এয়ারপোর্ট WiFi নিরাপত্তা: পাবলিক নেটওয়ার্কে যাত্রীদের কীভাবে সুরক্ষিত রাখবেন

এই প্রযুক্তিগত রেফারেন্স গাইডটি এয়ারপোর্ট WiFi-এর নির্দিষ্ট হুমকির পরিস্থিতি বিশদভাবে তুলে ধরে, যার মধ্যে ইভিল টুইন অ্যাক্সেস পয়েন্ট, রোগ হার্ডওয়্যার এবং ম্যান-ইন-দ্য-মিডল আক্রমণ অন্তর্ভুক্ত। এটি IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং ভেন্যু অপারেশনস ডিরেক্টরদের জন্য কার্যকরী স্থাপত্য কৌশল সরবরাহ করে — যার মধ্যে WPA3 বাস্তবায়ন, VLAN বিভাজন, WIPS স্থাপন এবং GDPR-সম্মত Captive Portal ডিজাইন অন্তর্ভুক্ত — যাতে যাত্রীদের এবং এন্টারপ্রাইজ অবকাঠামোকে বৃহৎ পরিসরে সুরক্ষিত রাখা যায়। Purple-এর গেস্ট WiFi এবং অ্যানালিটিক্স প্ল্যাটফর্ম প্রতিটি সমস্যা ডোমেনের সাথে সুনির্দিষ্টভাবে সংযুক্ত করা হয়েছে।

📖 10 মিনিট পাঠ📝 2,287 শব্দ🔧 2 উদাহরণ❓ 3 প্রশ্ন📚 10 মূল শব্দসমূহ

🎧 এই গাইডটি শুনুন

ট্রান্সক্রিপ্ট দেখুন

Welcome to the Purple Technical Briefing. I'm your host, and today we're tackling a critical issue for venue operations directors and network architects: Airport WiFi Security, and specifically, how to protect passengers on public networks.

When passengers search "is airport wifi safe," they're usually worried about someone stealing their credit card details while they wait for a flight. But for you — the IT manager or CTO at a major transport hub — the stakes are much higher. We're talking about GDPR compliance, protecting enterprise infrastructure from lateral movement, and maintaining brand reputation.

Today, we'll dive into the specific threat landscape of airport WiFi — including evil twin access points and rogue access points — and look at concrete architectural decisions you can make to secure your deployment.

Let's get straight into the architecture. Public WiFi in high-density environments like airports presents a unique attack surface. You have thousands of transient devices connecting and disconnecting constantly. The sheer volume of simultaneous connections, combined with the fact that passengers are often distracted and in a hurry, makes airports one of the most targeted environments for wireless attacks.

The most prominent threat is the Evil Twin Access Point. An attacker sets up a portable router broadcasting the exact same SSID as your official network — let's say, "Airport Free WiFi." Because devices automatically connect to known SSIDs with the strongest signal, passengers near the attacker will connect to the malicious access point instead of your infrastructure. From there, the attacker can execute Man-in-the-Middle attacks, intercepting unencrypted traffic, harvesting credentials, and injecting malicious content into web sessions.

What makes this particularly dangerous is how easy it is to execute. A cheap travel router, a laptop, and a few minutes is all an attacker needs. The passenger's device shows a perfectly normal connection — no warning, no indication that anything is wrong.

Then there are Rogue Access Points. These are unauthorized access points physically plugged into your network infrastructure, bypassing your security controls entirely. Sometimes it's malicious — a deliberate attempt to create a backdoor. But more often, it's a well-meaning vendor in a retail concession trying to get better signal for their point-of-sale system, or a member of staff who bought a router from a high street shop and plugged it in under their desk. Either way, the result is the same: a massive vulnerability that bypasses your enterprise firewall, your Network Access Control policies, and your WPA3 enterprise configurations.

So, how do we architect against this?

First, WPA3 is the standard you should be driving toward. WPA3's Opportunistic Wireless Encryption, or OWE, provides individualized encryption for open networks. This means even if the network doesn't require a password, the traffic between the device and the access point is encrypted, mitigating passive eavesdropping. Each client session gets its own unique encryption key, so even if an attacker captures the raw radio traffic, they cannot decrypt other users' sessions.

For authenticated networks — staff, operations, retail tenants — IEEE 802.1X with RADIUS authentication is the correct approach. This ensures that only devices with valid credentials or certificates can access those VLANs, and that each authentication event is logged for compliance purposes.

