Megnyitja a laptopját egy hotelszobában vagy konferenciateremben, rákattint a Wi-Fi ikonra, és felugrik egy böngészőablak, amely arra kéri, hogy jelentkezzen be, vagy fogadja el a feltételeket, mielőtt csatlakozhatna az internethez. Ez legtöbbször teljesen normális — ezt captive portalnak, azaz fogságportálnak nevezik, és a hotelek, repülőterek, valamint konferenciaközpontok arra használják, hogy korlátozzák a hálózatukhoz való hozzáférést. Ugyanez a bejelentkezési oldal azonban szinte tökéletes álcát is jelent egy támadó számára, mert számít rá, hogy ilyet fog látni, siet, és nincs lehetősége függetlenül ellenőrizni, ki készítette valójában az oldalt, amelyet néz.

A Microsoft kutatói nemrég nyilvánosságra hoztak egy „CaptiveCrunch” néven nyomon követett kampányt, amelyben a támadók hotel- és konferencia-Wi-Fi-hálózatok belsejében helyezkedtek el, és manipulálták az utazók által abban a konkrét pillanatban látott forgalmat — a captive-portal munkameneteket hamis bejelentkezési oldalakra irányították át, köztük meggyőző, hamis Microsoft-bejelentkezési képernyőkre, amelyek jelszavak, eszközkódok és OAuth-tokenek megszerzésére szolgáltak, vagy hamis „frissítés szükséges” párbeszédablakokat jelenítettek meg, amelyek billentyűleütések olvasására, valamint webkamera vagy mikrofon aktiválására képes távelérési kártevőt telepítettek. Nem arról van szó, hogy minden hotel-Wi-Fi-bejelentkezés csapda lenne — messze a többségük nem az. A lényeg az, hogy ez a konkrét pillanat, amikor elvárják Öntől, hogy begépeljen valamit egy ismeretlen oldalra, még mielőtt egyáltalán online lenne, könnyű célpontot jelent, ezért érdemes kialakítani egy rutint erre az esetre.

Miért különbözik ez a pillanat a szokásos adathalászattól

A hagyományos adathalászati oktatás azt tanácsolja, hogy ellenőrizze a feladót, vigye az egérmutatót a hivatkozások fölé, és keresse a lakat ikont. A captive portalok ezeknek a szokásoknak a többségét felborítják. Ön nem navigált az oldalra — az eszköze automatikusan átirányította oda. Nincs „Feladó:” cím, amelyet ellenőrizhetne. Az oldal gyakran úgy töltődik be, hogy nem látható rajta a szokásos címsor (egyes operációs rendszerek lecsupaszított böngészőablakban nyitják meg), ráadásul olyan hálózaton lehet, amelyet nem irányít és nem tud ellenőrizni, így még a helyesnek tűnő HTTPS-lakat is csak azt jelzi, hogy az oldalhoz vezető kapcsolat titkosított — nem azt, hogy maga az oldal legitim, vagy hogy a hálózat nem manipulálja azt, amit lát.

Mit kérhet — és mit nem kérhet — egy valódi captive portal

Használja ezt alapvető szűrőként minden alkalommal, amikor megjelenik egy ilyen oldal:

  • Normális: a vezetékneve és a szobaszáma, egy konferencia-kitűző vagy regisztrációs kód, a szolgáltatási feltételek elfogadása, egy e-mail-cím a nyugta elküldéséhez, vagy egy SMS-ben küldött egyszer használatos kód annak ellenőrzésére, hogy fizető vendég.
  • Nem normális: arra kéri, hogy jelentkezzen be Microsoft-, Google-, Apple- vagy vállalati identitásfiókjával. Egy valódi helyszíni Wi-Fi-rendszernek nincs jogos oka arra, hogy a Microsoft-jelszavára legyen szüksége ahhoz, hogy internet-hozzáférést biztosítson.
  • Nem normális: arra szólítja fel, hogy írjon be egy máshol megjelenített „eszközkódot”, vagy az oldalon valami olyasmi áll, hogy „nyissa meg a microsoft.com/devicelogin oldalt, és írja be ezt a kódot”. Ez egy valódi Microsoft-funkció (amelyet például okostévékhez hasonló eszközökbe való bejelentkezéshez használnak), amelyet a támadók kifejezetten azért használnak ki, mert lehetővé teszi számukra a fiókja eltérítését anélkül, hogy valaha látnák a jelszavát. Ha egy Wi-Fi-bejelentkezési oldal eszközkódos folyamaton vezeti végig, álljon meg — zárja be a böngészőt, és ne folytassa.
  • Nem normális: bármilyen felugró ablak, amely azt közli, hogy a böngészője vagy a Windows sürgős frissítésre szorul, különösen ha arra kéri, hogy másoljon ki egy parancsot, majd illessze be egy „Futtatás” mezőbe vagy terminálba a kapcsolat „javításához”. Ez a minta (amelyet néha ClickFixnek neveznek) gyakori módja annak, hogy rávegyék az embereket a kártevő saját kezű telepítésére, és egyetlen legitim Wi-Fi-portalnak sincs szüksége arra, hogy parancsot futtasson.

