe Request / Response | Не защищается обычным PMF |
| Начальные кадры аутентификации | Не получают такую же защиту до установки ключей |
Для защиты некоторых объявлений Beacon существуют отдельные механизмы, которые не следует путать с базовой функцией PMF.
PMF также не предотвращает радиопомехи и физическое подавление сигнала. Если нарушитель мешает радиосвязи, криптографическая проверка управляющих кадров не сможет восстановить работоспособность канала.
Как проверить PMF в Linux
Вернём адаптер в обычный режим, если ранее включали мониторинг.
sudo airmon-ng stop wlan1monУбедимся, что интерфейс снова доступен.
iw devВыполним сканирование собственной точки доступа.
sudo iw dev wlan1 scanВ разделе RSN найдите признаки MFP-capable и MFP-required.
- MFP-capable означает, что точка доступа объявляет поддержку PMF.
- MFP-required означает, что точка доступа требует PMF от клиентов, подключающихся к соответствующей сети.
- Отсутствие понятного отображения признаков требует дополнительной проверки, а не автоматического вывода о неисправности защиты.
Для WPA3-Personal в режиме SAE-only PMF должен быть обязательным. При WPA2-Personal возможны варианты с необязательным или обязательным PMF, если их поддерживают роутер и клиенты.
В переходном режиме WPA2/WPA3 точка доступа обычно объявляет PMF как поддерживаемый, но необязательный для WPA2-клиентов. Одного просмотра объявлений недостаточно, чтобы подтвердить защиту конкретного соединения.
После включения обязательного PMF проверьте работоспособность своих устройств. Старые телевизоры, принтеры и некоторые устройства умного дома могут перестать подключаться, если не поддерживают необходимую защиту.
Что меняется в диапазоне 6 ГГц
В диапазоне 6 ГГц, который используют совместимые устройства Wi-Fi 6E и Wi-Fi 7, действуют более строгие требования безопасности.
Для обычной защищённой персональной сети применяется WPA3-Personal, а WPA2-Personal в диапазоне 6 ГГц не допускается. Для открытых сетей предусмотрен Enhanced Open с механизмом OWE. Защита управляющих кадров также обязательна.
Наличие Wi-Fi 6 или Wi-Fi 7 в характеристиках устройства не означает автоматического использования WPA3 на всех частотах. В диапазонах 2,4 и 5 ГГц совместимые устройства по-прежнему могут работать с WPA2, если точка доступа разрешает такой режим.
Поэтому безопасность нужно проверять для конкретного диапазона и реального подключения, а не по обозначению поколения Wi-Fi на коробке.
4. Проверяем WPS, прошивку и типичные ошибки роутера
WPS создавали для быстрого подключения устройств без ручного ввода длинного Wi-Fi-пароля. Пользователь нажимает кнопку на роутере или вводит PIN-код.
Проблема заключается в том, что WPS предоставляет дополнительный механизм доступа к сети. При неудачной реализации такой механизм способен ослабить защиту даже при использовании длинного WPA2-пароля.
Почему WPS PIN считается опасным
Классический WPS PIN состоит из восьми десятичных цифр. Но последняя цифра служит контрольной суммой, а процедура проверки позволяет определить правильность отдельных частей кода.
Из-за такой конструкции пространство поиска сокращается примерно до 11 тысяч вариантов вместо десяти миллионов возможных семизначных комбинаций с контрольной цифрой.
Для старых роутеров без эффективного ограничения числа попыток такой недостаток делал PIN-аутентификацию относительно простой целью.
На современных устройствах возможны блокировки после неудачных попыток, временное отключение PIN, дополнительные проверки и другие меры защиты. Поэтому нельзя утверждать, что каждый роутер с WPS поддаётся подбору за несколько часов.
Кроме того, WPS PIN и обычный пароль WPA2 являются разными механизмами. Длинная парольная фраза не устраняет слабость доступной PIN-аутентификации.
Ищем активный WPS с помощью wash
Для проверки снова переведём тестовый адаптер в режим мониторинга.
sudo airmon-ng start wlan1Убедимся, что появился интерфейс wlan1mon, и запустим wash на канале лабораторной точки доступа.
sudo wash -i wlan1mon -c 6 --surveyПараметр --survey выбирает пассивное наблюдение, которое и так используется по умолчанию в современных вариантах wash. В отличие от активного режима --scan, такая проверка не требует отправлять запросы для получения дополнительных сведений.