Second, network segmentation is non-negotiable. Guest traffic must be strictly isolated from staff, operational technology, and retail tenant networks using VLANs. We see flat networks in legacy airport deployments far too often. A flat network means that if a guest device is compromised — or if an attacker connects to the guest network — they have potential visibility to every other device on that same broadcast domain. That includes operational systems, digital signage controllers, and potentially even airside infrastructure in poorly segmented environments.

Client isolation must also be enabled on guest VLANs. This prevents device-to-device communication at Layer 2, so even if two passengers are on the same guest network, they cannot directly attack each other's devices.

Third, robust DNS filtering. By implementing DNS-level security, you prevent devices from resolving known malicious domains, protecting users from phishing sites and preventing malware from calling home, even if the device itself was already infected before it arrived at the airport.

Now let's talk implementation. When deploying these controls, integration is key. This is where a platform like Purple comes in.

A secure captive portal is your first line of onboarding. But it shouldn't just be a terms-and-conditions checkbox that users click through without reading. It needs to handle profile-based authentication securely. Purple acts as a free identity provider for services like OpenRoaming, allowing seamless, secure authentication without users needing to manually select networks and risk connecting to an Evil Twin. With profile-based authentication, the device automatically connects to the correct network using a pre-provisioned credential — eliminating the human error element entirely.

A major pitfall we see in deployments is failing to implement Wireless Intrusion Detection and Prevention Systems — WIDS and WIPS. Your infrastructure must actively scan the radio frequency environment for unauthorized access points and Evil Twins. If your wireless controller detects an unauthorized access point broadcasting your SSID, it should automatically send de-authentication frames to prevent client connections. This is automated containment — the system responds faster than any human operator could.

Another pitfall that's consistently underestimated is the retail concession problem. A coffee shop in Terminal 2 setting up their own insecure router can compromise the broader environment. You need strict policies and technical controls — enforced at the network level, not just in a policy document — to ensure all tenant networks adhere to the airport's security baseline.

Let's hit a few rapid-fire questions.

Does a VPN solve the problem for passengers? Yes — a reputable VPN encrypts all traffic end-to-end, rendering Man-in-the-Middle attacks effectively useless. However, you absolutely cannot rely on passengers having VPNs installed and active. The network itself must be secure by design. The VPN is a passenger's personal safety net; it is not a substitute for proper infrastructure security.

How does Purple's analytics platform integrate with security? Purple's WiFi Analytics provides operational visibility. By understanding device behavior, dwell times, and connection patterns across the terminal, you can spot anomalies that might indicate a security issue — an unusual concentration of devices in a restricted area, or a spike in connection attempts that could indicate a scanning attack.

To summarize: Airport WiFi security isn't just about providing an internet connection. It is about risk mitigation at scale, compliance with GDPR and PCI DSS, and protecting both passengers and enterprise infrastructure from a sophisticated and evolving threat landscape.

The four pillars are: implement WPA3 and Opportunistic Wireless Encryption where supported; enforce strict VLAN segmentation with client isolation; deploy WIPS to automatically detect and contain rogue access points and Evil Twins; and utilize a secure, GDPR-compliant captive portal like Purple for authentication and policy enforcement.

Your next step should be a comprehensive wireless site survey and a security audit of your current SSID configurations, VLAN segmentation, and tenant network policies. If you haven't reviewed your wireless architecture in the last eighteen months, the threat landscape has moved on — and your configuration may not have kept pace.

Thank you for joining this Purple Technical Briefing. Secure your networks, and we'll see you next time.

মূল বিষয়সমূহ

✓Airport WiFi presents a high-risk attack surface: Evil Twin APs and Rogue Access Points are low-cost, high-impact threats that require minimal technical sophistication to deploy.
✓WPA3 with Opportunistic Wireless Encryption (OWE) is the correct standard for public guest networks — it encrypts each session individually without requiring a password.
✓Strict VLAN segmentation and Client Isolation are non-negotiable: guest traffic must be isolated from staff, operations, and retail POS systems, and guest devices must not be able to communicate with each other.
✓WIPS deployment enables automated, machine-speed containment of Evil Twins and Rogue APs — manual detection and response is too slow for the threat.
✓Retail tenants are a primary rogue AP vector: address the root cause by providing managed, segmented connectivity and enforcing 802.1X port authentication on all retail ethernet ports.
✓A secure, GDPR-compliant captive portal directly drives marketing opt-in rates — security investment and commercial ROI are the same investment, not competing priorities.
✓OpenRoaming profile-based authentication eliminates the manual SSID selection step entirely, removing the primary human-error vector for Evil Twin attacks.

