Могут ли другие люди на зашифрованной точке доступа Wi-Fi видеть, что вы делаете?

Да, с WEP-шифрованием это очень просто. Все зашифровано ключом, который вы должны знать, чтобы войти в сеть. Каждый в сети может декодировать чужой трафик, даже не пытаясь.

С WPA-PSK и WPA2-PSK это немного сложнее, но не слишком сложно. WPA-PSK и WPA2-PSK шифруют все с помощью ключей для каждого клиента и сеанса, но эти ключи получены из предварительного общего ключа (PSK; ключ, который необходимо знать для доступа в сеть), а также обмена некоторой информацией в открытом виде, когда клиент присоединяется или повторно присоединяется к сети. Поэтому, если вы знаете PSK для сети, и ваш анализатор перехватывает «четырехстороннее рукопожатие», которое другой клиент делает с точкой доступа при подключении, вы можете расшифровать весь трафик этого клиента. Если вам не удалось перехватить четырехстороннее рукопожатие этого клиента, вы можете отправить поддельный пакет де-аутентификации целевому клиенту (подделав его, чтобы он выглядел так, как будто он получен с MAC-адреса точки доступа), заставив клиента упасть от сети и вернитесь, так что на этот раз вы можете захватить его четырехстороннее рукопожатие и расшифровать весь дальнейший трафик к / от этого клиента. Пользователь машины, получивший поддельную де-аутентификацию, вероятно, даже не заметит, что его ноутбук был отключен от сети на долю секунды.Обратите внимание, что для этой атаки не требуется никаких трудностей для человека в середине. Злоумышленник просто должен захватить несколько определенных кадров в то время, когда целевой клиент (повторно) присоединяется к сети.

С WPA-Enterprise и WPA2-Enterprise (то есть с аутентификацией 802.1X вместо использования предварительного ключа) все ключи каждого сеанса для каждого клиента создаются полностью независимо, поэтому нет возможности декодировать трафик друг друга., Злоумышленнику придется либо перехватывать ваш трафик на проводной стороне точки доступа, либо, возможно, настроить мошенническую точку доступа в надежде, что вы проигнорируете поддельный сертификат на стороне сервера, который будет отправлять мошенническая точка доступа, и в любом случае присоединитесь к мошеннической точке доступа. ,

WPA по крайней мере имеет некоторую форму ключей сеанса. Предполагая (я не уверен, что на самом деле использует WPA), сеансовые ключи устанавливаются с использованием протокола, такого как Диффи-Хеллман, изначально они безопасны, даже если PSK нет. С помощью шифровальных ключей сеанса TKIP можно быстро взломать, позволяя кому-то перехватывать и вводить пакеты, не зная предварительно общего ключа.

Тем не менее, кто-то, кто знает PSK, может просто установить мошенническую точку доступа, сделать человека посередине и выбрать свои собственные сеансовые ключи, что делает этот вопрос спорным. Активный злоумышленник, который знает ваш PSK, может управлять канальным уровнем, перехватывая и изменяя пакеты.

Если вы замените аутентификацию PSK на IEEE 802.1X, в которой используются сертификаты и PKI, вы можете верить, что точка доступа изначально является правильной. MITM потребует от злоумышленника взломать клиентов и точки доступа, чтобы получить их частные сертификаты, вместо того, чтобы просто получить PSK. Протокол, похоже, имеет слабость, которая позволяет атакующему сделать человека посередине после первоначальной аутентификации; Я не знаю, насколько это применимо к беспроводному корпусу. Но люди склонны принимать сертификаты вслепую, и не все точки доступа позволяют настраивать 802.1X.

Незашифрованный WAP означает, что любой трафик по беспроводной линии может быть прочитан любым пользователем.

С зашифрованным WAP весь трафик шифруется по радиоканалу, но любой, имеющий доступ к порту WAN WAP, может прочитать трафик даже без ключа шифрования. С помощью ключа WAP для WiFi вы можете прочитать весь трафик по радиоканалу.

Безопасный способ использования общей беспроводной точки доступа - использование сквозного шифрования; Ваш трафик зашифрован перед отправкой по радиоканалу и не расшифрован до тех пор, пока не прибудет в пункт назначения. Таким образом, даже при наличии ключа WAP или доступа к порту WAN WAP сквозной зашифрованный трафик является безопасным.

Распространенным способом получения сквозного шифрования является использование зашифрованного VPN. Трафик, использующий VPN между вашей машиной и конечной точкой VPN, зашифрован и поэтому безопасен.

Одно осложнение. В VPN может использоваться метод, называемый разделенным туннелированием, что означает, что трафик, не предназначенный для сети на другой стороне VPN, не использует VPN. И трафик, который не использует VPN, не шифруется VPN, поэтому, если вы используете раздельное туннелирование, трафик, не адресованный другому концу VPN, не защищен VPN.