Пример условного результата.
BSSID Ch dBm WPS Lck ESSID
02:11:22:33:44:55 6 -40 2.0 No AuditLabЗначения столбцов позволяют понять, какая точка доступа обнаружена, на каком канале работает, какую версию WPS объявляет и сообщает ли о блокировке механизма.
Особенно внимательно нужно трактовать поле Lck. Значение No не означает, что PIN можно успешно подобрать. Оно лишь отражает сообщённое состояние блокировки, а не подтверждает отсутствие ограничений числа попыток.
Wash также не определяет все уязвимости реализации WPS. Программа анализирует сведения, доступные в наблюдаемых кадрах, но не доказывает безопасность внутреннего обработчика сообщений роутера.
Отключаем WPS и проверяем, что изменилось
Откройте панель управления роутером. Обычно нужный пункт находится в разделе беспроводной сети и называется WPS, Wi-Fi Protected Setup или Quick Connect.
Проверьте, какие варианты доступны.
- WPS PIN.
- WPS PBC, подключение по кнопке.
- External Registrar, внешний регистратор WPS.
- Общий переключатель WPS.
Отключение PIN не обязательно выключает подключение по кнопке. А некоторые прошивки могут сохранять работу отдельных компонентов даже после изменения параметров в веб-интерфейсе.
Если WPS не используется, предпочтительно отключить всю функцию.
После сохранения изменений перезагрузите роутер и снова выполните пассивное сканирование wash. Если объявления WPS исчезли, результат согласуется с отключением функции.
Дополнительно проверьте, не запускается ли режим сопряжения при нажатии аппаратной кнопки, если такое испытание предусмотрено вашим оборудованием.
Но здесь есть принципиальное ограничение. Отсутствие WPS в радиокадрах не доказывает, что прошивка полностью перестала обрабатывать соответствующие сообщения.
Когда отключение WPS не устраняет уязвимость
Показательный пример появился в октябре 2026 года. В старом программном компоненте Broadcom, отвечавшем за обработку сообщений WPS, обнаружили ошибки сборки фрагментированных сообщений, получившие название WPSplinter.
На некоторых устройствах с уязвимой реализацией специально сформированные сообщения могут приводить к повреждению памяти и выполнению произвольного кода. Для такого воздействия не требуется знать пароль Wi-Fi или завершать обычное WPS-подключение.
Проблема затрагивает определённые реализации старого программного обеспечения, а не все маршрутизаторы с чипами Broadcom. Конкретный риск зависит от модели, версии прошивки и используемых компонентов.
Особенно неприятна ситуация, когда производитель уже прекратил выпуск обновлений. Пользователь может отключить WPS в настройках и заменить пароль, но уязвимый обработчик сообщений останется в прошивке.
Поэтому проверка WPS должна сопровождаться проверкой поддержки роутера производителем. Если для конкретной модели существует неисправленная уязвимость, а обновлений больше не будет, разумнее заменить оборудование.
Какие ошибки настройки встречаются чаще всего
Слабый пароль под видом сложного. Дата рождения, фамилия, название компании или модель роутера с несколькими цифрами остаются предсказуемыми комбинациями. Используйте уникальный случайный пароль, а не знакомые слова с косметическими изменениями.
Устаревший WPA/TKIP. Режим WPA/WPA2 mixed не следует путать с WPA2/WPA3. Первый сохраняет поддержку старых механизмов WPA, включая TKIP. Для современной сети выбирайте WPA2-CCMP или WPA3.
Переходный WPA2/WPA3 без реальной необходимости. Если все устройства поддерживают SAE, нет практического смысла оставлять PSK ради совместимости с оборудованием, которого в сети уже нет.
Необязательный PMF для всех клиентов. Роутер может объявлять поддержку PMF, но позволять WPA2-устройствам подключаться без неё. Проверяйте требования для соответствующего режима и фактическое поведение клиентов.
Включённый WPS PIN. Даже при длинном пароле отдельный механизм аутентификации может стать слабым местом. Если WPS не нужен, отключите функцию полностью.
Скрытый SSID вместо защиты. Скрытие имени сети не усиливает WPA2 или WPA3. Название может обнаруживаться при работе клиентов, а радиосигналы продолжают передаваться. Скрытый SSID не заменяет шифрование.