নির্বাহী সারসংক্ষেপ

উচ্চ-ঘনত্বের পাবলিক পরিবেশ পরিচালনাকারী CTO এবং IT ডিরেক্টরদের জন্য, "এয়ারপোর্ট WiFi কি নিরাপদ" প্রশ্নটি কোনো গ্রাহক জিজ্ঞাসা নয় — এটি সরাসরি দায়বদ্ধতার প্রভাব সহ একটি সম্মতি এবং অবকাঠামোগত চ্যালেঞ্জ। এয়ারপোর্ট নেটওয়ার্কগুলি একটি অনন্য অস্থির আক্রমণের ক্ষেত্র উপস্থাপন করে: প্রতি ঘন্টায় হাজার হাজার ক্ষণস্থায়ী সংযোগ, ভোক্তা মোবাইল থেকে এন্টারপ্রাইজ ল্যাপটপ পর্যন্ত বিভিন্ন ডিভাইসের প্রকার, এবং গেস্ট, স্টাফ, খুচরা ভাড়াটে এবং অপারেশনাল প্রযুক্তির ট্র্যাফিকের মিশ্রণ এমন অবকাঠামোতে যা প্রায়শই বর্তমান নিরাপত্তা মান থেকে বহু বছর পিছিয়ে থাকে।

প্রাথমিক হুমকিগুলি — ইভিল টুইন অ্যাক্সেস পয়েন্ট (APs) এবং রোগ হার্ডওয়্যার ইনস্টলেশন — হল কম খরচের, উচ্চ-প্রভাবের আক্রমণ যা কার্যকর করতে ন্যূনতম প্রযুক্তিগত দক্ষতার প্রয়োজন হয়। যদি এগুলি সমাধান না করা হয়, তবে তারা যাত্রীদের পরিচয়পত্র চুরি এবং আর্থিক জালিয়াতির ঝুঁকিতে ফেলে, এবং এয়ারপোর্ট অপারেটরকে GDPR প্রয়োগকারী পদক্ষেপ এবং সুনাম ক্ষুণ্নের ঝুঁকিতে ফেলে। Opportunistic Wireless Encryption সহ WPA3 বাস্তবায়ন করে, কঠোর VLAN বিভাজন প্রয়োগ করে, Wireless Intrusion Prevention Systems (WIPS) স্থাপন করে, এবং একটি সুরক্ষিত, GDPR-সম্মত Guest WiFi প্ল্যাটফর্মকে একত্রিত করে, ভেন্যু অপারেটররা নির্বিঘ্ন সংযোগ বজায় রেখে যাত্রীদের ডেটা সুরক্ষিত করতে পারে। Purple-এর WiFi Analytics স্তর এই নিরাপত্তা ভিত্তির উপরে অপারেশনাল ইন্টেলিজেন্স যোগ করে, সুরক্ষিত অনবোর্ডিংকে পরিমাপযোগ্য বাণিজ্যিক ROI-তে রূপান্তরিত করে।

প্রযুক্তিগত গভীর বিশ্লেষণ: এয়ারপোর্ট WiFi হুমকির পরিস্থিতি

এয়ারপোর্ট পরিবেশগুলি ওয়্যারলেস আক্রমণের জন্য সবচেয়ে বেশি লক্ষ্যবস্তু হওয়া পাবলিক স্থানগুলির মধ্যে অন্যতম। উচ্চ যাত্রী সংখ্যা, একটি ক্ষণস্থায়ী ব্যবহারকারী বেস যারা সমস্যা রিপোর্ট করার সম্ভাবনা কম, এবং সংবেদনশীল ডেটা প্রেরণকারী কর্পোরেট ভ্রমণকারীদের উপস্থিতি — এই সব মিলে দূষিত অভিনেতাদের জন্য একটি আদর্শ পরিবেশ তৈরি করে। নির্দিষ্ট হুমকির ভেক্টরগুলি বোঝা একটি কার্যকর প্রতিব্যবস্থা স্থাপত্য ডিজাইন করার পূর্বশর্ত।

