Разведка Wi-Fi в Linux. Как обнаружить беспроводные сети, устройства и скрытые точки доступа

Открываете список Wi-Fi на ноутбуке и видите несколько знакомых сетей. Домашний роутер, соседский интернет, офисную точку доступа и пару неизвестных названий. Кажется, вся беспроводная обстановка перед глазами. Но обычный список подключений скрывает большую часть интересной информации.

В радиоэфире постоянно передаются служебные кадры. Точки доступа объявляют о своём существовании, смартфоны ищут знакомые сети, ноутбуки подключаются к роутерам, а корпоративные системы Wi-Fi обмениваются информацией о соседних точках доступа.

Linux позволяет наблюдать за такими передачами и узнать гораздо больше, чем показывает стандартный сетевой интерфейс. Можно обнаружить скрытые точки доступа, определить рабочие каналы, проверить объявленные режимы защиты, увидеть активность клиентских устройств и найти признаки ошибочной настройки беспроводной инфраструктуры.

Начнём с простого сканирования через iw, затем проверим уровень сигнала в wavemon, перейдём к мониторингу через airodump-ng и построим подробную картину радиоэфира в Kismet.

Главная мысль проста. Для разведки Wi-Fi не нужно знать пароль, подключаться к точке доступа или пытаться взломать сеть. Значительную часть технической информации можно получить из обычных радиокадров. Однако анализатор не способен гарантированно обнаружить каждое устройство, а результаты наблюдений требуют правильной интерпретации.

Практические примеры предназначены для собственной сети, лабораторного оборудования и инфраструктуры, на исследование которой получено разрешение. Пассивный мониторинг может затрагивать радиокадры посторонних устройств. Не сохраняйте чужие данные без законных оснований и не вмешивайтесь в работу беспроводных соединений.

Что можно узнать о Wi-Fi без подключения к сети

Беспроводная сеть работает по стандартам семейства IEEE 802.11. Кроме пользовательских данных, устройства передают управляющие и контрольные кадры, необходимые для обнаружения точек доступа, установления соединений и управления радиоканалом.

Один из наиболее полезных типов кадров называется Beacon. Точка доступа периодически отправляет такие объявления, чтобы находящиеся поблизости устройства могли обнаружить беспроводную сеть и узнать её параметры.

В обычном Beacon передаются SSID, BSSID, сведения о возможностях сети и другие информационные элементы. Среди них могут присутствовать данные о радиоканале, поддерживаемых механизмах аутентификации и шифрования.

Поисковые запросы Probe Request и ответы Probe Response помогают обнаруживать сети. Кадры Authentication и Association участвуют в установлении соединения между клиентом и точкой доступа.

В WPA2 и WPA3 шифрование пользовательского трафика не означает, что сторонний наблюдатель перестаёт видеть все служебные сведения. Значительная часть информации, необходимой для обнаружения сети, остаётся доступной без знания ключей.

SSID, BSSID и другие параметры

Параметр	Что показывает	Практическая польза
SSID	Название беспроводной сети	Позволяет находить нужную сеть среди соседних
BSSID	Идентификатор отдельной базовой беспроводной сети, обычно MAC-адрес радиоинтерфейса точки доступа	Помогает различать точки доступа с одинаковыми названиями
Channel	Основной радиоканал	Помогает анализировать размещение сетей по каналам
Frequency	Рабочую частоту	Позволяет определить диапазон 2,4, 5 или 6 ГГц
Signal	Уровень принятого сигнала	Помогает оценивать покрытие и условия приёма
Security	Объявленные механизмы аутентификации и шифрования	Позволяет находить устаревшие и потенциально опасные настройки
Station	Наблюдаемое клиентское устройство	Помогает исследовать активность беспроводных клиентов
Beacons	Количество принятых объявлений точки доступа	Помогает оценить полноту наблюдения

SSID и BSSID часто путают. Например, в офисе установлены четыре точки доступа с одинаковым названием Office-WiFi. Пользователь видит одну логическую сеть, но анализатор может обнаружить четыре или больше BSSID.

Причина не обязательно связана с количеством физических устройств. Один современный роутер способен одновременно обслуживать основную и гостевую сети, разные диапазоны и несколько виртуальных беспроводных интерфейсов. В оборудовании Wi-Fi 6 и новее встречаются механизмы объявления нескольких BSSID через общие служебные кадры.

Поэтому количество BSSID не равно количеству физических роутеров. Для инвентаризации необходимо сопоставлять адреса с настройками точек доступа или контроллера.

