Sahte erişim noktasını yakalamak

Bir erişim noktasının adı, yani SSID, herkese açık bir bilgidir. Kopyalaması bedavadır. Saldırgan aynı adı taşıyan kendi cihazını kurar ve bunu ikiz ağ olarak adlandırırız. İstemci genelde adı tanır, arkasındaki donanımı sorgulamaz. Sahte ağ gerçek ağdan daha güçlü sinyal verirse bazı istemciler otomatik olarak ona bağlanır. Bağlanan istemcinin trafiği artık saldırganın cihazından geçer. Burada savunmanın en verimli ayracı SSID değil, BSSID'dir. BSSID, erişim noktasının donanımına gömülü benzersiz bir MAC adresidir. Gerçek ağın SSID'si her yerde aynı kalsa da BSSID her fiziksel cihazda farklıdır. Aynı SSID'nin arkasında beklenmedik bir BSSID görmek, ikiz ağın en net izidir. Sinyal gücü tek başına yanıltıcı olabilir, çünkü bir bina içinde yer değiştiren gerçek bir erişim noktası da benzer dalgalanma gösterebilir; bu yüzden BSSID kontrolü hiçbir zaman atlanmaz.

Kablosuz izleme sistemi (WIDS) bu izi otomatik yakalamak için kurulur. Sistem havadaki tüm erişim noktalarını sürekli dinler ve bilinen envanterle karşılaştırır. Envanterde olmayan bir BSSID, aynı SSID'yle yayın yapıyorsa alarm üretir. Sinyal gücü de ikinci bir işarettir; sahte ağ genelde saldırganın bulunduğu noktaya göre anormal derecede güçlü görünür, çünkü cihaz binaya değil koridora ya da otoparka yakın durur. WIDS genelde ayrı sensör cihazlarıyla ya da mevcut erişim noktalarının dinleme moduna alınmasıyla kurulur; her iki durumda da hava sürekli taranır.

Üçüncü işaret üretici kimliğidir. MAC adresinin ilk üç baytı üreticiyi gösterir ve buna OUI denir. Kurumun tüm resmi erişim noktaları aynı üreticiden alınmışsa, farklı bir OUI taşıyan BSSID hemen göze batar. WIDS kayıtlarını tararken bu üç alanı birlikte okursun: BSSID envanterde var mı, sinyal gücü beklenen aralıkta mı, OUI kurumun listesindeki üreticiyle uyuyor mu. Tek başına hiçbiri kesin kanıt değildir, çünkü üretici kimliği de yazılımla değiştirilebilir; üç işaret üst üste düşünce alarm güvenilir hale gelir.