Lépésről lépésre: biztonságos csatlakozás

  1. Utazás előtt kapcsolja ki a nyílt hálózatok automatikus csatlakozását. Telefonján: Beállítások → Wi-Fi → kapcsolja ki az „Automatikus csatlakozás” vagy „Automatikus csatlakozás engedélyezése” lehetőséget a nyílt/biztosítatlan hálózatoknál (a pontos megnevezés eszközönként eltér). Így eszköze később nem csatlakozik észrevétlenül automatikusan egy hasonló nevű csaló hálózathoz.
  2. Felejtse el a régi nyilvános hálózatokat, amelyeket már nem használ. Ha laptopján vagy telefonján el van mentve az „Airport_Free_WiFi” vagy egy régi hotelhálózat, törölje. A támadók azonos nevű hálózatot sugározhatnak (ez az úgynevezett „gonosz iker”), és eszköze automatikusan csatlakozhat hozzá, mert felismeri a nevet.
  3. Amikor csatlakozik a valódi hálózathoz, jelölje nyilvánosnak/nem megbízhatónak. A Windows és a macOS egyaránt megkérdezi, hogy az új hálózat „nyilvános” vagy „privát”/„megbízható” hálózat-e — válassza a nyilvános lehetőséget. Ez letiltja a fájlmegosztást és a hálózatfelderítést, korlátozva, hogy az adott hálózat más eszközei mit láthatnak vagy érhetnek el az Ön eszközén.
  4. Olvassa el a portal oldalát, mielőtt bármit begépelne. Vesse össze a fenti „normális kontra nem normális” listával. Ha identitásszolgáltatói bejelentkezést, eszközkódot kér, vagy parancs futtatására akarja rávenni, zárja be a lapot, és inkább kérdezze meg név szerint a recepciót vagy a regisztrációs pultot a helyes hálózatnévről és jelszóról — ne bízzon abban, hogy egy oldal közli Önnel a hálózat nevét.
  5. Csak a portal által szükséges minimális adatokat adja meg — ez általában a szobaszám, a vezetéknév vagy egy személyesen átadott kód. Soha ne írja be az e-mail-jelszavát vagy egy máshol is használt fiók adatait.
  6. Miután átjutott a portalon, minden más előtt kapcsoljon be egy VPN-t. Ez a leghatékonyabb egyetlen lépés, mert így még akkor is, ha maga a hálózat rosszindulatú, ettől a ponttól kezdve minden adat titkosított alagútban halad, amelyet a hálózat üzemeltetője (vagy az azon tartózkodó támadó) nem tud olvasni vagy átirányítani. Ezt tegye meg e-mailek ellenőrzése, bármibe való bejelentkezés vagy banki alkalmazások megnyitása előtt.
  7. Ha nincs VPN-je, a bizalmas bejelentkezéseket halassza későbbre, vagy használja inkább telefonja mobilinternetét. Ha telefonját személyes hotspotként használja, és laptopját akár rövid időre is ahhoz csatlakoztatja, a helyszín hálózatát teljesen elkerüli minden érzékeny műveletnél — bankolásnál, munkahelyi e-maileknél, valamint a jelszókezelő feloldásánál.
  8. Távozáskor felejtse el a hálózatot (telefonján és laptopján egyaránt), ahelyett hogy határozatlan ideig a mentett hálózatok listáján hagyná.

Ha úgy gondolja, hogy már bedőlt egynek

Ha Microsoft-, Google- vagy más fiókjának jelszavát beírta egy Wi-Fi-bejelentkezési oldalra, vagy saját kezdeményezése nélkül végigment egy eszközkódos folyamaton, kezelje a fiókot feltörtként: azonnal változtassa meg a jelszót egy megbízható hálózatról vagy eszközről, ellenőrizze a fiók legutóbbi bejelentkezési tevékenységét és a csatlakoztatott eszközöket/munkameneteket, majd jelentkezzen ki minden olyanból, amelyet nem ismer fel, továbbá tekintse át a csatlakoztatott alkalmazásokat vagy a „fiókjához hozzáféréssel rendelkező alkalmazásokat”, és távolítson el mindent, amit nem Ön engedélyezett — az eszközkódos adathalászat kifejezetten úgy ad tokent a támadónak, hogy közben nincs szüksége a jelszavára, ezért önmagában a jelszó megváltoztatása nem feltétlenül szünteti meg a hozzáférését. Ha egy „frissítés most” üzenetre kattintott, vagy felugró ablakból parancsot futtatott, válassza le az eszközt az internetről, és kezelje potenciálisan fertőzöttként mindaddig, amíg át nem vizsgálták vagy újra nem építették, mivel az ilyen kampányokban leírt rakományok között billentyűleütések naplózására, valamint webkamera vagy mikrofon aktiválására képes eszközök is szerepeltek.

A lényeg

A captive portal önmagában nem gyanús — az utazás normális, unalmas része. A kockázatot az változtatja meg, hogy mire kéri Önt. Az oldal, amely a szobaszámát kéri, a dolgát végzi. Az oldal, amely a Microsoft-jelszavát, egy eszközkódot vagy terminálba beillesztendő parancsot kér, már nem Wi-Fi-bejelentkezési képernyő — hanem annak álcázott adathalász oldal. Ha ismeri a különbséget, és érzékeny műveletekhez VPN-hez vagy telefonja hotspotjához nyúl, megszünteti azt a konkrét lehetőséget, amelyre az ilyen támadás épít.