ইভিল টুইন অ্যাক্সেস পয়েন্ট

একটি ইভিল টুইন হল একটি দূষিত AP যা বৈধ এয়ারপোর্ট নেটওয়ার্কের সঠিক Service Set Identifier (SSID) সম্প্রচার করার জন্য কনফিগার করা হয়েছে — উদাহরণস্বরূপ, "Airport Free WiFi" বা "LHR_Passenger_WiFi"। কারণ স্ট্যান্ডার্ড ক্লায়েন্ট ডিভাইসগুলি SSID ম্যাচিং এবং সিগন্যাল শক্তির উপর ভিত্তি করে স্বয়ংক্রিয় নেটওয়ার্ক নির্বাচন বাস্তবায়ন করে, যদি ইভিল টুইন বৈধ অবকাঠামোর চেয়ে শক্তিশালী সিগন্যাল উপস্থাপন করে তবে একজন যাত্রীর ডিভাইস অগ্রাধিকারমূলকভাবে এর সাথে সংযুক্ত হবে। এটি সহজেই অর্জনযোগ্য: কাছাকাছি একটি আসন থেকে সর্বোচ্চ শক্তিতে সম্প্রচারকারী একটি পোর্টেবল রাউটার নিয়ন্ত্রিত পাওয়ার স্তরে পরিচালিত একটি সিলিং-মাউন্টেড এন্টারপ্রাইজ AP-কে ছাড়িয়ে যাবে।

একবার একটি ক্লায়েন্ট ইভিল টুইনের সাথে সংযুক্ত হলে, আক্রমণকারী বিভিন্ন শ্রেণীর আক্রমণ চালাতে পারে। প্যাসিভ ইন্টারসেপশন এনক্রিপ্ট না করা HTTP ট্র্যাফিক, DNS ক্যোয়ারী এবং সেশন কুকি ক্যাপচার করে। SSL স্ট্রিপিং রিয়েল টাইমে HTTPS সংযোগগুলিকে HTTP-তে ডাউনগ্রেড করে, এমন সাইটগুলিতে পরিচয়পত্র প্রকাশ করে যা HTTP Strict Transport Security (HSTS) প্রয়োগ করে না। DNS স্পুফিং ব্যবহারকারীদের ফিশিং পৃষ্ঠাগুলিতে পুনঃনির্দেশিত করে যা ব্যাঙ্কিং পোর্টাল বা এয়ারলাইন বুকিং সিস্টেমের অনুকরণ করে। যাত্রী কোনো সতর্কীকরণ সূচক ছাড়াই একটি স্বাভাবিক সংযোগ দেখতে পান, কারণ ইভিল টুইন তার নিজস্ব আপস্ট্রিম সংযোগের মাধ্যমে প্রকৃত ইন্টারনেট অ্যাক্সেস সরবরাহ করছে — আক্রমণটি শেষ ব্যবহারকারীর কাছে সম্পূর্ণরূপে স্বচ্ছ।

একজন আক্রমণকারীর জন্য অপারেশনাল খরচ ন্যূনতম: একটি ভোক্তা-গ্রেডের ট্র্যাভেল রাউটার, ওপেন-সোর্স টুলস চালিত একটি ল্যাপটপ এবং ডিপারচার লাউঞ্জে একটি আসন। আক্রমণটির জন্য এয়ারপোর্টের অবকাঠামোতে কোনো শারীরিক অ্যাক্সেসের প্রয়োজন হয় না।

রোগ অ্যাক্সেস পয়েন্ট

রোগ APs হল অননুমোদিত ডিভাইস যা এয়ারপোর্টের তারযুক্ত নেটওয়ার্ক অবকাঠামোতে শারীরিকভাবে সংযুক্ত থাকে। ইভিল টুইনগুলির বিপরীতে, যা সম্পূর্ণরূপে বাতাসের মাধ্যমে কাজ করে, রোগ APs একটি অভ্যন্তরীণ হুমকির ভেক্টর উপস্থাপন করে — তাদের একটি নেটওয়ার্ক পোর্টে শারীরিক অ্যাক্সেসের প্রয়োজন হয়। তবে, শত শত খুচরা ছাড়, পরিষেবা ঠিকাদার এবং পরিচ্ছন্নতা কর্মী সহ একটি বড় এয়ারপোর্ট পরিবেশে, নেটওয়ার্ক পোর্টগুলিতে শারীরিক অ্যাক্সেস পাওয়া কঠিন নয়।