Почему увидеть все устройства невозможно

Сканер ограничен возможностями радиоприёмника. Если адаптер работает только в диапазонах 2,4 и 5 ГГц, сеть на 6 ГГц останется недоступной для непосредственного приёма. Если анализатор слушает шестой канал, передаваемые на одиннадцатом канале кадры обычно не попадут в захват.

Клиентские устройства тоже не обязаны постоянно передавать кадры. Смартфон может долго оставаться почти незаметным в эфире, особенно если экран выключен и сетевой активности мало.

Современные операционные системы дополнительно используют случайные MAC-адреса. Такое поведение усложняет отслеживание устройств и не позволяет надёжно определять их количество простым подсчётом уникальных адресов.

Сила сигнала не решает проблему идентификации. Например, −45 dBm обычно означает более сильный принятый сигнал, чем −80 dBm. Но расстояние до передатчика нельзя вычислить по одному показанию без дополнительных сведений. На уровень приёма влияют стены, антенны, отражения, мощность передачи и расположение оборудования.

Разведка Wi-Fi через iw и wavemon

Для первых экспериментов не понадобится специальный режим мониторинга. Стандартного беспроводного адаптера достаточно, чтобы получить информацию о точках доступа, которые обнаруживает драйвер Linux.

Примеры рассчитаны на Debian, Ubuntu и Kali Linux. В других дистрибутивах изменится менеджер пакетов, но команды работы с беспроводными интерфейсами останутся похожими.

Устанавливаем программы и проверяем адаптер

Откройте терминал.

sudo apt update
 sudo apt install iw wavemon aircrack-ng

Kismet установим отдельно. Не во всех дистрибутивах нужная версия программы доступна в стандартном репозитории.

Посмотрим список беспроводных интерфейсов.

iw dev

Пример вывода.

phy#1
     Interface wlan1
         ifindex 4
         type managed
         channel 6 (2437 MHz)

В примере адаптер называется wlan1 и работает в обычном клиентском режиме managed.

Имя интерфейса может отличаться. На ноутбуках встречаются wlan0, wlp2s0 и другие варианты. Во всех следующих командах заменяйте wlan1 на фактическое название.

Проверим возможности устройства.

iw list

В большом выводе найдите раздел Supported interface modes.

Если присутствует строка monitor, драйвер объявляет поддержку режима мониторинга. Однако наличие режима в списке ещё не гарантирует, что адаптер сможет корректно принимать все типы кадров и переключаться между каналами.

Раздел Frequencies показывает поддерживаемые частоты. Некоторые каналы могут иметь ограничения, связанные с оборудованием или действующими в стране правилами использования радиоэфира.

Для дополнительной проверки выполните следующие команды.

iw reg get
 rfkill list

Первая показывает действующие регуляторные настройки беспроводной подсистемы, вторая помогает обнаружить программную или аппаратную блокировку радиоинтерфейса.

Не меняйте регуляторный регион ради доступа к запрещённым частотам. Для корректной диагностики адаптер должен работать в соответствии с местными требованиями.

Если в списке iw dev вообще нет беспроводного интерфейса, сначала проверьте драйвер, прошивку и распознавание USB- или PCIe-устройства. Программы мониторинга не исправят отсутствие поддержки оборудования на уровне Linux.

Сканируем ближайшие точки доступа с помощью iw

Выполним первую практическую проверку.

sudo iw dev wlan1 scan

Linux попросит драйвер выполнить сканирование и выведет обнаруженные сети.

В отличие от пассивного приёма кадров в режиме мониторинга, обычное сканирование может отправлять поисковые запросы Probe Request. Поэтому команду нельзя считать гарантированно пассивной.

В выводе встретятся блоки следующего вида.

BSS 02:11:22:33:44:55(on wlan1)
     freq: 2437
     signal: -48.00 dBm
     SSID: Office-Lab
     RSN:
         * Group cipher: CCMP
         * Pairwise ciphers: CCMP
         * Authentication suites: PSK

Разберём пример.

02:11:22:33:44:55 является BSSID. Частота 2437 МГц соответствует шестому каналу диапазона 2,4 ГГц. Уровень сигнала составляет −48 dBm, а SSID называется Office-Lab.

Раздел RSN описывает параметры защищённой сети. В приведённом фрагменте объявлены шифр CCMP и аутентификация PSK. Такой набор типичен для WPA2-Personal, но для уверенного определения режима нужно учитывать остальные объявления сети.

