Testy penetracyjne sieci WiFi to jeden z filarów certyfikacji OSWP (Offensive Security Wireless Professional). W tym przewodniku krok po kroku pokazujemy, jak wykorzystać Kali Linux, pakiet aircrack-ng oraz narzędzie automatyzujące wifite do przeprowadzenia legalnego audytu bezpieczeństwa sieci WPA2 i WPA3, wraz z konfiguracją trybu monitora, przechwytywaniem handshake’a/PMKID, łamaniem haseł oraz omówieniem różnic względem ataków na WPA3-SAE (Dragonblood). Artykuł zawiera checklistę egzaminacyjną OSWP oraz sekcję FAQ.
⚠️ Zastrzeżenie prawne i etyczne Testowanie sieci bezprzewodowych bez pisemnej zgody właściciela jest przestępstwem w większości jurysdykcji (w Polsce m.in. art. 267 i 269a-269b Kodeksu karnego). Wszystkie techniki opisane w tym artykule wolno stosować wyłącznie we własnym laboratorium testowym, na sprzęcie do którego posiadasz prawa, lub w ramach autoryzowanego testu penetracyjnego z podpisaną umową (ROE – Rules of Engagement). Ten artykuł ma charakter edukacyjny i przygotowuje do certyfikacji OSWP.
Spis treści
- Czym jest OSWP i dlaczego warto go zdobyć
- Wymagania sprzętowe – karty WiFi kompatybilne z trybem monitora
- Przygotowanie środowiska w Kali Linux
- Podstawy standardu 802.11 – co musisz wiedzieć przed atakiem
- Pakiet aircrack-ng – narzędzie po narzędziu
- Atak na WPA2 krok po kroku
- Wifite – pełna automatyzacja audytu WiFi
- WPA3 i SAE – dlaczego stare metody nie wystarczą
- Atak PMKID – szybsza alternatywa dla handshake’a
- Łamanie haseł – hashcat vs aircrack-ng
- Ataki na WPS
- Rogue AP i Evil Twin
- Typowe błędy kandydatów na egzaminie OSWP
- Checklista przed egzaminem OSWP
- FAQ – najczęściej zadawane pytania
1. Czym jest OSWP i dlaczego warto go zdobyć
OSWP (Offensive Security Wireless Professional) to certyfikat praktyczny oferowany przez OffSec, potwierdzający umiejętność przeprowadzenia pełnego audytu bezpieczeństwa sieci bezprzewodowej – od rekonesansu, przez przechwytywanie ruchu, po złamanie klucza i uzyskanie dostępu do sieci. W przeciwieństwie do testów teoretycznych, egzamin OSWP jest w 100% praktyczny i wymaga wykazania się realnymi kompetencjami na żywym sprzęcie.
Certyfikat jest ceniony przez pracodawców, ponieważ:
- weryfikuje umiejętności praktyczne, a nie wiedzę pamięciową,
- jest powiązany z kursem WiFu (PEN-210), uznawanym za branżowy standard nauki pentestów WiFi,
- stanowi solidny fundament pod dalsze certyfikaty ofensywne (OSCP, OSEP).
2. Wymagania sprzętowe – karty WiFi kompatybilne z trybem monitora
Nie każda karta sieciowa nadaje się do testów penetracyjnych. Kluczowa jest obsługa trybu monitora (monitor mode) oraz wstrzykiwania pakietów (packet injection).
| Chipset | Przykładowe modele | Tryb monitora | Injection | Pasmo |
|---|---|---|---|---|
| Atheros AR9271 | TP-Link TL-WN722N v1 | Tak | Tak | 2.4 GHz |
| Ralink RT3070 | Alfa AWUS036NHA | Tak | Tak | 2.4 GHz |
| Realtek RTL8812AU | Alfa AWUS036ACH | Tak | Tak | 2.4/5 GHz |
| MediaTek MT7612U | Alfa AWUS036ACM | Tak | Tak | 2.4/5 GHz (WPA3 friendly) |
Rekomendacja praktyczna: do testów WPA3 i pasma 5 GHz warto wybrać kartę z chipsetem MediaTek (np. Alfa AWUS036ACM), ponieważ ma najlepsze wsparcie sterowników mt76 w najnowszych jądrach Linuksa.
