Latar
Serangan deauthentication sering dianggap gangguan kecil. Sinyal putus sebentar, perangkat menyambung lagi, selesai. Anggapan itu yang membuat banyak organisasi tidak pernah menganggapnya cukup serius untuk diuji, padahal dampaknya bisa jauh lebih besar dari yang diperkirakan.
Dalam salah satu engagement, klien meminta hal yang cukup spesifik. Mereka ingin menyaksikan langsung, di ruangan, apa yang terjadi pada jaringan nirkabel mereka kalau ketersediaannya diserang. Bukan angka di laporan, tapi bukti yang bisa mereka lihat saat itu juga.
Tulisan ini merangkum apa yang kami lakukan di engagement tersebut, kenapa dampaknya melebihi perkiraan, sejauh mana serangannya bisa berkembang, dan langkah konkret untuk menutup celahnya.
Kenapa Aspek Ketersediaan Jarang Diuji
Kalau bicara keamanan WiFi, hampir semua perhatian tertuju ke kerahasiaan. Seberapa kuat enkripsinya, seberapa panjang password-nya, apakah jaringan tamu terpisah dari internal. Semua penting, tapi semuanya berpusat pada pertanyaan yang sama: bisakah orang lain mengintip data kita.
Yang jarang ditanyakan adalah sebaliknya, yaitu apa yang terjadi kalau jaringan sengaja dibuat tidak bisa dipakai. Padahal di banyak organisasi WiFi bukan lagi fasilitas tambahan, melainkan jalur utama. Laptop, perangkat komunikasi, sampai sebagian sistem operasional bergantung padanya. Ketika lapisan itu tumbang, yang berhenti bukan hanya akses internet, tapi pekerjaannya.
Ketersediaan jaringan nirkabel sebenarnya sama pentingnya dengan kerahasiaan datanya. Karena jarang diuji, kelemahannya sering baru terlihat setelah kejadian.
Cara Kerja Serangan Deauthentication
Untuk memahami kenapa dampaknya bisa seluas itu, perlu melihat sedikit ke level protokol.
Komunikasi WiFi diatur oleh standar 802.11, dan lalu lintasnya terbagi menjadi tiga jenis frame: data frame yang membawa isi, control frame yang mengatur akses ke medium, dan management frame yang mengurus koneksi seperti bergabung dan keluar dari access point. Frame deauthentication termasuk kelompok terakhir.
Persoalannya, pada mayoritas jaringan yang beroperasi saat ini, management frame dikirim tanpa enkripsi dan tanpa autentikasi. Perangkat penerima tidak punya cara memastikan sebuah perintah pemutusan koneksi benar-benar berasal dari access point yang sah. Selama berada dalam jangkauan, sebuah perangkat bisa memalsukan frame deauth atas nama access point mana pun, dan perangkat korban akan mengikutinya.
Dikirim sekali, koneksi putus sesaat. Dikirim terus-menerus, perangkat tidak pernah sempat bertahan; setiap kali menyambung, langsung terputus lagi. Inilah kondisi denial of service pada lapisan nirkabel, dan tidak memerlukan celah yang rumit untuk memicunya.
Persiapan Pengujian
Sebelum masuk ke lokasi, kami memetakan lingkungan WiFi target dan menyiapkan perangkat yang sesuai. Pengujian semacam ini membutuhkan adapter nirkabel yang mendukung monitor mode dan packet injection pada dua band, 2.4 GHz maupun 5 GHz. Dukungan di 5 GHz penting, karena tanpa itu aktivitas pada band tersebut tidak akan terjangkau.
Kami juga menyiapkan skrip untuk mengendalikan jalannya pengujian: memilih target dari hasil pemetaan, berpindah channel agar mencakup kedua band, dan membatasi intensitas serangan sesuai ambang yang disepakati dengan klien. Selain lebih presisi, pendekatan ini memastikan seluruh aktivitas terukur dan bisa dihentikan seketika.
Kontrol semacam ini penting ketika pengujian menyentuh sistem produksi. Kemampuan membatasi dan menghentikan dampak dengan cepat adalah bagian dari tanggung jawab pengujian, bukan pelengkap.
Jalannya Pengujian
Lokasinya organisasi enterprise besar, dengan ribuan perangkat aktif di satu gedung bertingkat dan operasional harian yang bertumpu pada koneksi nirkabel.