У сетей WPA3-Personal можно встретить SAE. В переходном режиме WPA2/WPA3 точка доступа способна одновременно объявлять PSK и SAE. Корпоративные сети могут использовать механизмы семейства 802.1X.

Сканирование показывает объявленные возможности, а не гарантирует, что конкретный клиент действительно подключился по самому защищённому из доступных режимов.

Для понимания WPA2, WPA3 и переходных режимов пригодится наш разбор защиты Wi-Fi. Сейчас сосредоточимся на обнаружении устройств.

Чтобы быстро выделить из длинного вывода основные сведения, можно воспользоваться фильтром.

sudo iw dev wlan1 scan | grep -E 
 '(^BSS |freq:|signal:|SSID:|Authentication suites:)'

Фильтр оставит BSSID, частоты, уровни сигнала, названия и часть сведений об аутентификации. Для полноценной проверки защиты смотрите исходный вывод, поскольку фильтрация скрывает другие значимые информационные элементы.

Если команда возвращает ошибку Device or resource busy, причиной может быть занятость радиоинтерфейса, другое сканирование или конфликт с работающей программой. Не нужно сразу останавливать все сетевые службы. Сначала проверьте, не использует ли адаптер Kismet, airodump-ng или другой анализатор.

wavemon. Наблюдаем за сигналом в реальном времени

Программа wavemon удобна, когда нужно исследовать не только список точек доступа, но и изменение параметров беспроводного соединения.

Запустим интерфейс.

wavemon -i wlan1

Программа использует текстовый интерфейс с несколькими экранами.

• F1 показывает сведения о беспроводном интерфейсе и текущем соединении.
• F2 открывает историю изменения уровня сигнала.
• F3 показывает результаты сканирования точек доступа.
• F7 открывает настройки.
• F8 показывает справку.
• F10 завершает программу.

Для сканирования через F3 могут потребоваться права CAP_NET_ADMIN. Если wavemon сообщает о недостаточных разрешениях, для разовой лабораторной проверки можно запустить программу с sudo.

sudo wavemon -i wlan1

У программы есть настройка отображения скрытых сетей. В окне F7 проверьте параметр Scan hidden ESSIDs, если интересует наличие точек доступа, не объявляющих своё название.

Для практического эксперимента сначала откройте F3 и запишите обнаруженные BSSID. Затем подключитесь к собственной сети, перейдите на F2 и походите с ноутбуком по помещению.

На графике будут видны изменения уровня сигнала. Сравните показатели рядом с роутером, за одной стеной и в дальней комнате.

Проверка помогает выявлять зоны слабого приёма, но не даёт точного измерения загруженности радиоканала. Сильный сигнал не гарантирует высокой скорости, если эфир занят множеством других передач.

wavemon также не предназначен для полноценного пассивного учёта клиентских устройств. Для такой задачи перейдём к следующему инструменту.

airodump-ng и Kismet. Ищем клиентские устройства и строим карту радиоэфира

До сих пор мы исследовали преимущественно точки доступа. Теперь попробуем наблюдать беспроводных клиентов.

Для приёма сырых кадров IEEE 802.11 понадобится режим monitor. Совместимый адаптер в таком режиме передаёт анализатору радиокадры, которые удалось принять на настроенном канале.

Мониторинг не даёт автоматического доступа к расшифрованному пользовательскому трафику защищённой сети. WPA2 и WPA3 продолжают защищать содержимое соответствующих кадров.

Для удобства лучше использовать два Wi-Fi-адаптера. Один оставьте в обычном режиме для интернета, другой выделите для мониторинга. Если переключить единственный адаптер, существующее Wi-Fi-подключение может прерваться.

Включаем режим мониторинга

Сначала посмотрим, какие процессы могут мешать управлять беспроводным интерфейсом.

sudo airmon-ng check

Среди конфликтующих процессов могут оказаться NetworkManager и wpa_supplicant.

Команда airmon-ng check kill умеет останавливать мешающие процессы, но применять её без разбора не следует. Можно потерять активное подключение или управление удалённым компьютером.

На выделенном учебном адаптере сначала попробуйте обычный запуск.

sudo airmon-ng start wlan1

Во многих конфигурациях появится интерфейс wlan1mon. Проверим фактическое имя и режим.

iw dev

У интерфейса мониторинга должен отображаться тип monitor. Название не обязательно будет совпадать с примером.

