Evil twin em redes públicas

Abstract

As redes públicas sem fio abertas estão presentes em cada vez mais espaços, de aeroportos a comércios, frequentemente priorizando a comodidade em vez da segurança. Um ataque que amplia muito a superfície de risco nesse cenário é o Evil Twin, no qual um ponto de acesso malicioso assume o tráfego de forma transparente para o usuário. Neste trabalho, exploramos os mecanismos de associação de rede, focando no Evil Twin sozinho e combinado com o ataque de desautenticação. Por meio de pesquisa teórica e testes práticos em laboratório, avaliamos o comportamento de dispositivos clientes conectados a roteadores legados (Wi-Fi 4) e modernos (Wi-Fi 6). Nossos experimentos mostraram que a troca automática de rede baseada apenas na intensidade de sinal exige uma grande queda do sinal verdadeiro. No entanto, o envio de pacotes de desautenticação forçou a desconexão e a troca imediata para o Evil Twin em redes vulneráveis. Verificamos também que a proteção de pacotes de gerenciamento (PMF), presente em padrões mais novos, impede esse ataque ativo. Isso nos levou à conclusão de que uma defesa efetiva depende da adoção de equipamentos atualizados (IEEE 802.11ax) e de mudanças nos sistemas operacionais clientes, que não devem usar apenas o nome da rede (SSID) para se conectar automaticamente. Palavras-chave: Redes públicas, Evil Twin, desautenticação.

Open public wireless networks exist in an increasing number of spaces, from airports to stores, often prioritizing convenience over security. An attack that significantly expands the risk surface in this scenario is the Evil Twin, where a malicious access point transparently intercepts user traffic. In this study, we explored network association mechanisms, focusing on the standalone Evil Twin and its combination with a deauthentication attack. Through theoretical research and practical laboratory tests, we evaluated the behavior of client devices connected to legacy (Wi-Fi 4) and modern (Wi-Fi 6) routers. Our experiments showed that automatic network switching based on signal strength requires a significant drop in the legitimate signal. However, sending deauthentication packets forced immediate disconnection and switching to the Evil Twin on vulnerable networks. We also verified that management frame protection (PMF), present in newer standards, prevents this active attack. This led us to conclude that effective defense relies on adopting updated equipment (IEEE 802.11ax) and changes to client operating systems, which should not rely solely on the network name (SSID) for automatic connection. Keywords: Public networks, Evil Twin, deauthentication.