Списки разрешённых MAC-адресов как основная защита. MAC-адреса видны в беспроводном обмене, а на некоторых устройствах могут подменяться программно. Фильтрация MAC может служить вспомогательным механизмом учёта, но не заменяет надёжную аутентификацию.
Одинаковый пароль для основной и гостевой сети. Если разные сегменты используют общий секрет, компрометация одного из них может затронуть другие. Создавайте независимые пароли и проверяйте изоляцию гостевых клиентов.
Отсутствие обновлений прошивки. Хороший WPA3-пароль не исправляет ошибки в веб-интерфейсе, драйвере Wi-Fi или системных службах роутера. Регулярно проверяйте обновления и отключайте ненужное удалённое управление.
Стандартный пароль администратора. Пароль Wi-Fi и пароль управления роутером решают разные задачи. Даже защищённую беспроводную сеть можно скомпрометировать через плохо защищённую панель администратора.
Что делать со старыми устройствами, которые не поддерживают WPA3
Типичная проблема домашней сети связана с телевизорами, принтерами, камерами и устройствами умного дома. Некоторые из них поддерживают только WPA2, а при включении обязательного PMF вообще перестают подключаться.
Самый простой выход заключается в переходном режиме WPA2/WPA3, но с точки зрения безопасности есть вариант лучше.
Если роутер поддерживает несколько беспроводных сетей, создайте отдельный SSID для устаревших устройств.
| Сеть | Рекомендуемая конфигурация |
|---|---|
| Основная | WPA3-Personal, SAE, обязательный PMF, WPS отключён |
| Для старых устройств | WPA2-Personal, CCMP/AES, отдельный случайный пароль |
| Гостевая | Поддерживаемый безопасный режим, отдельный пароль, ограничение доступа к локальной сети |
Но отдельный SSID сам по себе ещё не создаёт изоляцию. Некоторые домашние роутеры помещают все дополнительные сети в общий локальный сегмент.
Проверьте, может ли устройство из гостевой сети открыть тестовую службу на компьютере основной сети. Если доступ сохраняется, настройте клиентскую изоляцию, отдельную подсеть или VLAN, если оборудование предоставляет такие возможности.
Не следует полностью доверять одному неудачному ответу ping. Компьютер может блокировать ICMP, оставаясь доступным по другим протоколам. Лучше проверять доступ к заранее подготовленной службе, для которой известны правила сетевого экрана.
Финальная проверка и критерии успешного аудита
После настройки роутера нужно повторить несколько измерений и сравнить результат с первоначальным состоянием сети.
| Что проверяем | Ожидаемый результат |
|---|---|
| Тип аутентификации | Основная сеть использует SAE, если все клиенты совместимы |
| Пароль | Уникальная случайная комбинация, не связанная с личными данными |
| WPS | Отключён, если не требуется |
| PMF | Обязателен для WPA3-соединений |
| Старые устройства | Работают в отдельном сегменте с собственным паролем |
| Гостевая сеть | Не имеет ненужного доступа к основным устройствам |
| Прошивка | Поддерживается производителем и обновлена |
| Администрирование | Уникальный пароль, ненужный удалённый доступ отключён |
Повторное сканирование через iw должно подтвердить изменение объявляемых параметров. В интерфейсе роутера проверьте реальные способы подключения клиентов, состояние WPS и PMF.
Если проводился словарный эксперимент, не оставляйте тестовый пароль на рабочем оборудовании. Сгенерируйте новый, обновите настройки подключённых устройств и удалите ненужные файлы захвата.
После завершения мониторинга верните адаптер в обычный режим.
sudo airmon-ng stop wlan1mon
iw devПри необходимости восстановите управление интерфейсом через NetworkManager. Если адаптер после переключения получил другое имя, используйте его фактическое название.
Пароли, результаты hashcat и захваченные рукопожатия лучше хранить только в пределах лаборатории. Не публикуйте файлы CAP или HC22000, созданные в реальной сети, и не отправляйте их в случайные онлайн-сервисы.
Частые вопросы об аудите Wi-Fi
Можно ли проверить Wi-Fi без специального USB-адаптера?
Часть аудита доступна с обычным встроенным Wi-Fi-адаптером. Можно посмотреть параметры WPA2/WPA3, проверить текущие настройки роутера и изучить свойства подключения. Для записи кадров других устройств потребуется режим мониторинга, который поддерживается не каждым адаптером и драйвером. Отдельный USB-адаптер часто удобнее, но не является обязательным, если встроенное оборудование поддерживает нужные функции.