Если мониторинг не запускается либо интерфейс сам возвращается в режим managed, проверьте сообщения airmon-ng, совместимость драйвера и процессы, управляющие адаптером. Некоторые USB-адаптеры с внешними драйверами Realtek могут объявлять поддержку мониторинга, но работать нестабильно.

Запускаем airodump-ng

Теперь выполним сканирование диапазонов 2,4 и 5 ГГц.

sudo airodump-ng --band abg wlan1mon

Параметр --band abg включает обход каналов соответствующих диапазонов. По умолчанию airodump-ng может ограничиваться каналами 2,4 ГГц.

Через несколько секунд на экране появятся две таблицы. Сверху расположены точки доступа, снизу наблюдаемые клиентские станции.

Верхняя таблица обычно включает следующие поля.

Поле	Значение
BSSID	Идентификатор беспроводной сети
PWR	Показатель принятого сигнала
Beacons	Число принятых объявлений
#Data	Количество наблюдаемых кадров данных
CH	Объявленный или определённый канал
ENC	Определённая программой категория защиты
CIPHER	Объявленный алгоритм шифрования
AUTH	Способ аутентификации
ESSID	Название сети, если удалось определить

Поле PWR требует осторожности. В зависимости от адаптера и драйвера значение может быть близко к уровню сигнала в dBm, представлять условную шкалу либо вообще отсутствовать. Например, −1 в ряде ситуаций означает отсутствие достоверного измерения, а не невероятно сильный сигнал.

Нижняя таблица содержит сведения о клиентах.

Пример условного вывода.

BSSID             STATION            PWR  Packets
 02:11:22:33:44:55  06:AA:BB:CC:DD:01  -51      142
 02:11:22:33:44:55  06:AA:BB:CC:DD:02  -63       87

Анализатор обнаружил кадры двух клиентских станций, связанных с BSSID учебной точки доступа.

Но такая таблица не доказывает, что оба устройства подключены прямо сейчас. Программа может продолжать показывать ранее замеченные станции. Поэтому учитывайте время наблюдения и новую активность.

Кроме того, часть кадров могла не попасть в захват. При переключении между каналами анализатор временно перестаёт слушать предыдущую частоту.

Проверяем одну конкретную точку доступа

Предположим, собственная сеть Office-Lab использует шестой канал и BSSID 02:11:22:33:44:55.

Запустим наблюдение за выбранной сетью.

sudo airodump-ng --channel 6 
 --bssid 02:11:22:33:44:55 wlan1mon

Теперь адаптер не будет постоянно переключаться по всем каналам. Вероятность пропустить кадры исследуемой сети станет ниже.

Проведите эксперимент со своим телефоном.

1. Подключите телефон к учебной точке доступа.
2. Откройте на телефоне сайт или выполните другое обычное сетевое действие.
3. Посмотрите, появилась ли станция в нижней таблице.
4. Отключите Wi-Fi на телефоне.
5. Сравните активность до и после отключения.

Не пытайтесь определять телефон только по первым байтам MAC-адреса. Современные Android и iPhone способны использовать случайные адреса для беспроводных соединений.

Для проверки включите административный интерфейс собственного роутера и сравните отображаемый адрес клиента с результатом airodump-ng.

Если анализатор показывает (not associated), программа не смогла связать наблюдаемый адрес с конкретной точкой доступа. Такое состояние не доказывает, что устройство вообще ни к какой сети не подключено.

Что показывает поле Probes

В нижней таблице airodump-ng присутствует поле Probes. Иногда там появляются SSID, которые клиент запрашивает при поиске беспроводных сетей.

Представим телефон, который ранее подключался к сети Home-Lab. При определённых условиях устройство может отправить направленный Probe Request с названием сохранённой сети.

Анализатор способен показать такое имя без доступа к телефону.

Однако пустое поле Probes не означает, что устройство никогда не ищет известные сети. Современные системы изменяют поведение сканирования ради приватности, а многие запросы вообще не содержат конкретного SSID.

По наблюдаемым запросам нельзя достоверно восстановить полный список сохранённых сетей или историю перемещений владельца.

Для учебного эксперимента используйте собственный телефон и отдельный SSID. Сравните поведение при обычном поиске Wi-Fi и при подключении к заранее настроенной скрытой сети.

