Du åpner laptopen på et hotellrom eller i en konferansesal, klikker på Wi-Fi-ikonet, og et nettleservindu dukker opp og ber deg logge inn eller godta vilkår før du kommer på nett. Som regel er dette helt normalt — det kalles en captive portal, og hoteller, flyplasser og konferansesentre bruker dem for å styre tilgangen til nettverket sitt. Men den samme innloggingssiden er også en nesten perfekt forkledning for en angriper, fordi du forventer å se en slik side, du har det travelt, og du har ingen måte å uavhengig verifisere hvem som faktisk har laget siden du ser på.

Forskere hos Microsoft avslørte nylig en kampanje, sporet som «CaptiveCrunch», der angripere posisjonerte seg inne i Wi-Fi-nettverk på hoteller og konferanser og manipulerte trafikken reisende så i akkurat det øyeblikket — de omdirigerte captive portal-økter til falske innloggingssider (inkludert overbevisende falske Microsoft-innloggingsskjermer) designet for å høste passord, enhetskoder og OAuth-tokener, eller for å vise falske «oppdatering påkrevd»-dialoger som installerer skadevare for fjerntilgang som kan lese tastetrykk og aktivere webkamera eller mikrofon. Poenget er ikke at all hotell-Wi-Fi-innlogging er en felle — de aller fleste er ikke det. Poenget er at akkurat dette øyeblikket, når du forventes å skrive noe inn på en ukjent side før du i det hele tatt er på nett, er et sårbart mål, og det er verdt å ha en rutine for det.

Hvorfor dette øyeblikket er annerledes enn vanlig phishing

Vanlig phishing-opplæring ber deg sjekke avsenderen, holde musepekeren over lenker og se etter en hengelås. Captive portals bryter ned de fleste av disse vanene. Du navigerte ikke til siden selv — enheten din ble omdirigert dit automatisk. Det finnes ingen «Fra:»-adresse å sjekke. Siden lastes ofte uten en vanlig adresselinje synlig (enkelte operativsystemer åpner den i et forenklet nettleservindu), og du kan være på et nettverk du verken kontrollerer eller kan verifisere, så selv en korrekt utseende HTTPS-hengelås forteller deg bare at forbindelsen til den siden er kryptert — ikke at siden selv er legitim eller at nettverket ikke manipulerer det du ser.

Hva en legitim captive portal bør — og ikke bør — be om

Bruk dette som ditt grunnleggende filter hver gang en av disse sidene dukker opp:

  • Normalt: etternavnet og romnummeret ditt, et konferansebadge eller en registreringskode, å godta vilkår for bruk, en e-postadresse for en kvittering, eller en engangskode sendt via SMS for å bekrefte at du er en betalende gjest.
  • Ikke normalt: en forespørsel om å logge inn med Microsoft-, Google-, Apple- eller bedriftskontoen din. Et ekte Wi-Fi-system på et hotell eller lignende sted har ingen legitim grunn til å trenge Microsoft-passordet ditt for å gi deg internettilgang.
  • Ikke normalt: en oppfordring til å taste inn en «enhetskode» som vises et annet sted, eller en side som sier noe i retning av «gå til microsoft.com/devicelogin og tast inn denne koden». Dette er en ekte Microsoft-funksjon (brukt til å logge inn på enheter som smart-TV-er) som angripere misbruker nettopp fordi den lar dem kapre kontoen din uten noensinne å se passordet ditt. Hvis en Wi-Fi-innloggingsside leder deg gjennom en enhetskode-flyt, stopp — lukk nettleseren og ikke fortsett.
  • Ikke normalt: et sprettoppvindu som forteller deg at nettleseren eller Windows trenger en akutt oppdatering, spesielt ett som ber deg kopiere en kommando og lime den inn i en «Kjør»-boks eller terminal for å «fikse» forbindelsen. Dette mønsteret (noen ganger kalt ClickFix) er en vanlig måte å lure folk til å installere skadevare selv, og ingen legitim Wi-Fi-portal trenger noensinne at du kjører en kommando.