Sprawdzenie kompatybilności:
lsusb
airmon-ng
3. Przygotowanie środowiska w Kali Linux
sudo apt update && sudo apt full-upgrade -y
sudo apt install aircrack-ng wifite hashcat hcxtools hcxdumptool reaverwps-t6x -y
Wyłącz usługi, które mogą kolidować z kartą sieciową:
sudo airmon-ng check kill
Ta komenda zatrzymuje NetworkManager i wpa_supplicant, które automatycznie przełączają kartę z powrotem w tryb zarządzany (managed mode) i zakłócają przechwytywanie ramek.
4. Podstawy standardu 802.11 – co musisz wiedzieć przed atakiem
Skuteczny atak wymaga zrozumienia trzech typów ramek 802.11:
- Management frames – beacon, probe request/response, deauthentication – najważniejsze przy rekonesansie i atakach deauth,
- Control frames – RTS/CTS, ACK,
- Data frames – właściwy ruch użytkownika, w tym 4-way handshake.
4-way handshake (WPA2)
Handshake to wymiana czterech ramek EAPOL pomiędzy klientem a punktem dostępowym, w trakcie której obie strony potwierdzają znajomość PSK (Pre-Shared Key) i generują PTK (Pairwise Transient Key). To właśnie te ramki musimy przechwycić, aby offline złamać hasło.
5. Pakiet aircrack-ng – narzędzie po narzędziu
Pakiet aircrack-ng to zestaw kilkunastu programów. Najważniejsze z punktu widzenia OSWP:
| Narzędzie | Funkcja |
|---|---|
airmon-ng | Zarządzanie trybem monitora |
airodump-ng | Skanowanie i przechwytywanie ramek |
aireplay-ng | Ataki deauth, wstrzykiwanie pakietów |
aircrack-ng | Łamanie kluczy WEP/WPA/WPA2 |
airbase-ng | Tworzenie fałszywych punktów dostępowych (Evil Twin) |
airdecap-ng | Deszyfrowanie przechwyconego ruchu |
packetforge-ng | Ręczne tworzenie pakietów do wstrzyknięcia |
Włączenie trybu monitora
sudo airmon-ng start wlan0
Interfejs zostanie przełączony w tryb monitora (zwykle wlan0mon).
Rekonesans sieci
sudo airodump-ng wlan0mon
Wynik pokazuje BSSID, moc sygnału, kanał, szyfrowanie oraz nazwy podłączonych klientów – kluczowe dane do dalszego ataku.
6. Atak na WPA2 krok po kroku
Krok 1 – celowane przechwytywanie ruchu
sudo airodump-ng -c <kanał> --bssid <BSSID> -w capture wlan0mon
Krok 2 – wymuszenie ponownego uwierzytelnienia (deauth)
sudo aireplay-ng --deauth 10 -a <BSSID> -c <MAC_klienta> wlan0mon
Atak deauth wysyła sfałszowane ramki rozłączające, zmuszając klienta do ponownego połączenia z AP – w tym momencie airodump-ng przechwytuje 4-way handshake.
Krok 3 – weryfikacja przechwyconego handshake’a
aircrack-ng capture-01.cap
Jeśli w nagłówku pojawi się WPA (1 handshake), przechwytywanie się powiodło.
Krok 4 – łamanie hasła słownikowo
aircrack-ng -w /usr/share/wordlists/rockyou.txt -b <BSSID> capture-01.cap
Wskazówka egzaminacyjna: na egzaminie OSWP domyślna lista rockyou.txt często nie wystarcza – warto znać techniki generowania własnych słowników (np. crunch, cewl) dopasowanych do kontekstu (nazwa sieci, dane firmy).