Kami memulai dengan reconnaissance pasif untuk memetakan access point aktif, SSID yang disiarkan, channel yang digunakan, dan sebaran perangkat klien. Dari sini terlihat satu detail penting: jaringan mereka dual-band, memancarkan SSID yang sama di 2.4 GHz dan 5 GHz, dengan band steering yang mengarahkan perangkat ke band yang dianggap paling optimal.
Ketika fase uji dimulai dan disaksikan tim IT klien, kami menjalankan serangan melalui skrip yang sudah disiapkan. Perkiraan awal di ruangan cukup seragam, yaitu hanya perangkat 2.4 GHz yang akan terdampak, karena masih banyak yang menganggap serangan ini terbatas di band tersebut.
Kenyataannya, perangkat 5 GHz ikut terputus. Dalam beberapa menit, sebagian besar perangkat di area pengujian kehilangan koneksi dan pekerjaan di area itu terhenti. Hasil ini di luar perkiraan tim IT, karena serangan yang mereka kira terbatas di satu band ternyata berdampak jauh lebih luas.
Setelah dampaknya tervalidasi, serangan segera kami hentikan sesuai kesepakatan, dan jaringan pulih tak lama kemudian.
Kenapa 5 GHz Ikut Terdampak
Frame deauthentication tidak terikat pada band tertentu. Formatnya sama di 2.4 GHz maupun 5 GHz, sehingga selama pengirim berada di channel yang tepat, keduanya sama-sama rentan. Karena pengujian kami mencakup perpindahan channel di kedua band, target di 5 GHz tetap terjangkau.
Konfigurasi jaringan memperburuk keadaan. Karena kedua band menggunakan SSID yang sama dengan band steering aktif, perangkat yang terputus dari satu band otomatis mencoba pindah ke band lain, dan di sana kembali menerima frame deauth. Perangkat terjebak dalam siklus putus dan sambung yang tidak selesai. Fitur yang dirancang untuk membuat pengalaman pengguna lebih mulus justru memperluas jangkauan gangguan.
Server yang Ikut Terputus
Bagian yang paling tidak diantisipasi klien adalah ketika sebagian sistem di sisi server ikut terputus. Persoalan yang mereka kira hanya menyangkut perangkat pengguna ternyata menyentuh sistem yang mereka anggap terpisah.
Penyebabnya sederhana. Sebagian server itu tersambung ke jaringan WiFi yang sama dengan perangkat pengguna, bukan melalui koneksi kabel terpisah. Karena berada di jaringan yang sama, server menerima frame deauthentication seperti perangkat lainnya dan ikut terputus. Serangan yang diasumsikan hanya menyentuh laptop karyawan pada praktiknya menjangkau sistem yang seharusnya tidak bergantung pada WiFi.
Temuan ini menyoroti hal yang sering luput, yaitu aset penting yang tersambung ke jaringan yang sama dengan perangkat umum tanpa disadari. Selama pemetaan aset dan segmentasi belum jelas, sulit memastikan sebuah serangan benar-benar terbatas pada area yang diperkirakan.
Eskalasi ke Captive Portal
Menghentikan operasional saja sudah merupakan dampak yang serius, tapi serangan ini bisa menjadi pijakan untuk hal yang lebih merugikan. Jalur itu juga kami tunjukkan ke klien dalam kondisi yang terkontrol.
Alurnya bertumpu pada perilaku pengguna. Ketika perangkat terus-menerus terputus dari jaringan aslinya, penggunanya cenderung mencari cara apa pun untuk kembali terhubung. Di titik itu, access point palsu yang menyiarkan SSID identik dengan jaringan asli bisa dimanfaatkan. Jaringan sah sedang tidak bisa diandalkan, sinyal palsu dibuat lebih kuat, dan perangkat korban cenderung berpindah ke sana.
Setelah korban terhubung, seluruh lalu lintasnya melewati perangkat penyerang. Dari sini korban dapat diarahkan ke captive portal palsu, yaitu halaman yang menyerupai halaman login WiFi resmi atau halaman autentikasi internal. Pengguna yang tidak curiga memasukkan kredensialnya, dan kredensial itu berpindah ke penyerang.
Dalam demonstrasi, kami tidak mengumpulkan kredensial karyawan sungguhan. Yang kami tunjukkan adalah bahwa jalurnya terbuka: serangan yang tadinya dianggap sebatas gangguan ketersediaan bisa menjadi langkah awal menuju pencurian kredensial. Karena mengandalkan kebiasaan pengguna dan bukan hanya celah teknis, teknik ini sulit ditangkal jika jaringan tidak dirancang untuk mengantisipasinya.
