Ви проходите через переповнений вестибюль станції метро, а ваш смартфон спокійно лежить у кишені пальта. Ви не вмикали екран, не відкривали жодної програми і не приєднувалися до бездротових мереж на станції. Проте кожні кілька секунд невидимі радіохвилі випромінюються від вашого пристрою в усіх напрямках. Спостерігач на лаві поруч за допомогою простого радіоприймача фіксує відкриті службові кадри в ефірі: Запит зондування (Probe Request): Назва мережі "Home_WiFi_5G", Запит зондування: Назва мережі "Office_Room_4", Запит зондування: Назва мережі "Seaside_Resort_Hotel".

За кілька секунд автоматичний скрипт звіряє цей перелік назв із відкритими географічними базами даних, такими як WiGLE. Результати пошуку розкривають район вашого помешкання, офісний центр, де ви працюєте, та готель, у якому ви відпочивали під час останньої відпустки. Навіть без підключення до публічних мереж мобільний пристрій транслює маршрути ваших щоденних поїздок у радіоефір.

[Ваш смартфон (Wi-Fi увімкнено)]
       │
       │  1. Відкритий запит 802.11 Probe Request (Активне сканування)
       │     Корисне навантаження: "Home_WiFi_5G", "Office_Room_4"
       ▼
[Радіосканер / Підроблена точка доступу]
       │
       │  2. Вилучення переліку назв мереж (SSID) з ефіру
       ▼
[Запит до глобальної географічної бази (наприклад, WiGLE.net)]
       │
       ├─► Зіставлення мереж ➔ Визначення точних адрес дому та роботи
       └─► Підроблена відповідь ➔ Примусове з'єднання з чужою мережею (Атака KARMA)

Принцип активного сканування 802.11 та список PNL

Щоб зрозуміти, чому смартфон поширює збережені назви мереж, слід розглянути механізм пошуку бездротового сигналу. Згідно зі стандартом IEEE 802.11, мобільні пристрої виявляють точки доступу двома основними способами:

  1. Пасивне сканування (Passive Scanning): Пристрій тихо прослуховує радіоканали в очікуванні сигнальних пакетів (Beacon frames), які точки доступу транслюють приблизно 10 разів на секунду. Цей спосіб безпечний для приватності, однак він вимагає значних витрат заряду батареї та сповільнює розпізнавання точок зв'язку під час руху.
  2. Активне сканування (Active Scanning): Щоб прискорити з'єднання та заощадити заряд акумулятора, пристрій транслює службовий кадр керування — Запит зондування (Probe Request). Усі активні маршрутизатори на цьому каналі надсилають кадр Probe Response, що дає змогу встановити з'єднання за лічені мілісекунди.
+-------------------------------------------------------------------+
|               Структура кадру 802.11 Probe Request                |
+-------------------------------------------------------------------+
| Керування кадром | Тривалість | MAC призначення | MAC джерела     |
+-------------------------------------------------------------------+
| Порядковий номер | Параметри HT | Теги параметрів (SSID мереж...) |
+-------------------------------------------------------------------+

Уразливість виникає в полі тегів параметрів. Операційна система зберігає внутрішній реєстр — Список бажаних мереж (Preferred Network List - PNL). Він містить перелік усіх точок Wi-Fi, до яких ви колись підключалися, разом із паролями доступу.

Коли пристрій намагається відновити зв'язок зі знайомими мережами — особливо прихованими (Hidden SSID), які не транслюють відкритих маяків, — він надсилає спрямовані запити зондування (directed probe requests). Замість загального запитання "Які точки є поруч?", смартфон відкрито транслює в ефір: "Чи доступна мережа 'Home_WiFi_5G'? Чи є тут мережа 'Office_Room_4'?"

Оскільки кадри керування 802.11 не захищені шифруванням, будь-який радіоприймач у радіусі дії антени може перехопити й зберегти ці запити.

Чому зміна MAC-адрес не зупиняє відстеження

Розробники операційних систем впровадили механізм рандомізації MAC-адрес, щоб унеможливити стеження за постійними апаратними ідентифікаторами мережевих карт. Під час сканування пристрій періодично генерує тимчасову випадкову адресу.