রোগ APs-এর সবচেয়ে সাধারণ উৎস দূষিত অভিনেতারা নয় বরং সু-উদ্দেশ্যপূর্ণ কর্মীরা। টার্মিনাল 3-এর একজন খুচরা বিক্রেতা যিনি দুর্বল WiFi কভারেজের সম্মুখীন হচ্ছেন, তিনি একটি ভোক্তা-গ্রেডের রাউটার কিনে তাদের কাউন্টারের পিছনের ইথারনেট পোর্টে প্লাগ করেন। রাউটারটি তার নিজস্ব SSID সম্প্রচার করে, এন্টারপ্রাইজ ফায়ারওয়াল, Network Access Control (NAC) নীতি এবং WPA3 এন্টারপ্রাইজ কনফিগারেশনগুলিকে বাইপাস করে, এবং পাবলিক ইন্টারনেট থেকে এয়ারপোর্টের অভ্যন্তরীণ নেটওয়ার্কে একটি সরাসরি, অব্যবস্থাপিত পথ তৈরি করে। সেই মুহূর্ত থেকে, রোগ AP-এর সাথে সংযুক্ত যেকোনো ডিভাইস — তা বিক্রেতার POS টার্মিনাল হোক বা একজন যাত্রী যিনি সংযোগ করেন — এমন সিস্টেমগুলিতে সম্ভাব্য নেটওয়ার্ক-স্তরের অ্যাক্সেস পায় যা সম্পূর্ণরূপে বিচ্ছিন্ন থাকা উচিত।

Transport অপারেটর এবং এয়ারপোর্ট IT দলগুলির জন্য, রোগ AP সমস্যাটি পরিবেশের স্কেল দ্বারা আরও জটিল হয়। একটি প্রধান আন্তর্জাতিক এয়ারপোর্টে টার্মিনাল, খুচরা ইউনিট, লাউঞ্জ এবং ব্যাক-অফ-হাউস এলাকা জুড়ে শত শত নেটওয়ার্ক পোর্ট বিতরণ করা থাকতে পারে। স্বয়ংক্রিয় সনাক্তকরণ সরঞ্জাম ছাড়া ম্যানুয়াল অডিটিং অবাস্তব।

ম্যান-ইন-দ্য-মিডল আক্রমণ

ইভিল টুইন এবং রোগ AP উভয় পরিস্থিতিই ম্যান-ইন-দ্য-মিডল (MitM) আক্রমণ সক্ষম করে, যেখানে আক্রমণকারী ক্লায়েন্ট ডিভাইস এবং বৈধ নেটওয়ার্কের মধ্যে নিজেদের অবস্থান করে। একটি MitM পরিস্থিতিতে, আক্রমণকারী উভয় দিকে ট্র্যাফিক ইন্টারসেপ্ট, পড়তে এবং পরিবর্তন করতে পারে। আধুনিক TLS এনক্রিপশন HTTPS ট্র্যাফিকের উপর MitM আক্রমণের প্রভাব উল্লেখযোগ্যভাবে হ্রাস করে, তবে আক্রমণের ক্ষেত্রটি তাৎপর্যপূর্ণ থাকে: এনক্রিপ্ট না করা প্রোটোকল, ভুলভাবে কনফিগার করা TLS বাস্তবায়ন, এবং উত্তরাধিকার অ্যাপ্লিকেশনগুলির ব্যবহার যা সার্টিফিকেট বৈধতা প্রয়োগ করে না — এই সবগুলি শোষণযোগ্য ফাঁক তৈরি করে।

কর্পোরেট ভ্রমণকারীদের জন্য — একটি উল্লেখযোগ্য অনুপাত বিমানবন্দর WiFi ব্যবহারকারীরা — VPN ক্রেডেনশিয়াল ক্যাপচার বা কর্পোরেট ইমেল সেশন হাইজ্যাকিং লক্ষ্য করে MitM আক্রমণগুলি একটি উচ্চ-মূল্যের আক্রমণ ভেক্টরকে প্রতিনিধিত্ব করে যা ব্যক্তিগত যাত্রীর বাইরেও ক্ষতির ব্যাপ্তি প্রসারিত করে।

বাস্তবায়ন নির্দেশিকা: সুরক্ষিত আর্কিটেকচার

বিমানবন্দর WiFi হুমকির মোকাবিলায় একটি স্তরযুক্ত, গভীর-প্রতিরক্ষা আর্কিটেকচার প্রয়োজন। কোনো একক নিয়ন্ত্রণই যথেষ্ট নয়; লক্ষ্য হল আক্রমণের প্রতিটি পরবর্তী স্তরকে ক্রমশ আরও কঠিন এবং সনাক্তযোগ্য করে তোলা।