Завершаем мониторинг

Остановите airodump-ng сочетанием Ctrl+C и верните адаптер в обычный режим.

sudo airmon-ng stop wlan1mon

Если NetworkManager был остановлен и не восстановил работу самостоятельно, запустите службу.

sudo systemctl restart NetworkManager

После этого проверьте iw dev и наличие обычного Wi-Fi-подключения.

Kismet. Когда нужна подробная история наблюдений

Для разового просмотра точек доступа достаточно airodump-ng. Но если нужно несколько часов наблюдать собственную беспроводную инфраструктуру, сравнивать обнаруженные устройства и анализировать события, удобнее использовать Kismet.

Программа объединяет функции пассивного анализатора, учёта беспроводных устройств и системы обнаружения подозрительных событий в радиоэфире.

Kismet умеет работать с несколькими источниками захвата, вести историю наблюдений, отображать сведения об устройствах через браузер и сохранять результаты в базу данных.

Установим программу.

sudo apt install kismet

Если пакет отсутствует или доступная сборка не подходит, используйте пакеты Kismet для своей версии дистрибутива. Не стоит устанавливать пакет от другой версии Ubuntu или Debian только потому, что названия дистрибутивов похожи.

Kismet желательно запускать от обычного пользователя, предоставив необходимые права отдельному компоненту захвата. Для корректной работы способ установки может предусматривать специальную группу kismet и привилегированный вспомогательный процесс.

Если настройки прав выполнены, запустим мониторинг через выделенный адаптер.

kismet -n -c wlan1

Параметр -c выбирает источник захвата. Kismet обычно самостоятельно создаёт дополнительный интерфейс мониторинга, поэтому предварительный запуск airmon-ng не требуется.

Параметр -n отключает сохранение журналов на диск. Для первого знакомства такая настройка полезна, поскольку журнал может содержать MAC-адреса, историю активности и захваченные радиокадры.

Откройте браузер.

http://localhost:2501

При первом запуске веб-интерфейс попросит создать учётные данные администратора.

Если Kismet сообщает об отсутствии прав на создание интерфейса мониторинга, проверьте конфигурацию захвата. Запуск всей программы с правами root возможен в некоторых установках, но не должен быть первым способом решения проблемы.

Закрываем доступ к интерфейсу Kismet извне

У Kismet есть особенность, которую легко упустить. Веб-сервер по умолчанию может прослушивать не только локальный интерфейс, но и все сетевые адреса компьютера.

Поэтому для локальной лаборатории разумно ограничить доступ адресом 127.0.0.1.

В пакетных установках Kismet обычно использует файл /etc/kismet/kismet_site.conf для пользовательских изменений конфигурации.

Добавьте туда настройку.

httpd_bind_address=127.0.0.1

После перезапуска Kismet веб-интерфейс должен принимать соединения только через локальный адрес.

Такой режим подходит для работы за одним компьютером. Для удалённого доступа потребуется отдельная защищённая конфигурация.

Как наблюдать за одним каналом в Kismet

По умолчанию источник захвата может последовательно переключаться между разрешёнными каналами. Такой подход помогает обнаружить больше сетей, но снижает полноту наблюдений на отдельной частоте.

Для проверки собственной точки доступа можно зафиксировать шестой канал.

kismet -n -c wlan1:channel_hop=false,channel=6

Теперь анализатор сосредоточится на конкретном канале. Если другие принадлежащие вам точки доступа используют соседние частоты, они не будут наблюдаться постоянно.

Для более полного мониторинга нескольких каналов можно использовать несколько адаптеров. Kismet способен принимать данные сразу от нескольких источников и объединять наблюдения.

Не запускайте Kismet и airodump-ng одновременно на одном радиоинтерфейсе без специально настроенной схемы захвата. Две программы могут конфликтовать при попытках переключать каналы или управлять режимами интерфейса.

Неожиданный случай. Почему сеть на 6 ГГц можно обнаружить через 5 ГГц

Современные точки доступа Wi-Fi 6E и Wi-Fi 7 используют не только привычные диапазоны 2,4 и 5 ГГц, но и 6 ГГц при наличии соответствующей аппаратной поддержки.

В диапазоне 6 ГГц действуют дополнительные механизмы обнаружения точек доступа. Среди них Reduced Neighbor Report, сокращённо RNR.

Совместимая многодиапазонная точка доступа может включать сведения о своих сетях на 6 ГГц в служебные объявления, которые передаются на 2,4 или 5 ГГц.

В результате анализатор, принимающий радиокадры на 5 ГГц, иногда способен узнать о существовании соседней сети на 6 ГГц, даже если сам адаптер не умеет непосредственно работать в диапазоне 6 ГГц.