Проте заміна заголовка на канальному рівні не вирішує проблеми витоку змісту самого повідомлення:

Заголовок MAC рівня 2:    [ ВИПАДКОВИЙ: 3a:7f:12:9b:04:e1 ] <-- Маскує система
Корисне навантаження 7:    [ СПРЯМОВАНО: "Moye_Pryvatne_Zytlo" ] <-- Відкритий текст

1. Навантаження нівелює фальшиву адресу

Навіть якщо пристрій оновлює MAC-адресу кожні п'ятнадцять хвилин, він продовжує транслювати той самий набір назв приватних мереж зі списку PNL. Спостерігачеві достатньо ігнорувати заголовок MAC і згрупувати отримані пакети за характерним набором назв мереж.

2. Специфічні інформаційні елементи

Запити зондування містять низку технічних параметрів про швидкість зв'язку та властивості радіомодуля. Черговість і значення цих полів створюють стабільний апаратний відбиток, який не змінюється разом із MAC-адресою.

3. Унікальність комбінацій мереж

Поширені назви точок доступу збережені у багатьох користувачів, проте поєднання двох чи трьох приватних домашніх і робочих мереж є статистично унікальним. Пристрій, що шукає одночасно домашню точку та внутрішню мережу підприємства, надійно виділяється серед тисяч пасажирів на вокзалі.

Визначення координат через відкриті радіобази даних

Головна небезпека відкритих назв мереж полягає у можливості точного встановлення фізичного місцезнаходження. Протягом десятиліть дослідники та картографічні служби формували бази даних бездротових точок за допомогою сканування ефіру (War-driving).

Платформи на зразок WiGLE зберігають сотні мільйонів записів, у яких кожна назва мережі та MAC-адреса роутера прив'язані до точних GPS-координат:

+-------------------------------------+      +-------------------------------+
| Перехоплені назви мереж (SSID):     | ---> | Пошук у глобальній базі WiGLE |
| - "Zhk_Podil_Kv45"                  |      | (Сотні мільйонів точок)       |
| - "Stomatolohiya_Centr"             |      +---------------+---------------+
+-------------------------------------+                      │
                                                             ▼
                                             +-------------------------------+
                                             | Точні фізичні координати:     |
                                             | Дім: 50.4501° N, 30.5234° E   |
                                             | Робота: 50.4612° N, 30.5120° E|
                                             +-------------------------------+

Отримавши список мереж вашого пристрою, спостерігач зіставляє їх із картою. За наявності збігів він дізнається точні адреси вашого проживання та роботи без отримання фізичного доступу до вашого телефона.

Атака KARMA та створення підроблених мереж

Трансляція збережених назв також створює передумови для активного мережевого перехоплення за допомогою атаки KARMA.

[Смартфон жертви] ──► Запит зондування: "Hotel_WiFi_Free"
                             │
[Фальшива точка доступу] ◄───┘
        │
        ├─► Миттєва відповідь: "Так, це мережа 'Hotel_WiFi_Free'!"
        ▼
[Автоматичне підключення] ──► Смартфон вважає точку знайомою
        │
        ▼
[Перехоплення трафіку / Підміна DNS / Спроби крадіжки даних]

Коли фальшива точка доступу вловлює запит до відкритої або раніше збереженої мережі, вона миттєво генерує відповідь із цією самою назвою. Телефон вважає підключення безпечним і з'єднується з нею автоматично.

Після встановлення зв'язку зловмисник отримує контроль над мережевим шлюзом, що дає йому змогу перенаправляти DNS-запити або підсовувати фішингові сторінки авторизації для викрадення облікових записів.