স্তর 1: এনক্রিপশন এবং প্রমাণীকরণ মান

WPA3-তে রূপান্তর হল মৌলিক প্রয়োজন। উন্মুক্ত পাবলিক নেটওয়ার্কগুলির জন্য, WPA3 Opportunistic Wireless Encryption (OWE) প্রবর্তন করে, যা IEEE 802.11-2020-এ সংজ্ঞায়িত। OWE একটি শেয়ার করা পাসওয়ার্ড বা প্রি-শেয়ার্ড কী প্রয়োজন ছাড়াই প্রতিটি ক্লায়েন্ট সেশনের জন্য ব্যক্তিগতকৃত এনক্রিপশন সরবরাহ করে। প্রতিটি ক্লায়েন্ট-AP অ্যাসোসিয়েশন একটি অনন্য ডিফি-হেলম্যান কী এক্সচেঞ্জ নিয়ে আলোচনা করে, যার অর্থ হল যদি একজন আক্রমণকারী পুরো টার্মিনালের কাঁচা রেডিও ফ্রিকোয়েন্সি ট্র্যাফিক ক্যাপচার করে, তবুও তারা কোনো ব্যক্তিগত সেশন ডিক্রিপ্ট করতে পারবে না। এটি সরাসরি প্যাসিভ ইভসড্রপিং হ্রাস করে এবং উন্মুক্ত নেটওয়ার্ক ইন্টারসেপশনের প্রাথমিক আক্রমণ ভেক্টরকে দূর করে।

প্রমাণীকৃত নেটওয়ার্ক সেগমেন্টগুলির জন্য — কর্মী, অপারেশন, খুচরা ভাড়াটে — RADIUS প্রমাণীকরণ সহ IEEE 802.1X হল সঠিক মান। 802.1X নেটওয়ার্ক অ্যাক্সেস মঞ্জুর করার আগে প্রতি-ডিভাইস প্রমাণীকরণ প্রয়োগ করে, প্রতিটি প্রমাণীকরণ ইভেন্ট সম্মতি এবং নিরীক্ষার উদ্দেশ্যে লগ করা হয়। সার্টিফিকেট-ভিত্তিক Extensible Authentication Protocol (EAP-TLS) এর সাথে মিলিত হয়ে, এটি কর্মীদের নেটওয়ার্কের বিরুদ্ধে ক্রেডেনশিয়াল-ভিত্তিক আক্রমণ সম্পূর্ণরূপে দূর করে।

নির্বিঘ্ন যাত্রী অনবোর্ডিং অন্বেষণকারী স্থানগুলির জন্য, OpenRoaming — Wireless Broadband Alliance-এর ফেডারেল আইডেন্টিটি স্ট্যান্ডার্ড — প্রোফাইল-ভিত্তিক প্রমাণীকরণ সরবরাহ করে যা যাত্রীদের ম্যানুয়াল SSID নির্বাচন ছাড়াই স্বয়ংক্রিয়ভাবে যাচাইকৃত নেটওয়ার্কগুলির সাথে সংযুক্ত করে। Purple তার Connect লাইসেন্সের অধীনে OpenRoaming ইকোসিস্টেমের মধ্যে একটি বিনামূল্যে পরিচয় প্রদানকারী হিসাবে কাজ করে, যা বিমানবন্দরগুলিকে নির্বিঘ্ন, সুরক্ষিত সংযোগ সরবরাহ করতে সক্ষম করে যা নেটওয়ার্ক নির্বাচনের মানবিক ত্রুটির উপাদানকে সরিয়ে দেয়। এটি Evil Twin হুমকির সাথে সরাসরি প্রাসঙ্গিক: যদি একজন যাত্রীর ডিভাইস একটি যাচাইকৃত প্রোফাইলের মাধ্যমে স্বয়ংক্রিয়ভাবে সংযুক্ত হয়, তবে এটি একই SSID সম্প্রচারকারী একটি Evil Twin-এর সাথে সংযুক্ত হবে না।

