你连的Wi-Fi或许是假的钓鱼AP

如今wi-fi 6时代悄然到来，为高密海量无线接入提供了“以一当十”的支撑平台，不过对于wi-fi的安全却依旧不能掉以轻心。

实际上，wi-fi接入点（ap）、路由器和热点常常是高度暴露的攻击面。用户一不小心就有可能踏进攻击者设置的wi-fi陷阱，为企业造成信息泄露或经济损失。

小心高仿“双胞胎”

有调研机构预测，到2022年将有120亿台设备连接到互联网，其中通过wi-fi的连接将占到较大一部分。比如现在美国有74%的android移动设备流量是通过wi-fi传输的，而这个比例在我国则更高。

庞大用户群直接导致了恶意wi-fi攻击的手法不断翻新。例如，让人难分真假的“恶意双胞胎ap”来钓鱼。使用此种手法的攻击ap，往往在ssid（网络名称）上做手脚，其会采用模仿合法ap的ssid，设置一个高仿ssid，就像下图所示一样。

一旦用户没注意连到假冒的恶意ap上，攻击者就可以发动中间人（mitm）攻击进而拦截流量，窃取证书，将恶意代码注入受害者浏览器，甚至可把受害者重定向到恶意网站等操作。

对，ap也能耍“流氓”

除了上面常见的“恶意双胞胎ap”钓鱼手法，还有一种被称为流氓ap（rogue ap）的存在。流氓ap是指那些未经网管明确授权，却私自通过企业内网的以太网口连接进企业网络的ap、无线路由等非法私接设备。

出现此种情况常常是企业内部员工的违规操作，私自将rogue ap连接到授权网络上，而有心的攻击者则正可通过rogue ap绕过企业网络的边界防护，在内网中畅行无阻。

为了防止此种情况出现，企业wi-fi系统必须具备相应的防私接检测能力。一旦侦测到私接设备，要能够阻止rogue ap获得对lan的访问，同时阻断wi-fi客户端与其关联，直至将之移除掉才行。

“隔壁老王”的ap也得防

在了解了恶意双胞胎ap、流氓ap攻击后，实际还有一种邻居ap（neighbor ap）会给企业网络带来威胁。顾名思义，邻居ap就是指那些在公司旁的餐馆、咖啡店内部署的外部ap。

当员工使用企业授权过的移动客户端连接到这些咖啡店网络的邻居ap时，自然能够绕过公司防火墙设置的边界安全和安全限制，将威胁轻松带进企业内网。

而这实际上是根本不需要什么黑客技巧的。而为了防止此种问题出现，企业必须能够自动对公司管理的授权客户端设备进行分类认证，阻止其连到其他外部ssid上，除非那些it网管定义过的。

ap配置错误太恐怖

如果说恶意攻击防不胜防的话，那么网管不小心将ap配置错误这种问题则应该尽量地避免了。比如忘给公司wi-fi设置无线加密，任何人都能通过开放ssid进入，显然可能会将敏感信息暴露给攻击者。

这时就需要ap设备具备基本的设备策略提醒，对此类未加密的人为事故进行有效提示，来防范于未然。

结语

当现在的企业都专注于应对零日恶意漏洞和勒索软件等应用程序攻击之时，也需要注意到小小的无线ap设备同样能够引发大的攻击威胁。

因此对于企事业单位来说，了解wi-fi安全性，加深并教育员工、合作伙伴和客户认知度就变得相当重要，同时希望每家企业都能够拥有可抵御上述威胁的“可信wi-fi”。