How do you detect and prevent WiFi deauthentication attacks?

Deauthentication frames sent to a broadcast receiver address are a huge red flag. Under normal operation, clients should either disassociate themselves or they AP may deauthenticate a single client or even all clients on a BSSID; however, sending deauthentications to every STA in the vicinity should not usually happen.

IEEE 802.11w. To prevent attacks that use broadcast frames, APs that support CCXv5 do not transmit any broadcast class 3 management frames except deauthentication or rogue containment disassociation frames. CCXv5-compliant client stations must drop broadcast Class 3 management frames. MFP sessions are assumed to be on a properly secured network (strong authentication plus TKIP or CCMP), so disregarding unauthorized contention transmissions is not an issue.

WiFi deauthentication attack: Detection: ? Use network monitoring tools like Wireshark to detect unusual activity. ? Implement intrusion detection systems (IDS) like Kismet or Airodump-ng. ? Set up custom devices like ESP8266 to detect deauthentication packets. Prevention: ? Use WPA3 encryption to validate deauthentication frames and discard spoofed ones. ? Enable the 802.11w protocol for protection against deauthentication and disassociation attacks. ? Segment your network to isolate critical systems. ? Keep router firmware and device drivers updated. ? Encourage VPN use for remote access for additional security.

You can also consider extending the analysis to include disassociation packets 0x0a too, when analyzing your network traffic, as various devices use these in combination with the deauthentication packets e.g. pwnagotchi.

Pour détecter les attaques de désauthentification WiFi, utilisez un outil comme Wireshark pour surveiller le trafic réseau. Recherchez des paquets avec un sous-type 0x0c dans le champ de contr?le de trame, indiquant une désauthentification. Filtrez ces paquets et vérifiez les adresses MAC de l'expéditeur et du destinataire pour identifier s'ils proviennent de sources légitimes. Une détection rapide permet d'agir pour sécuriser le réseau.

The majority of the deauthentication attacks come from tools operating within 2.4GHz networks. If you have a 5GHz network, and a router that supports disabling the 2.4GHz network, and if your devices are within range (as 5GHz has a shorter range than 2.4GHz), leave only the 5GHz network. This might change with the recent market introduction of MCUs like ESP-C5 with 2.4 and 5 GHz dual-band Wi-Fi 6 and Bluetooth 5 connectivity. For now, using only 5GHz networks whenever possible can be an additional layer of deauthentication attack mitigation.

La deuxième étape pour prévenir les attaques de désauthentification WiFi est de renforcer la sécurité de votre réseau. Utilisez un protocole de cryptage fort comme WPA2 ou WPA3 pour rendre plus difficile l’usurpation de paquets par des attaquants. Le filtrage des adresses MAC et les SSID cachés peuvent limiter les cibles potentielles. De plus, un VPN cryptera vos données et masquera votre adresse IP, protégeant ainsi votre identité en ligne.

mesures comme le filtrage des adresses MAC et les SSID cachés. Pour détecter ces usurpations, utilisez Aircrack-ng pour analyser le réseau et comparer les adresses MAC aux informations du fabricant. Toute anomalie peut indiquer une usurpation, permettant de bloquer l'appareil suspect.

These methods seem to require real-time monitoring, or near real-time. That's not practical except in a corporate environment, where you can afford to hire someone to just sit and monitor network traffic!

our prévenir les attaques de désauthentification WiFi, bloquez les paquets usurpés avant qu'ils n'atteignent votre réseau. Utilisez Airmon-ng pour mettre votre carte en mode moniteur et capturer les paquets suspects. Ensuite, injectez des paquets d'authentification avec Aireplay-ng pour perturber les paquets usurpés, maintenant ainsi les appareils connectés. Ces outils sont efficaces pour sécuriser votre réseau en rempla?ant les paquets malveillants par des paquets légitimes.

Pour prévenir les attaques de désauthentification WiFi, activez la norme 802.11w (Protected Management Frames) sur votre réseau, qui chiffre et authentifie les trames de gestion, rendant les attaques plus difficiles. Utilisez des outils comme Airmon-ng et Aireplay-ng pour surveiller et bloquer les paquets usurpés. Vérifiez la compatibilité de vos appareils, car certains anciens modèles peuvent ne pas supporter 802.11w, nécessitant un ajustement de la configuration.

If you want to have some fun, cheap side-project and at the same time be alerted on an attack event, you can build a simple deauthentication detector using an ESP8266 CP2102 NodeMCU and set it up to send you a push notification via a service like Pushover whenever it detects 0x0c or 0x0a packet types. It's much more fun and will give you some immediate clues of attack timing patterns, if any.