Порівняння способів сканування радіоефіру

Режим виявлення точок Рівень витоку даних Витрата акумулятора Швидкість з'єднання Стійкість до атаки KARMA
Активне загальне Помірний: запит без конкретних назв мереж Низька Швидка Висока: приватні назви не транслюються
Активне спрямоване Критичний: відкрита передача збережених мереж Дуже низька Максимальна Дуже низька: ризик підміни та локалізації
Лише пасивне Повна приватність: радіосигнали не надсилаються Вища (Витратна) Повільніша Повна: пристрій непомітний для сканерів
Захищений тунель RiceGuard Надійний захист: шифрування у чужих мережах Не впливає на радіо Стабільна Ризик усунуто: дані неможливо прочитати

Архітектура захисту: безпека даних за допомогою RiceGuard

Хоча обмеження випромінювання запитів Probe потребує зміни налаштувань телефона, захист від підроблених точок доступу спирається на надійне тунелювання трафіку. Якщо пристрій помилково підключиться до чужої мережі, шифрування не дозволить зловмиснику отримати корисні відомості.

[Операційна система пристрою]
                 │
                 ▼ (Випадкове підключення до підробленої мережі)
┌─────────────────────────────────────────────────────────────┐
│ Мережевий криптографічний периметр RiceGuard (На пристрої)  │
│                                                             │
│ 1. Перехоплення всього IP-трафіку на адаптері TUN           │
│ 2. Шифрування пакетів алгоритмами ChaCha20-Poly1305         │
│ 3. Блокування відкритого виходу (Kill Switch) під час збоїв │
└──────────────────────────────┬──────────────────────────────┘
                               │
                               ▼ (Зашифрований потік WireGuard)
[Підроблена точка доступу] ◄── Бачить виключно зашифровані пакети UDP
                               │  Не здатна підмінити DNS чи перехопити дані
                               ▼
[Безпечний шлюз VPNRice]
                               │
                               ▼ (Декапсуляція та спрямування в інтернет)
[Цільовий інтернет-сервіс]

VPNRice захищає від наслідків радіосканування за допомогою технології RiceGuard:

1. Повна ізоляція від скомпрометованого шлюзу

Потрапляючи в пастку фальшивої точки доступу, зловмисник намагається аналізувати відкритий веб-трафік або підміняти DNS. RiceGuard діє на мережевому рівні (Layer 3) через системний віртуальний адаптер TUN.

Усі пакети шифруються за допомогою ChaCha20-Poly1305 або AES-256-GCM ще до виходу в локальну мережу. Оператор фальшивої точки бачить лише однорідний потік зашифрованих пакетів UDP і позбавлений можливості викрасти паролі, перенаправити сайти чи модифікувати трафік.

2. Системний аварійний вимикач (Kill Switch)

Окремі підроблені точки намагаються порушити тунель VPN, щоб змусити телефон передавати незахищені дані. VPNRice застосовує функцію Kill Switch на рівні системного міжмережевого екрана. У разі розриву з'єднання брандмауер миттєво блокує весь вихідний трафік до відновлення захищеного каналу.

3. Автономні захищені сервери DNS

Замість небезпечних серверів локального маршрутизатора RiceGuard спрямовує всі запити доменних імен через власні DNS-вузли без журналювання, захищені шифруванням тунелю.

Корисні поради для безпеки радіоефіру

  1. Видаляйте застарілі мережі: Періодично відкривайте налаштування Wi-Fi та видаляйте тимчасові мережі готелів, вокзалів чи кав'ярень зі списку збережених.
  2. Вимкніть автопідключення: Налаштуйте пристрій так, щоб підключення до нових точок відбувалося лише за вашою прямою вказівкою.
  3. Вимикайте Wi-Fi під час поїздок: Перебуваючи у громадському транспорті чи людних місцях, вимикайте модуль Wi-Fi для повного припинення активного сканування.
  4. Не робіть домашню мережу прихованою: Відмовтеся від режиму Hidden SSID для домашнього роутера, оскільки він змушує гаджети постійно випромінювати спрямовані запити в публічних місцях.
  5. Тримайте RiceGuard увімкненим: Залишайте VPNRice активним під час перебування за межами дому чи офісу, щоб у разі випадкового підключення до незнайомої точки ваші дані залишалися під надійним захистом.

Розуміння принципів роботи бездротових технологій допомагає захистити приватність щоденних маршрутів та гарантувати безпеку цифрових пристроїв.