TP2 : Evil twin
Objectifs du TP :
1. Comprendre le concept de l'attaque Evil Twin.
2. Apprendre à configurer un point d'accès malveillant.
3. Observer le comportement des utilisateurs victimes.
4. Comprendre comment se défendre contre ce type d'attaque.
Plan du TP :
1. Pré-requis :
o Connaissance de base des réseaux Wi-Fi.
o Familiarité avec les commandes Linux et outils réseau.
o Machines virtuelles configurées avec Linux (ex. Kali Linux pour l'attaquant et
Ubuntu/Windows pour la victime).
2. Matériel nécessaire :
o Un ordinateur avec une carte réseau Wi-Fi qui supporte le mode "monitor".
o Logiciels : Aircrack-ng, Hostapd, Wireshark, SSLstrip (pour effectuer le
"man-in-the-middle").
3. Étapes du laboratoire :
A. Phase de préparation :
Configurer la machine de l'attaquant (Kali Linux) :
o Assurez-vous que votre carte Wi-Fi est compatible avec le mode "monitor" :
bash
Copy code
airmon-ng start wlan0
o Utilisez Airodump-ng pour scanner les réseaux disponibles :
bash
Copy code
airodump-ng wlan0mon
o Repérez le SSID du réseau cible (celui que vous allez imiter).
Créer le point d'accès malveillant :
o Configurez un faux point d'accès avec le même SSID que le réseau légitime :
Utilisez Hostapd pour créer l'AP.
Vous pouvez utiliser la commande suivante pour configurer le fichier
de configuration d'Hostapd :
bash
Copy code
interface=wlan0mon
ssid=Nom_du_reseau_cible
channel=6
Capturer le trafic :
o Une fois que les utilisateurs se connectent à votre point d'accès malveillant,
utilisez Wireshark ou tcpdump pour capturer le trafic des victimes.
Enseignant : KTHIRI Mounir
TP2 : Evil twin
o Si le réseau légitime utilise un chiffrement (WPA/WPA2), vous devrez
capturer le "4-way handshake" et essayer de le cracker avec Aircrack-ng.
Questions Phase 01 :
o Question1 : Pourquoi devons-nous utiliser le mode "monitor" pour la carte
Wi-Fi de l'attaquant ?
o Question 2: Pourquoi est-il important d’identifier le canal et le BSSID du
réseau cible avant de créer l'Evil Twin ?
o Question3 : Quelle est l'importance d'utiliser le même SSID pour le faux point
d'accès dans une attaque Evil Twin ?
o Question4 : Pourquoi est-il nécessaire de capturer le "4-way handshake" dans
un réseau WPA/WPA2 avant d'essayer de cracker la clé ?
B. Phase d'attaque :
Intercepter les données :
o Utilisez SSLstrip pour déchiffrer les connexions HTTPs vers HTTP afin de
capturer les informations sensibles comme les identifiants de connexion.
o Utilisez des outils comme ettercap pour effectuer des attaques "man-in-the-
middle".
Démonstration du phishing :
o Configurez un site de phishing qui imite la page de connexion d'un service
populaire pour voler des identifiants (par exemple, imiter une page
d'authentification Google).
C. Phase de défense :
Discuter des contre-mesures :
o Utiliser des outils de détection comme Wireshark pour identifier des APs
frauduleux (en surveillant les différences de canaux, de puissance du signal,
etc.).
o Configurer des certificats SSL/TLS pour protéger les connexions utilisateur.
o Éduquer les utilisateurs sur les bonnes pratiques pour éviter ce type d'attaque
(vérifier les certificats de site, utiliser des VPN, etc.).
A. Phase de préparation :
2. Configurer la machine de l'attaquant (Kali Linux) :
o Question : Pourquoi devons-nous utiliser le mode "monitor" pour la carte Wi-
Fi de l'attaquant ?
o Réponse attendue : Le mode "monitor" permet de capturer tout le trafic Wi-Fi
sur un canal spécifique, y compris les paquets de réseaux auxquels la carte
n'est pas directement connectée. Cela est essentiel pour observer et imiter le
réseau légitime.
3. Scanner les réseaux disponibles avec Airodump-ng :
o Question : Pourquoi est-il important d’identifier le canal et le BSSID du
réseau cible avant de créer l'Evil Twin ?
Enseignant : KTHIRI Mounir
TP2 : Evil twin
o Réponse attendue : Identifier le canal et le BSSID permet de s'assurer que le
faux point d'accès utilise le même nom de réseau (SSID) et fonctionne sur le
même canal que le réseau légitime, ce qui rend l'attaque plus crédible.
4. Créer le point d'accès malveillant avec Hostapd :
o Question : Quelle est l'importance d'utiliser le même SSID pour le faux point
d'accès dans une attaque Evil Twin ?
o Réponse attendue : Utiliser le même SSID trompe les utilisateurs en leur
faisant croire qu'ils se connectent au réseau légitime, alors qu'ils se connectent
en réalité au point d'accès de l'attaquant.
5. Capturer le trafic :
o Question : Pourquoi est-il nécessaire de capturer le "4-way handshake" dans
un réseau WPA/WPA2 avant d'essayer de cracker la clé ?
o Réponse attendue : Le "4-way handshake" contient des informations
cryptographiques nécessaires pour tenter de deviner la clé WPA/WPA2 via des
attaques de type dictionnaire ou brute force.
Question phase 02 et 03 :
o Question : Quelle est la différence entre HTTPS et HTTP, et pourquoi
SSLstrip est-il utilisé dans cette attaque ?
o Question : Que se passe-t-il lorsque vous effectuez une attaque "man-in-the-
middle" ? Quels types d'informations pouvez-vous capturer ?
o Question : Comment un utilisateur peut-il différencier une page de phishing
d'une vraie page de connexion ? Quels sont les signes à surveiller ?
o Question : Quels indicateurs pourriez-vous surveiller dans Wireshark pour
détecter la présence d'un point d'accès malveillant ?
o Question : Comment l'utilisation d'un VPN peut-elle protéger contre une
attaque Evil Twin ?
o Question : Quelle bonne pratique pouvez-vous suivre pour éviter d'être
victime d'une attaque Evil Twin lorsque vous vous connectez à un réseau Wi-
Fi public ?
Enseignant : KTHIRI Mounir