স্তর 2: নেটওয়ার্ক সেগমেন্টেশন এবং ক্লায়েন্ট আইসোলেশন

অতিথি ট্র্যাফিককে অবশ্যই অপারেশনাল টেকনোলজি (OT), কর্মীদের নেটওয়ার্ক এবং খুচরা পয়েন্ট-অফ-সেল (POS) সিস্টেম থেকে AP স্তরে কঠোর VLAN ট্যাগিং ব্যবহার করে সম্পূর্ণরূপে বিচ্ছিন্ন রাখতে হবে। একটি বিমানবন্দর পরিবেশের জন্য একটি ন্যূনতম সেগমেন্টেশন মডেলে অন্তর্ভুক্ত থাকা উচিত: একটি পাবলিক গেস্ট VLAN (শুধুমাত্র ইন্টারনেট অ্যাক্সেস, কোনো অভ্যন্তরীণ রাউটিং নয়), একটি স্টাফ VLAN (802.1X এর মাধ্যমে প্রমাণীকৃত, অভ্যন্তরীণ সিস্টেমে অ্যাক্সেস), একটি রিটেল টেন্যান্ট VLAN (অতিথি এবং কর্মী উভয় থেকে বিচ্ছিন্ন, POS সিস্টেমের জন্য ইন্টারনেট অ্যাক্সেস), এবং একটি অপারেশনস VLAN (এয়ার-গ্যাপড বা কঠোরভাবে ফায়ারওয়াল করা, ডিজিটাল সাইনেজ, বিল্ডিং ম্যানেজমেন্ট এবং এয়ারসাইড সিস্টেমের জন্য)।

ক্লায়েন্ট আইসোলেশন — একই VLAN-এর ডিভাইসগুলির মধ্যে স্তর 2 আইসোলেশন — অবশ্যই গেস্ট VLAN-এ সক্ষম করতে হবে। ক্লায়েন্ট আইসোলেশন ছাড়া, একই গেস্ট নেটওয়ার্কের সাথে সংযুক্ত দুইজন যাত্রী সরাসরি IP স্তরে যোগাযোগ করতে পারে, যা ডিভাইস-টু-ডিভাইস আক্রমণ সক্ষম করে। এটি ওয়্যারলেস কন্ট্রোলারের একটি কনফিগারেশন সেটিং যা প্রায়শই লিগ্যাসি স্থাপনাগুলিতে উপেক্ষা করা হয়।

বিমানবন্দর টার্মিনালের মধ্যে পরিচালিত Hospitality এবং Retail পরিবেশের জন্য, একই সেগমেন্টেশন নীতিগুলি প্রযোজ্য। একটি হোটেল এয়ারসাইড লাউঞ্জ বা একটি খুচরা কনসেশনকে একটি অবিশ্বস্ত নেটওয়ার্ক সেগমেন্ট হিসাবে বিবেচনা করতে হবে, বিমানবন্দর অপারেটরের সাথে বাণিজ্যিক সম্পর্ক নির্বিশেষে।

স্তর 3: ওয়্যারলেস ইন্ট্রুশন ডিটেকশন এবং প্রিভেনশন (WIDS/WIPS)

একটি Wireless Intrusion Prevention System হল Evil Twin এবং রোগ AP উভয় হুমকির বিরুদ্ধে প্রাথমিক স্বয়ংক্রিয় প্রতিরক্ষা। WIPS-কে অবশ্যই সমস্ত চ্যানেল এবং ব্যান্ড জুড়ে (Wi-Fi 6E স্থাপনার জন্য 2.4 GHz, 5 GHz, এবং 6 GHz) রেডিও ফ্রিকোয়েন্সি পরিবেশ ক্রমাগত স্ক্যান করার জন্য কনফিগার করতে হবে যাতে অননুমোদিত SSID, MAC অ্যাড্রেস স্পুফিং এবং ডিঅথেন্টিকেশন ফ্লাড আক্রমণ সনাক্ত করা যায়।

একটি Evil Twin সনাক্ত করার পর — যা একটি SSID ম্যাচ এবং একটি BSSID দ্বারা চিহ্নিত হয় যা পরিচালিত অবকাঠামোর কোনো অনুমোদিত AP-এর সাথে সঙ্গতিপূর্ণ নয় — WIPS স্বয়ংক্রিয়ভাবে কন্টেইনমেন্ট স্থাপন করবে। কন্টেইনমেন্টে দূষিত AP-এর সাথে সংযুক্ত হওয়ার চেষ্টাকারী ক্লায়েন্টদের কাছে লক্ষ্যযুক্ত IEEE 802.11 ডি-অথেন্টিকেশন ফ্রেম প্রেরণ করা জড়িত, যা সফল সংযোগ প্রতিরোধ করে। এটি মেশিন গতিতে স্বয়ংক্রিয় প্রতিক্রিয়া, যা কোনো মানব অপারেটরের হস্তক্ষেপের চেয়ে অনেক দ্রুত।

