恶意用户可以使用的一种更为复杂的攻击称为中间人 (MITM) 攻击。 创建 MITM 攻击有许多方法。

一种常见的无线 MITM 攻击称为“双面恶魔 AP”攻击,在这种攻击中攻击者引入欺诈 AP 并使用相同的 SSID 将其配置为合法 AP。 提供免费 Wi-Fi 的场所(例如机场、咖啡馆和餐厅)因其采用开放式身份验证而成为此类攻击的滋生地。

连接无线客户端将会看到两个提供无线接入的 AP。 那些靠近欺诈 AP 的客户端会发现此 AP 信号更强,因此最有可能与双面恶魔 AP 关联。 现在用户流量将发送到欺诈 AP,而欺诈 AP 反过来捕获数据并将其转发到合法 AP。 从合法 AP 返回的流量将会发送到欺诈 AP,由欺诈 AP 捕获,然后转发给没有设防的 STA。 攻击者可以窃取用户的密码、个人信息,获得网络访问并损坏用户系统。

例如,图 1 中,一个恶意用户在“Bob’s Latte”咖啡店里,想要捕获来自未设防无线客户端的流量。 攻击者启动软件,使其笔记本电脑成为一个双面恶魔 AP,与合法无线路由器匹配相同的 SSID 和通道。

图 2 中,用户将看到有两个无线连接可用,但是选择了双面恶魔 AP 并进行关联。 攻击者捕获用户数据并将其转发到合法 AP,进而反过来将返回的流量重新发送回双面恶魔 AP。 双面恶魔 AP 捕获返回的流量,并将信息转发给未设防用户。

对 MITM 之类攻击的抵御,取决于 WLAN 基础架构的复杂程度和监控网络活动时的警觉性。 该过程以标识 WLAN 上的合法设备开始。 要做到这一点,必须对用户进行身份验证。 在所有合法设备已知后,就可以监控网络中是否有异常设备或流量。

采用先进 WLAN 设备的企业 WLAN 会为管理员提供一系列工具,这些工具可以协同工作,共同组成一套无线入侵防御系统 (IPS)。 这些工具包括用于发现欺诈 AP 和对等网络的扫描程序和用于监控 RF 频段活动和 AP 负载的无线电资源管理 (RPM) 工具。 如果 AP 的负载超出正常值,将会提示管理员可能存在未经授权的流量。