Bagi klien, bagian inilah yang menunjukkan bahwa persoalannya bukan sekadar koneksi terputus.
Akar Masalah
Kondisi seperti ini tidak berasal dari satu kesalahan tunggal, melainkan beberapa faktor mendasar.
- Management frame yang tidak diproteksi. Selama frame ini polos, frame deauth palsu akan selalu diterima dan diproses seolah sah. Ini persoalan yang paling mendasar.
- Aspek ketersediaan yang tidak pernah masuk dalam pengujian. Banyak organisasi menguji seberapa aman datanya dari penyadapan, tapi tidak pernah menguji seberapa tahan jaringannya jika sengaja diganggu.
- Verifikasi keaslian jaringan yang bergantung sepenuhnya pada pengguna. Selama pengguna tidak punya cara mudah membedakan jaringan asli dari yang palsu, evil twin dan captive portal palsu akan selalu punya celah.
- Aset penting yang menumpang di jaringan WiFi yang sama dengan perangkat umum. Tanpa pemetaan aset dan segmentasi yang jelas, sistem yang seharusnya terlindungi bisa ikut terdampak serangan yang menyasar jaringan pengguna.
Rekomendasi
Dari temuan di lapangan, berikut langkah yang paling berdampak jika didahulukan.
- Aktifkan Protected Management Frames (802.11w). Ini mitigasi paling langsung terhadap serangan deauthentication. Dengan 802.11w, management frame dilindungi secara kriptografis sehingga frame deauth palsu ditolak karena keasliannya tidak dapat dibuktikan. WPA3 mewajibkannya secara default, sementara pada WPA2 fitur ini perlu diaktifkan sendiri. Uji kompatibilitas lebih dulu sebelum diberlakukan menyeluruh, karena sebagian perangkat lama mungkin belum mendukung.
- Gunakan autentikasi jaringan yang tidak bergantung pada kewaspadaan pengguna. Untuk membendung eskalasi ke evil twin dan captive portal palsu, jaringan enterprise sebaiknya menggunakan WPA3-Enterprise dengan validasi sertifikat server. Perangkat akan memverifikasi keaslian jaringan sebelum menyambung, sehingga access point palsu tanpa sertifikat yang sah otomatis ditolak.
- Pisahkan aset kritis dari jaringan WiFi pengguna. Server dan sistem penting sebaiknya berada di jaringan yang tersegmentasi, idealnya melalui koneksi kabel terpisah, bukan menumpang di WiFi yang sama dengan perangkat karyawan. Lakukan pemetaan aset untuk memastikan tidak ada sistem penting yang tanpa disadari bergantung pada jaringan nirkabel umum.
- Masukkan pengujian ketahanan ke dalam scope. Pengujian keamanan tidak seharusnya berhenti pada kerahasiaan dan integritas. Ketersediaan jaringan yang menjadi tumpuan operasional perlu diuji dalam kondisi terkontrol agar titik lemahnya diketahui lebih dulu.
- Pasang monitoring pada lapisan nirkabel. Wireless Intrusion Detection System dapat mendeteksi lonjakan frame deauth yang tidak wajar maupun kemunculan access point palsu yang menyiarkan SSID organisasi. Tanpa monitoring, serangan bisa berlangsung tanpa terdeteksi sampai penggunanya sendiri yang merasakan dampaknya.
Penutup
Deauthentication sering diremehkan karena terlihat sesederhana memutus sinyal sebentar. Engagement ini menunjukkan sisi lain dari serangan tersebut: menghentikan operasional satu kantor dalam hitungan menit, memutus perangkat di 2.4 GHz dan 5 GHz sekaligus, ikut memutus server yang tersambung ke WiFi yang sama, dan membuka jalan ke pencurian kredensial melalui captive portal palsu.
Yang membuatnya penting bukan kerumitan tekniknya, tapi kemudahan pelaksanaannya dan luasnya dampak jika jaringan tidak disiapkan. Mitigasinya sudah tersedia, hanya sering belum diaktifkan karena aspek ketersediaan jarang masuk dalam pengujian keamanan.
Menguji ketahanan jaringan dalam kondisi terkontrol, sebelum serangan sungguhan terjadi, adalah cara yang efektif untuk mengetahui titik lemahnya selagi masih bisa diperbaiki.
Jika Anda ingin mengetahui seberapa tahan jaringan nirkabel organisasi Anda terhadap serangan yang menyasar ketersediaannya, tim Security Squad LOGIQUE siap membantu.