Но обнаружить упоминание сети и принять её радиокадры не одно и то же. Для полноценного мониторинга соответствующего канала по-прежнему понадобится адаптер с поддержкой нужной частоты.

У Kismet предусмотрена работа с каналами 6 ГГц. Например, обозначение 1W6e используется для соответствующего канала этого диапазона. Само число канала без указания диапазона может быть неоднозначным, поскольку номера каналов в разных частотных полосах повторяются.

В Aircrack-ng поддержка частот 6 ГГц появилась ещё в версии 1.7, но использование нужных частот зависит от оборудования, драйвера и конкретной команды. Привычный параметр --band abg не следует считать полноценным сканированием всех каналов 6 ГГц.

Практический вывод. Если анализатор не обнаружил сеть, сначала проверьте поддерживаемые частоты, регуляторные ограничения и способ сканирования, а уже потом делайте вывод о её отсутствии.

Скрытые SSID и другие ловушки беспроводной разведки

Одна из самых популярных функций домашних роутеров называется Hide SSID, Hidden Network или «Скрыть имя сети».

После включения параметра обычный список доступных подключений может перестать показывать название Wi-Fi. Пользователь видит неизвестную сеть или вообще не замечает её.

Иногда скрытие имени преподносят как дополнительную меру безопасности. Но с точки зрения устройства IEEE 802.11 никакой полноценной защиты от обнаружения здесь нет.

Как работает скрытая сеть

Обычная точка доступа помещает SSID в кадры Beacon. При включённом скрытии имени поле SSID может оставаться пустым либо содержать данные, не раскрывающие фактическое название.

При этом точка доступа продолжает передавать служебные кадры. BSSID, радиоканал и многие параметры сети остаются доступными наблюдателю.

В airodump-ng вместо названия иногда появляется запись следующего вида.

<length: 0>
 <length: 7>

Во втором случае анализатор может показывать длину скрытого имени. Речь идёт о размере переданного поля, а не обязательно о количестве видимых букв, поскольку SSID представляет собой последовательность байтов.

Длина 0 или 1 в подобных обозначениях не позволяет надёжно определить реальную длину имени.

Но самое интересное происходит при подключении клиента.

Для соединения со скрытой сетью устройство должно знать нужный SSID. В процессе поиска или ассоциации название может оказаться в передаваемых служебных кадрах.

В результате анализатор способен узнать название ранее скрытой сети, просто наблюдая за обычным подключением клиента.

Гарантии нет. Если соответствующие кадры не передавались во время захвата или адаптер их пропустил, имя останется неизвестным.

Практика. Проверяем скрытый SSID на своём роутере

Для эксперимента создайте отдельную учебную сеть с названием Hidden-Lab. Используйте собственный телефон и роутер, настройки которого можете менять.

1. Включите учебную сеть и запишите её BSSID и канал через iw.
2. В настройках роутера включите скрытие SSID.
3. Повторите сканирование через iw или airodump-ng.
4. Проверьте, остался ли доступен BSSID, даже если название перестало отображаться.
5. Запустите пассивный мониторинг нужного канала.
6. Вручную подключите собственный телефон к скрытой сети.
7. Посмотрите, появилось ли название Hidden-Lab в результатах наблюдения.

Если имя не удалось обнаружить, проверьте настройки адаптера, канал и время захвата. Отсутствие SSID в конкретном наблюдении не доказывает его принципиальную недоступность.

Не нужно принудительно отключать подключённые устройства ради повторного соединения. Для лабораторной проверки достаточно самостоятельно переподключить собственный телефон.

Скрытие SSID может ухудшить приватность

Скрытая сеть создаёт любопытный парадокс.

Чтобы найти сеть, которая не объявляет своего имени обычным способом, клиенту иногда приходится отправлять направленные поисковые запросы с известным SSID.

Такие запросы могут раскрывать название сохранённой сети другим радиоприёмникам поблизости.

Поведение зависит от операционной системы, настроек и конкретного устройства. Современные платформы используют разные механизмы защиты приватности, включая случайные MAC-адреса и ограничения на направленные запросы.

Но считать скрытый SSID средством защиты от наблюдения нельзя. NetworkManager в Linux также предусматривает специальные механизмы поиска скрытых сетей, которые при определённых условиях делают направленные запросы заметными в эфире.

Скрытие названия не усиливает шифрование, не защищает пароль и не препятствует обнаружению самого радиопередатчика.