7. Wifite – pełna automatyzacja audytu WiFi
wifite automatyzuje cały proces powyżej – od skanowania po próbę złamania klucza – co jest przydatne przy dużej liczbie celów, ale na egzaminie OSWP wymagana jest znajomość ręcznego przebiegu ataku, a wifite traktuj jako narzędzie wspomagające, nie substytut wiedzy.
sudo wifite --kill
Podstawowe uruchomienie z automatycznym wyborem celu:
sudo wifite
Przydatne flagi:
| Flaga | Działanie |
|---|---|
--wpa | Atakuj wyłącznie sieci WPA/WPA2 |
--dict <plik> | Wskaż własny słownik |
--wps | Skup się na atakach WPS |
-c <kanał> | Ogranicz skanowanie do konkretnego kanału |
--pmkid | Wymuś atak PMKID zamiast handshake’a |
Wifite automatycznie zapisuje przechwycone handshake’e i PMKID w katalogu hs/, gotowe do dalszej analizy w hashcat.
8. WPA3 i SAE – dlaczego stare metody nie wystarczą
WPA3 zastępuje mechanizm PSK protokołem SAE (Simultaneous Authentication of Equals), znanym też jako Dragonfly Handshake. Kluczowa różnica: SAE jest odporny na klasyczne ataki offline typu dictionary attack na przechwycony handshake, ponieważ każda sesja generuje unikalny klucz sesyjny (forward secrecy), a atakujący nie może po prostu odtworzyć obliczeń PSK offline tak jak w WPA2.
Wektory ataku na WPA3
- Downgrade attack – wymuszenie trybu przejściowego WPA2/WPA3 (transition mode), jeśli AP go obsługuje, i przeprowadzenie klasycznego ataku na WPA2,
- Dragonblood (CVE-2019-9494, CVE-2019-9495) – rodzina podatności typu side-channel i timing attack na implementacje SAE, ujawniona przez badaczy Vanhoefa i Ronena; wiele z nich została załatana w nowszych implementacjach,
- Ataki na WPA3-Personal w trybie transition mode – najbardziej praktyczny wektor w środowisku testowym, ponieważ wiele routerów domyślnie włącza kompatybilność wsteczną.
Ważne dla OSWP: program certyfikacji koncentruje się głównie na WPA2, ale rosnąca popularność WPA3 sprawia, że zrozumienie różnic koncepcyjnych (SAE vs 4-way handshake) jest coraz częściej testowane pytaniami teoretycznymi i może pojawić się jako dodatkowy kontekst w laboratorium.
9. Atak PMKID – szybsza alternatywa dla handshake’a
Atak PMKID (odkryty przez Jensa Steube’a, twórcę hashcat) pozwala przechwycić materiał kryptograficzny bez oczekiwania na klienta i bez ataku deauth – wystarczy, że AP wysyła PMKID w pierwszej ramce EAPOL po stronie punktu dostępowego.
sudo hcxdumptool -i wlan0mon -o capture.pcapng --enable_status=1
hcxpcapngtool -o hash.22000 capture.pcapng
Zaletą tego ataku jest brak konieczności aktywnego klienta, co czyni go bardziej dyskretnym i szybszym niż klasyczny handshake capture.
10. Łamanie haseł – hashcat vs aircrack-ng
| Kryterium | aircrack-ng | hashcat |
|---|---|---|
| Wykorzystanie GPU | Nie | Tak |
| Szybkość (WPA2) | Niska–średnia (CPU) | Bardzo wysoka |
| Wsparcie PMKID | Ograniczone | Natywne (mode 22000) |
| Reguły/maski | Podstawowe | Zaawansowane (rule-based, mask attack) |
Konwersja i łamanie w hashcat:
hashcat -m 22000 hash.22000 /usr/share/wordlists/rockyou.txt
Łamanie hasła (gdy znasz strukturę hasła, np. 8 cyfr):
hashcat -m 22000 hash.22000 -a 3 ?d?d?d?d?d?d?d?d
11. Ataki na WPS
WPS (Wi-Fi Protected Setup) posiada strukturalną słabość w PIN-ie (podział na dwie części po 4 i 3 cyfry), co drastycznie redukuje przestrzeń brute-force.
sudo reaver -i wlan0mon -b <BSSID> -vv
Wiele nowoczesnych routerów blokuje WPS po kilku nieudanych próbach (rate limiting), dlatego ten wektor jest dziś rzadziej skuteczny, ale nadal pojawia się w materiałach egzaminacyjnych jako element pełnego rekonesansu.
