DEF CON 33 - RF Village - Airborne WiFi: Rogue Waves in the Sky - m0nkeydrag0n
三句話摘要
商業航班機上無線網路的惡意雙生攻擊（Evil Twin）檢測與威脅狩獵方法。 機上惡意無線活動的成功偵測需要理解基礎設施、多工具交叉驗證、細心的數據分析，以及創意思考來破除思維慣性。 機上無線系統需要通過 FAA 指定的工程代表（DER）認可，確保飛行安全。Evil Twin 與流氓 AP（Rogue AP）的區別在於，前者主動冒充合法網路吸引使用者連接，後者是未經批准接入的接取點。威脅狩獵的難點在於資料龐大且雜訊多，停靠相鄰登機口的飛機會產生交叉污染警報，需要理解機上基礎設施以區分合法與惡意流量。創意性思考和跳脫框架分析往往能在看似正常的數據中發現關鍵線索。
重點整理
重點- 1
機上無線系統需要通過 FAA 指定的工程代表（DER）認可，確保飛行安全。Evil Twin 與流氓 AP（Rogue AP）的區別在於，前者主動冒充合法網路吸引使用者連接，後者是未經批准接入的接取點。威脅狩獵的難點在於資料龐大且雜訊多，停靠相鄰登機口的飛機會產生交叉污染警報，需要理解機上基礎設施以區分合法與惡意流量。創意性思考和跳脫框架分析往往能在看似正常的數據中發現關鍵線索。
實用技巧與重點
乾貨- 工具清單
- SIM（安全資訊和事件管理系統）
- Wireshark、PCAP 封包捕獲
- ADSB（飛機位置資料）
- FlightAware、Wiggle（Wi-Fi 地理位置資料庫）
- 生成式 AI / ChatGPT（協助建立基礎檢測）
- 檢測重點
- Ad hoc 網路出現
- AP 冒充事件
- 流氓 AP 事件
- 異常 BSSID（無線基地台識別碼）
- 過濾合法噪音（如 Apple Private Relay）
- 實際案例數據
- 澳洲攻擊者利用 Alpha 無線適配器 OUI（MAC 位址前三碼）
- 虛假登入頁面詢問姓名、電郵、密碼
- 透過 Wiggle 地圖確認攻擊發生地點和飛行軌跡
- AP 製造商
- Ruckus、Ubiquity 等
- 報告結構
- 執行摘要 → 技術分析 → 商業影響 → 時間線 → 應變與恢復方案
結論
結論“機上惡意無線活動的成功偵測需要理解基礎設施、多工具交叉驗證、細心的數據分析，以及創意思考來破除思維慣性。”
完整解析
詳細講者 Monkey Dragon 分享了機上無線安全的威脅與防禦經驗。商業航班上的乘客往往匆忙連接 Wi-Fi，很少細心檢查網路名稱或登入頁面細節，這為攻擊者製造了機會。機上無線系統由伺服器、數據機和多個接取點組成，需通過 FAA 指定工程代表（DER）的安全審核才能整合進飛行系統，確保整體飛行安全。
作為藍隊防禦人員，理解機上基礎設施架構至關重要，因為這決定了如何審視日誌和檢測事件。去年澳洲發生了一起真實案例，攻擊者在航班上廣播名為「Hard Brigade Free」的虛假 Wi-Fi 網路，設置假登入頁面竊取乘客的姓名、電郵和密碼。這起事件最終導致攻擊者被逮捕，成為首例因機上 Evil Twin 攻擊被定罪的案例。
威脅狩獵的最大挑戰是資料量龐大且雜訊極多。停靠在相鄰登機口的飛機會相互廣播無線信號，導致 SIM 系統產生大量誤警——偵測到未在白名單中的 BSSID。檢測工程師需要建立清晰的規則和 playbook，過濾掉 Apple Relay 這類合法但製造噪音的流量。通過 Wireshark 分析 PCAP 檔案、利用 ADSB 追蹤飛機位置、參照 Wiggle 的 Wi-Fi 地理位置資料庫，可以相互驗證數據並識別真正異常的網路活動。
在澳洲案例中，攻擊者使用的 Alpha 無線適配器的 OUI（MAC 位址前三碼）最終成為破案的關鍵。雖然 OUI 本身是合法裝置標識，但通過 Wiggle 對攻擊地點的追蹤、ADSB 確認航班位置、以及時間線對照，團隊成功證實了攻擊者的身份。
調查過程中應詳細記錄所有發現、截圖和時間戳，建立完整的時間軸。最終報告需要包含給管理層的執行摘要、技術團隊的詳細分析（證明理論成立）、對業務的影響評估，以及應變與恢復方案。講者強調，創意性思考和跳脫框架分析往往比盲目遵循既有檢測規則更有效——看似正常的數據中可能隱藏著關鍵的「沙中之骨」。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