Как искать подозрительные точки доступа

После первого сканирования возникает соблазн считать любую неизвестную точку доступа потенциально опасной. Такой подход приводит к ложным тревогам.

Особенно часто ошибаются при поиске поддельных точек доступа, которые имитируют известный SSID. Подобные сценарии рассматриваются в материале про атаки Evil Twin.

Например, в офисе работает сеть Company-WiFi. Анализатор обнаруживает два BSSID с одинаковым названием. Первый использует WPA2-Enterprise, второй объявляет открытую сеть.

Разница заслуживает проверки, но пока не доказывает атаку.

Возможные объяснения включают ошибочную конфигурацию, временную учебную точку доступа, отдельную гостевую инфраструктуру или действительно посторонний передатчик.

Для анализа собственной сети сопоставьте обнаруженные BSSID с инвентаризацией оборудования, настройками контроллера и журналами подключений.

Обращайте внимание на несколько характеристик одновременно.

Наблюдение	Возможное объяснение	Что проверить
Одинаковый SSID у нескольких BSSID	Mesh, корпоративная сеть, разные диапазоны или виртуальные интерфейсы	Список точек доступа в контроллере
Неожиданно изменился тип защиты	Ошибка настройки, новая точка доступа или подмена	Параметры безопасности в контроллере
Появился неизвестный BSSID	Новая точка доступа, изменённая конфигурация или постороннее оборудование	Инвентаризация и журнал изменений
Появилось много клиентских MAC-адресов	Случайные адреса, новые устройства или длительная история наблюдений	Активные ассоциации на собственном роутере
Выросло количество сетей на одном канале	Более плотное использование радиоэфира	Реальную загрузку канала и качество соединения
SSID скрыт, но BSSID обнаруживается	Обычное поведение скрытой сети	Настройки принадлежащей вам точки доступа

Есть ещё один риск неправильной интерпретации. Даже знакомый BSSID не доказывает подлинность оборудования, поскольку MAC-адрес можно подделать. Поэтому при расследовании подозрительной точки доступа нельзя полагаться только на совпадение названия или адреса.

Отдельная ловушка. MAC-адрес не всегда идентифицирует устройство

Раньше первые байты MAC-адреса нередко помогали определить производителя сетевого интерфейса. По ним можно было предположить, что рядом находится устройство Apple, Samsung или другого производителя.

Сегодня такая классификация гораздо менее надёжна.

Android использует случайные MAC-адреса при поиске сетей, а также может назначать отдельные адреса для подключений. Apple и другие производители применяют собственные механизмы приватных Wi-Fi-адресов.

Один телефон может появляться в наблюдениях под разными адресами в зависимости от режима работы и настроек.

И наоборот, одинаковый MAC-адрес сам по себе не доказывает, что все наблюдения относятся к одному физическому устройству.

Поэтому не пытайтесь определять количество реальных людей по списку STATION. А для инвентаризации собственных устройств используйте контроллер точки доступа, данные о подключениях и административные журналы.

Практикум. Составляем карту собственной беспроводной сети

Закрепим результат небольшим аудитом домашней или офисной лаборатории.

Возьмите роутер, телефон и ноутбук. Если есть отдельная гостевая сеть, включите её на время исследования.

Сначала выполните сканирование через iw и составьте таблицу обнаруженных принадлежащих вам сетей.

SSID	BSSID	Канал	Защита	Сигнал
Home-Lab	02:11:22:33:44:55	6	WPA2-PSK	−48 dBm
Home-Guest	02:11:22:33:44:56	6	WPA2-PSK	−50 dBm
Home-Lab-5G	02:11:22:33:44:57	36	WPA3-SAE	−57 dBm

Значения приведены для примера. В реальном отчёте запишите собственные результаты.

После этого запустите airodump-ng и проверьте, какие станции появляются во время активности телефона и ноутбука. Сравните их с административным списком подключённых клиентов.

Для длительного наблюдения используйте Kismet. Если ведёте журнал, ограничьте время его хранения и собирайте только данные, необходимые для поставленной задачи.

В заключение проверьте пять вопросов.

1. Все ли собственные точки доступа и диапазоны обнаружены?
2. Совпадают ли BSSID и объявленные режимы безопасности с настройками роутера?
3. Не работает ли случайно оставленная открытая или устаревшая сеть?
4. Удаются ли наблюдения за собственными клиентами без принудительного вмешательства в подключения?
5. Есть ли необъяснимые BSSID или расхождения, которые требуют проверки на контроллере?

