Ils sont tous les deux méchants. Vous ne devriez pas vous connecter à un "Wifi public gratuit" sans supposer que tout votre trafic non chiffré sera surveillé et modifié. La meilleure solution est de ne pas du tout vous connecter aux réseaux publics, mais si ce n'est pas une option pour vous, vous pouvez vous protéger un peu plus en spécifiant votre propre DNS (plutôt que de laisser le routeur choisir pour vous), en utilisant https partout où vous le pouvez , ne pas accéder à vos comptes sensibles sur les réseaux publics, envisager un VPN et maintenir votre logiciel et firmware à jour.

En réponse directe à votre question, certains routeurs ont leur adresse MAC imprimée sur une étiquette; vous pouvez demander au propriétaire du routeur de vérifier pour vous, puis de vous y connecter, de lui envoyer un ping et de consulter votre table arp ( arp -a ) pour voir si elle correspond. Vous pouvez également dire au propriétaire du routeur qu'il y a un imposteur à proximité et lui demander de changer le nom du réseau.

Traditionnellement, il n’existait pas de méthode simple orientée utilisateur pour détecter les attaques jumelles maléfiques. La plupart des tentatives de détection d'une attaque jumelle diabolique (ETA) sont destinées à l'administrateur d'un réseau où les administrateurs réseau autorisés analysent et comparent le trafic sans fil. Ce n'est pas vraiment ce qui vous intéresse.

Il y a un article ici (et des diapositives) qui passe en revue une approche expérimentale pour déterminer à partir de le point de vue de l'utilisateur un ETA en temps réel. Fondamentalement, ils utilisent une approche astucieuse pour déterminer statistiquement quel point d'accès est autorisé et quel est le jumeau maléfique.

Une approche simple (qui ne fonctionnera pas toujours) que je propose est de simplement vous renifler et voir ce que les adresses IP sont. L'idée étant qu'un point d'accès non reconnu aura une adresse IP non standard (c'est-à-dire ce à quoi vous vous attendriez) et lancera ainsi des signaux d'alarme ... Voici un lien qui décrit comment configurer votre propre ETA afin que vous peut jouer avec ma méthode (ou essayer la vôtre). AVERTISSEMENT: Si vous créez un ETA, faites-le dans un environnement de laboratoire car cela est illégal en public.

Notez également qu'un ETA peut être considérablement atténué en sécurisant simplement le réseau via un système d’authentification qui utilise des protocoles d’authentification extensibles tels que WPA2-entreprise - qui fonctionne en validant à la fois le client et le point d'accès.

Pour aborder d'autres points ...

Si vous avez un moyen de communiquer avec les administrateurs réseau autorisés (ou au moins de savoir quel point d'accès est le bon), alors vous avez déjà effectué une méthode psuedo-méta-athorisation en dehors du domaine numérique (IE je peux physiquement voir le bon routeur et connaître son adresse mac, ses paramètres IP, etc. et ainsi les comparer avec ce à quoi mon adaptateur me dit que je suis connecté). Le plus souvent, nous n'avons pas cette information et de plus, nous ne devrions pas y faire confiance même si nous l'avons fait. Ainsi, peut-être que la `` meilleure '' méthode pour utiliser un réseau non approuvé (ET ou non) est de toujours supposer qu'il est compromis et de mettre en œuvre un VPN ou simplement de s'abstenir complètement!

Dites au barrista / commis / etc que le wifi est tombé en panne, peuvent-ils redémarrer ou éteindre le routeur?

La plupart des gens le feront avec plaisir, en abaissant le point d'accès pendant un moment, et exposer le mauvais routeur jumeau dans le processus comme tout réseau actif qui survit à un cycle d'alimentation.

S'il y a plus d'un routeur jumeau diabolique, cela fonctionne toujours.

S'il y a plusieurs bons routeurs, cela identifiera au moins un. La même tactique peut être utilisée pour identifier les autres (Hé ça ne marche pas encore, est-ce la seule box wifi? Toute cette technologie est si déroutante, peut-être devez-vous le faire à tous?).

