Ataques de intermediario con puntos de acceso wifi maliciosos y falsos

Se han usado al menos desde 2008 mediante un ataque llamado “Jasager” y puede hacerlos cualquiera con herramientas caseras o con dispositivos disponibles comercialmente, como el Wi-Fi Pineapple.

Aquí tienes algunos vídeos que explican más sobre el tema:

HOPE 2020, https://archive.org/details/hopeconf2020/20200725_1800_Advanced_Wi-Fi_Hacking_With_%245_Microcontrollers.mp4
YouTube, Hak5, Wi-Fi Pineapple Mark VII https://www.youtube.com/watch?v=7v3JR4Wlw4Q Invidious

Estos dispositivos caben en una bolsa pequeña y pueden apoderarse del entorno wifi de cualquier lugar dentro de su alcance. Por ejemplo, un bar, un restaurante, una cafetería o el vestíbulo de un hotel. Estos dispositivos pueden forzar a los clientes wifi a desconectarse de su wifi actual (mediante ataques de desautenticación y desasociación) mientras suplantan las redes wifi normales del mismo lugar. Seguirán ejecutando este ataque hasta que tu ordenador, o tú mismo, decida intentar conectarse al AP falso.

Estos dispositivos pueden entonces imitar un portal cautivo con exactamente el mismo diseño que el wifi al que intentas acceder (por ejemplo, un portal de registro de wifi de aeropuerto). O simplemente pueden darte acceso a internet sin restricciones, que ellos mismos obtienen del mismo lugar.

Una vez que estás conectado a través del AP falso, ese AP podrá ejecutar diversos ataques de intermediario para analizar tu tráfico. Podrían ser redirecciones maliciosas o un simple rastreo del tráfico. Con esto pueden identificar fácilmente a cualquier cliente que, por ejemplo, intente conectarse a un servidor VPN o a la red Tor.

Esto puede ser útil cuando sabes que alguien a quien quieres desanonimizar está en un lugar concurrido, pero no sabes quién es. Esto le permitiría a un atacante así, posiblemente, hacer fingerprinting de cualquier sitio web que visites, a pesar del uso de HTTPS, DoT, DoH, ODoH, VPN o Tor, mediante el análisis del tráfico, como se señaló más arriba en la sección de DNS.

También se pueden usar para elaborar con cuidado y servirte páginas web de phishing avanzadas que recolectarían tus credenciales o intentarían hacer que instales un certificado malicioso que les permita ver tu tráfico cifrado.

¿Cómo mitigar todo esto? Si te conectas a un punto de acceso wifi público, usa Tor, o usa una VPN y luego Tor (Tor over VPN) o incluso (VPN over Tor) para ocultar tu tráfico del AP falso mientras sigues usándolo.