Можно ли подобрать пароль WPA3 через hashcat?
Обычный пассивный захват корректного SAE-обмена не позволяет использовать классический метод офлайн-подбора WPA2. Режим hashcat 22000 предназначен для соответствующего материала WPA/WPA2. Отдельные ошибки реализаций SAE и атаки понижения защиты возможны, но их нельзя считать универсальным способом подбора пароля любой сети WPA3.
Почему Aircrack-ng показывает handshake, но не находит пароль?
Причин несколько. Пароль может отсутствовать в словаре, запись может оказаться неполной или повреждённой, а выбранная точка доступа может использовать другой механизм аутентификации. Убедитесь, что тест проводится на WPA2-PSK, используете правильный BSSID и располагаете пригодными данными EAPOL. Отсутствие результата не доказывает стойкость пароля.
Почему wash показывает WPS, хотя функция отключена?
Возможны особенности прошивки, разные переключатели для PIN и подключения по кнопке, задержка применения настроек или сохранённые объявления от прежней конфигурации. Проверьте BSSID, перезагрузите роутер и повторите наблюдение. Если WPS продолжает объявляться, изучите доступность обновлений и настройки конкретной модели. Даже отсутствие объявлений не доказывает, что уязвимый обработчик WPS полностью отключён.
Защищает ли PMF от перехвата WPA2-рукопожатия?
Нет. PMF защищает определённые управляющие кадры, но не запрещает пассивно записывать EAPOL-обмен. Для WPA2-Personal слабый пароль по-прежнему может стать объектом офлайн-подбора. Для защиты от классического пассивного словарного подбора применяется SAE в WPA3-Personal.
Нужно ли менять Wi-Fi-пароль после записи handshake?
Сам факт записи WPA2-рукопожатия не означает раскрытия сильного пароля. Но сохранённый материал позволяет проверять кандидаты впоследствии. Если во время лабораторного эксперимента использовался опубликованный или заведомо слабый пароль, его необходимо заменить до возвращения сети в эксплуатацию. При подозрении на раскрытие рабочего пароля также следует сменить его и переподключить доверенные устройства.
Помогает ли отключение трансляции SSID скрыть сеть от атакующего?
Скрытие SSID не обеспечивает криптографической защиты. Название сети может обнаруживаться в некоторых сообщениях клиентов, а адреса точек доступа и другие радиопараметры продолжают передаваться. Для защиты доступа нужны надёжные механизмы аутентификации и шифрования. Скрытый SSID иногда даже осложняет подключение собственных устройств без заметного выигрыша в безопасности.
Что безопаснее, WPA2 с очень длинным паролем или WPA3 со слабым?
Корректный WPA3-SAE защищает от классического пассивного словарного подбора лучше, чем WPA2-PSK. Но слабый пароль остаётся плохой практикой независимо от протокола, поскольку существуют другие способы его раскрытия, включая утечки, ошибки реализации и человеческий фактор. Оптимальный вариант сочетает WPA3-Personal с длинным случайным паролем, актуальной прошивкой и обязательным PMF.
Вывод. Безопасность Wi-Fi нельзя оценить только по длине пароля или наличию логотипа WPA3. Настоящий аудит должен показать, каким способом подключаются устройства, какие механизмы аутентификации остаются доступными, работает ли WPS, требуется ли PMF и насколько актуальна прошивка роутера.
Для начала достаточно трёх практических действий. Посмотрите параметры собственной сети через iw, проверьте WPS с помощью wash и убедитесь, что основная сеть использует WPA3-SAE, если устройства совместимы. Затем проведите эксперимент с Aircrack-ng и hashcat на отдельном WPA2-роутере, чтобы понять, почему предсказуемый пароль опасен даже при современном шифровании.
Для основной домашней сети я бы выбрал WPA3-Personal с обязательным PMF, уникальным случайным паролем и отключённым WPS. Старые устройства лучше вынести в отдельную WPA2-сеть с ограниченным доступом. Если роутер больше не получает исправлений безопасности, особенно при наличии известных уязвимостей его прошивки, замена оборудования может принести больше пользы, чем дальнейшие эксперименты с настройками.
Успешный аудит заканчивается не найденным паролем, а устранёнными слабостями. Именно такой результат имеет практический смысл.