Sinon, une fois que vous avez identifié un bon point d'accès, connectez-y un périphérique, puis à l'aide d'un deuxième périphérique, connectez-vous aux autres points d'accès et essayez de localiser le premier périphérique sur le réseau. À moins que le bon AP n'ait été compromis, tout AP qui trouve le périphérique d'origine est un bon AP. S'il a été compromis, alors tous les points d'accès sont mauvais

Une autre alternative est que si vous pouvez voir la marque du routeur, essayez de vous connecter à son panneau d'administration. Si l'invite de connexion ne correspond pas à la marque / marque, vous avez trouvé le jumeau diabolique.

Les meilleures solutions ici vont généralement impliquer simplement de parler au fournisseur de l'AP légitime plutôt que d'exécuter un vaste comparaison avec des résultats douteux.

En attendant, si l'AP en question est ouvert, il n'est pas sûr, les attaques jumelles diaboliques sont inutiles. Un réseau public avec un mot de passe partagé est également non sécurisé. Si vous êtes préoccupé par la sécurité d'un réseau Wi-Fi public pour une raison quelconque, ne l'utilisez pas.

Il y a une chose qu'un jumeau maléfique ne peut pas copier: emplacement . Configurez trois ordinateurs, puis triangulez. Ou ayez une sorte de détecteur de temps. Si l'un d'eux répond suffisamment rapidement pour que vous sachiez, en fonction de la vitesse de la lumière, qu'il doit être dans le magasin, alors vous savez qu'il sera dans le magasin, ce qui est utile en cas de retard triangulation plus difficile.

Remarque: si vous découvrez que les routeurs ne passent pas par une autre source, vous pouvez utiliser un détecteur de distance mobile . Cela vous donnera beaucoup de points de données avec lesquels travailler, ce qui peut vous aider si votre détecteur n'est pas précis.

Remarque: si vous découvrez que les routeurs ont la même puissance de signal et les mêmes capacités de détection, et que le bon est plus proche, une méthode pratique consiste simplement à filtrer les paquets plus faibles .

Pour détecter une attaque Evil Twin avec une configuration standard, les seules informations dont vous disposez réellement et le SSID, l'adresse MAC du point d'accès sans fil et l'adresse IP DHCP, la passerelle et le serveur DNS qu'il distribue. En dehors de cela, vous pourriez trouver le jumeau maléfique en utilisant une fréquence différente de l'original, comme le véritable AP étant à 2,4 GHz et le mauvais AP étant à 5 GHz. De nombreux points d'accès sont configurés via l'interface Web, ce qui signifie que si vous avez un point d'accès Linksys, vous pourrez peut-être accéder à une page à l'adresse http://192.168.1.1/Managment.asp, mais pas sur le AP maléfique.

Un Evil Twin ne prendra probablement pas la peine de cloner ce niveau détaillé de configuration car il est beaucoup plus facile de simplement cloner le SSID et le MAC (s'ils se soucient même de cela).

Par conséquent, si vous connaissez la configuration de configuration DHCP attendue ou l'URL de configuration attendue, vous pouvez dire si l'AP auquel vous vous connectez est faux.

Un moyen très simple, si vous êtes l'administrateur réseau, est d'avoir un hôte connecté à votre réseau physique. Donc, un ping rapide vous révélera si vous avez été mis à l'écart sur un autre réseau.

Dans le cas où vous vous trouvez dans une zone publique, alors utiliser un VPN pourrait être une bonne idée.

Le bon AP doit avoir une empreinte digitale de confiance de son certificat auto-signé *. Je pense que c'est automatisé comme "épinglage de certificat" - Qu'est-ce que l'épinglage de certificat?

*: Auto-signé car toutes les autorités de certification ne sont pas dignes de confiance.

MISE À JOUR: Je ne connais pas votre AP, mais y mettre un simple serveur Web devrait être trivial ( flash firmware open source). Quoi qu'il en soit, voici la preuve qu'un AP peut avoir un certificat.