Повторите сканирование из нескольких мест помещения. Радиокартина возле роутера и за двумя стенами может сильно различаться.

В результате получится не просто перечень соседних названий, а начальная карта собственной беспроводной инфраструктуры с понятными границами достоверности.

Частые вопросы

Можно ли найти все Wi-Fi-сети одним адаптером?

Гарантировать полный список невозможно. Адаптер ограничен поддерживаемыми частотами, каналами и чувствительностью. При последовательном переключении каналов часть кадров пропускается. Для более полного мониторинга нескольких диапазонов могут потребоваться дополнительные радиоинтерфейсы.

Можно ли определить владельца Wi-Fi по BSSID?

Нет. BSSID может помочь определить производителя сетевого оборудования, если адрес назначен глобально и не изменён. Но адрес не содержит имени владельца, а производитель радиомодуля не обязательно совпадает с брендом роутера. Для надёжной идентификации собственной точки доступа нужна инвентаризация оборудования.

Можно ли узнать пароль Wi-Fi через Kismet или airodump-ng?

Нет, обычное сканирование не раскрывает пароль. Анализаторы показывают обнаруженные сети, настройки безопасности и наблюдаемые кадры. Даже наличие кадров установления защищённого соединения не означает, что ключ доступа стал известен.

Почему airodump-ng показывает меньше сетей, чем смартфон?

Возможные причины включают различия в чувствительности радиомодулей, антеннах, поддерживаемых диапазонах и длительности сканирования. Также проверьте, не ограничен ли анализатор одним каналом и корректно ли драйвер поддерживает мониторинг.

Можно ли определить IP-адреса клиентов Wi-Fi по радиокадрам?

Пассивный мониторинг не гарантирует получения IP-адресов, особенно в защищённых сетях. Для инвентаризации собственной инфраструктуры лучше проверять список подключённых клиентов, DHCP-аренды и журналы точки доступа. По одному MAC-адресу IP определить нельзя.

Почему одна точка доступа показывает несколько BSSID?

Современная точка доступа может одновременно обслуживать несколько SSID и радиодиапазонов. Основная сеть, гостевая сеть и дополнительные беспроводные интерфейсы способны использовать отдельные BSSID. Несколько адресов не обязательно означают несколько физических устройств.

Можно ли определить местоположение роутера по силе сигнала?

Приблизительно оценить расположение собственного роутера можно по измерениям в нескольких точках, но один показатель RSSI не позволяет вычислить точные координаты. Стены, мебель, антенны, отражения и настройки передатчика сильно влияют на результат.

Зачем нужен отдельный Wi-Fi-адаптер для мониторинга?

Отдельный адаптер позволяет сохранить обычное сетевое подключение и независимо исследовать радиоканалы. Некоторые драйверы поддерживают одновременную работу нескольких виртуальных интерфейсов, но возможности переключения каналов и приёма кадров могут быть ограничены.

Вывод

Разведка Wi-Fi полезна не только специалистам по информационной безопасности. Администратор может обнаружить забытые точки доступа, владелец домашнего роутера проверить объявленные настройки защиты, а инженер беспроводной сети оценить размещение BSSID и активность клиентов.

Начинать лучше с iw и wavemon. Такие инструменты позволяют быстро разобраться с BSSID, каналами и уровнями сигнала без перестройки всего сетевого окружения.

Когда понадобится наблюдать клиентские станции, используйте airodump-ng с выделенным адаптером в режиме мониторинга. Для продолжительного наблюдения, анализа истории и нескольких источников захвата удобнее Kismet.

Не воспринимайте найденные MAC-адреса как точное число устройств, одинаковые SSID как доказательство подмены, а сильный сигнал как гарантию хорошего соединения. Радиоэфир даёт много полезных признаков, но не предоставляет готовых ответов на все вопросы.

Особенно бессмысленно полагаться на скрытие SSID как на меру безопасности. Название можно перестать объявлять, но сама беспроводная сеть никуда не исчезает, а обычное подключение клиента способно раскрыть скрытое имя.

Лучший результат разведки Wi-Fi не самый длинный список обнаруженных сетей, а точное понимание собственной инфраструктуры. Начните с одного роутера и двух клиентов, сопоставьте показания анализаторов с настройками оборудования и только после этого переходите к полноценному аудиту защиты WPA2, WPA3, WPS и управляющих кадров.