Steg for steg: koble til trygt

  1. Før du reiser, slå av automatisk tilkobling for åpne nettverk. På telefonen din: Innstillinger → Wi-Fi → slå av «Auto-Join» eller «Automatisk tilkobling» for åpne/usikrede nettverk (nøyaktig ordlyd varierer etter enhet). Dette hindrer enheten din i stillhet fra å koble seg til et lignende navngitt useriøst nettverk senere uten at du merker det.
  2. Glem gamle offentlige nettverk du ikke lenger bruker. Hvis laptopen eller telefonen din har «Airport_Free_WiFi» eller et gammelt hotellnettverk lagret, slett det. Angripere kan kringkaste et nettverk med samme navn (en «evil twin») og enheten din kan koble seg til det automatisk fordi den kjenner igjen navnet.
  3. Når du kobler deg til det ekte nettverket, merk det som offentlig/ikke-klarert. Både Windows og macOS spør om et nytt nettverk er et «offentlig» eller «privat»/«klarert» nettverk — velg offentlig. Dette deaktiverer fildeling og nettverksoppdagelse, og begrenser hva annet på det nettverket kan se eller nå enheten din.
  4. Les portalsiden før du taster inn noe. Sjekk den mot «normalt vs. ikke normalt»-listen over. Hvis den ber om innlogging via en identitetsleverandør, en enhetskode, eller vil at du skal kjøre en kommando, lukk fanen, og spør i stedet resepsjonen eller registreringsskranken om riktig nettverksnavn og passord ved navn — ikke stol på at en side forteller deg hva nettverket heter.
  5. Tast bare inn det minimum portalen trenger — vanligvis et romnummer, etternavn eller en kode du fysisk fikk utlevert. Skriv aldri inn e-postpassordet ditt eller en konto du bruker andre steder.
  6. Når du er gjennom portalen, slå på en VPN før du gjør noe annet. Dette er det enkeltmest effektive steget, fordi det betyr at selv om selve nettverket er fiendtlig, er alt etter dette punktet kryptert i en tunnel som nettverksoperatøren (eller en angriper på det) ikke kan lese eller omdirigere. Gjør dette før du sjekker e-post, logger inn på noe, eller åpner bank-apper.
  7. Hvis du ikke har VPN, spar sensitive innlogginger til senere eller bruk mobildataene til telefonen din i stedet. Å gjøre telefonen din til et personlig hotspot og koble laptopen til det, selv kortvarig, unngår stedets nettverk helt for alt sensitivt — bank, jobb-e-post, opplåsing av passordbehandler.
  8. Når du drar, glem nettverket (både på telefon og laptop) i stedet for å la det ligge i listen over lagrede nettverk på ubestemt tid.

Hvis du tror du allerede har gått på limpinnen

Hvis du tastet inn et Microsoft-, Google- eller annet kontopassord på en Wi-Fi-innloggingsside, eller fullførte en enhetskode-forespørsel du ikke selv startet, bør du behandle kontoen som kompromittert: bytt det passordet umiddelbart fra et klarert nettverk eller en klarert enhet, sjekk kontoens nylige innloggingsaktivitet og tilkoblede enheter/økter og logg ut alt du ikke kjenner igjen, og gjennomgå tilkoblede apper eller «apper med tilgang til kontoen din» for alt du ikke har godkjent — enhetskode-phishing gir spesifikt en angriper et token uten noensinne å trenge passordet ditt, så et passordbytte alene fjerner kanskje ikke tilgangen deres. Hvis du klikket deg gjennom et «oppdater nå»-varsel eller kjørte en kommando fra et sprettoppvindu, koble den enheten fra internett og behandle den som potensielt infisert til den er skannet eller satt opp på nytt, siden nyttelastene beskrevet i denne typen kampanje har inkludert verktøy som kan logge tastetrykk og aktivere webkameraet eller mikrofonen din.

Konklusjonen

En captive portal er ikke i seg selv mistenkelig — det er en normal, kjedelig del av det å reise. Det som endrer risikoen, er hva den ber deg gjøre. En side som vil ha romnummeret ditt, gjør jobben sin. En side som vil ha Microsoft-passordet ditt, en enhetskode, eller en kommando limt inn i en terminal, er ikke lenger en Wi-Fi-innloggingsskjerm — det er en phishing-side forkledd som en. Å kjenne forskjellen, og å ty til VPN eller telefonens hotspot for alt sensitivt, lukker akkurat det øyeblikket denne typen angrep er avhengig av.