12. Rogue AP i Evil Twin
Atak Evil Twin polega na stworzeniu fałszywego punktu dostępowego o identycznym SSID, aby skłonić użytkownika do połączenia i przechwycić dane uwierzytelniające (np. przez fałszywy portal captive).
sudo airbase-ng -e "NazwaSieci" -c <kanał> wlan0mon
Ten wektor wykracza poza podstawowy zakres OSWP, ale warto go znać jako uzupełnienie pełnego audytu bezpieczeństwa WiFi.
13. Typowe błędy kandydatów na egzaminie OSWP
- Brak zabicia procesów kolidujących (
airmon-ng check kill) przed startem – karta wraca do trybu managed, - Zbyt agresywny atak deauth, który zrywa połączenie na stałe zamiast wymusić ponowne uwierzytelnienie,
- Niesprawdzenie poprawności przechwyconego handshake’a przed próbą łamania hasła,
- Poleganie wyłącznie na
rockyou.txtbez próby budowy własnego słownika kontekstowego, - Brak dokumentowania kroków – raport z metodologią jest częścią oceny w OSWP.
14. Checklista przed egzaminem OSWP
- [ ] Znam różnicę między trybem monitora a managed
- [ ] Potrafię ręcznie przeprowadzić pełny atak WPA2 bez wifite
- [ ] Rozumiem strukturę 4-way handshake i wiem, jak go zweryfikować
- [ ] Potrafię przeprowadzić atak PMKID jako alternatywę
- [ ] Znam podstawy ataku na WPS
- [ ] Potrafię skonwertować capture do formatu hashcat
- [ ] Rozumiem koncepcyjne różnice WPA2 vs WPA3/SAE
- [ ] Potrafię udokumentować metodologię testu
15. FAQ – najczęściej zadawane pytania
Czy aircrack-ng działa na WPA3?
Aircrack-ng nie łamie bezpośrednio hasła WPA3-SAE offline w taki sam sposób jak WPA2, ponieważ SAE zapewnia forward secrecy. Praktyczne ataki na WPA3 opierają się głównie na wymuszeniu trybu przejściowego (downgrade) do WPA2 lub na znanych podatnościach implementacyjnych typu Dragonblood.
Czy do zdania OSWP potrzebna jest karta z injection?
Tak, karta obsługująca tryb monitora i wstrzykiwanie pakietów jest niezbędna zarówno do nauki, jak i do egzaminu – bez tego nie da się przeprowadzić ataku deauth ani zweryfikować handshake’a.
Jaka jest różnica między atakiem PMKID a klasycznym handshake capture?
Atak PMKID nie wymaga aktywnego klienta ani ataku deauth – wystarczy pierwsza ramka EAPOL od punktu dostępowego, co czyni go szybszym i bardziej dyskretnym niż klasyczne przechwytywanie 4-way handshake.
Czy wifite wystarczy do zdania OSWP?
Nie. Wifite automatyzuje proces, ale egzamin wymaga wykazania się rozumieniem i ręcznym wykonaniem poszczególnych kroków ataku, dlatego traktuj wifite jako narzędzie wspomagające, a nie substytut wiedzy o airmon-ng, airodump-ng i aireplay-ng.
Czy testowanie własnego routera domowego jest legalne?
Tak, testowanie sprzętu, którego jesteś właścicielem, we własnej sieci jest legalne. Problem prawny pojawia się dopiero przy testowaniu sieci należących do innych osób bez ich pisemnej zgody.
Ten artykuł ma charakter wyłącznie edukacyjny i przygotowuje do legalnej pracy w roli testera penetracyjnego. Zawsze działaj w granicach prawa i posiadanych uprawnień.