রোগ AP সনাক্তকরণের জন্য, WIPS ওভার-দ্য-এয়ার পর্যবেক্ষণগুলিকে তারযুক্ত নেটওয়ার্ক টপোলজির সাথে সম্পর্কযুক্ত করে। একটি AP যা বাতাসে সম্প্রচার করছে এবং তারযুক্ত নেটওয়ার্কে একটি সংযুক্ত ডিভাইস হিসাবেও প্রদর্শিত হচ্ছে — কিন্তু অনুমোদিত AP ইনভেন্টরিতে নেই — তাকে রোগ হিসাবে চিহ্নিত করা হয়। সিস্টেমটি তখন ডিভাইসটিকে শারীরিকভাবে সংযোগ বিচ্ছিন্ন করার জন্য পরিচালিত সুইচে স্বয়ংক্রিয় পোর্ট শাটডাউন ট্রিগার করতে পারে।

স্তর 4: DNS ফিল্টারিং এবং সুরক্ষিত Captive Portal ডিজাইন

DNS-স্তরের ফিল্টারিং ব্যবহারকারীদের দূষিত ডোমেন থেকে রক্ষা করার জন্য একটি গুরুত্বপূর্ণ নিয়ন্ত্রণ সরবরাহ করে, ডিভাইসের নিজস্ব নিরাপত্তা অবস্থা নির্বিশেষে। একটি ফিল্টারিং রিজলভারের মাধ্যমে সমস্ত DNS ক্যোয়ারী রাউট করার মাধ্যমে, নেটওয়ার্ক পরিচিত ফিশিং ডোমেন, কমান্ড-এন্ড-কন্ট্রোল অবকাঠামো এবং ম্যালওয়্যার বিতরণ সাইটগুলির রেজোলিউশন ব্লক করতে পারে। এটি একটি বিমানবন্দর প্রসঙ্গে বিশেষভাবে মূল্যবান যেখানে যাত্রীরা আগমনের আগে সংক্রামিত আপোসকৃত ডিভাইসগুলি সংযুক্ত করতে পারে।

আমাদের Protect Your Network with Strong DNS and Security নির্দেশিকায় বিস্তারিতভাবে বলা হয়েছে, রিজলভার সংযোগের জন্য DNS over HTTPS (DoH) বা DNS over TLS (DoT) বাস্তবায়ন ট্রানজিটে DNS ক্যোয়ারীগুলিকে বাধা দেওয়া বা স্পুফ করা থেকে রক্ষা করে — WIPS কন্টেইনমেন্ট যখন ধরতে না পারে তখন এটি একটি প্রাসঙ্গিক বিবেচনা।প্রতিটি Evil Twin অবিলম্বে।

যাত্রীদের জন্য Captive Portal হল প্রাথমিক অনবোর্ডিং টাচপয়েন্ট এবং এটিকে অবশ্যই নিরাপত্তা একটি প্রথম-ক্রমের প্রয়োজনীয়তা হিসাবে ডিজাইন করতে হবে, কোনো পরবর্তী চিন্তা হিসাবে নয়। পোর্টালটি অবশ্যই একটি বিশ্বস্ত সার্টিফিকেট অথরিটি থেকে একটি বৈধ সার্টিফিকেট সহ HTTPS এর মাধ্যমে পরিবেশন করা উচিত। অনবোর্ডিং ফর্মটি অবশ্যই উল্লিখিত উদ্দেশ্যের জন্য প্রয়োজনীয় ডেটা (GDPR Article 5 ডেটা মিনিমাইজেশন নীতি) সংগ্রহ করবে, যেকোনো বিপণনের ব্যবহারের জন্য সুস্পষ্ট, দানাদার সম্মতি প্রক্রিয়া সহ। Purple-এর Captive Portal প্ল্যাটফর্মটি এই সম্মতি প্রয়োজনীয়তার জন্য বিশেষভাবে তৈরি করা হয়েছে, যা GDPR-সম্মত ডেটা ক্যাপচার, সম্মতি ব্যবস্থাপনা এবং অ্যানালিটিক্স স্তরের সাথে নির্বিঘ্ন ইন্টিগ্রেশন প্রদান করে। একাধিক টার্মিনাল বিমানবন্দর পরিবেশে এটি কীভাবে কাজ করে তার প্রেক্ষাপটের জন্য, দেখুন Airport WiFi: How Operators Deliver Connectivity Across Terminals এবং ইতালীয় ভাষার সমতুল্য WiFi Aeroportuale ।

স্তর 5: অ্যানালিটিক্স, মনিটরিং এবং ক্রমাগত উন্নতি

নিরাপত্তা এককালীন স্থাপন নয়; এর জন্য প্রয়োজন ক্রমাগত পর্যবেক্ষণ এবং পুনরাবৃত্তিমূলক উন্নতি। Purple-এর WiFi Analytics প্ল্যাটফর্মটি অপারেশনাল দৃশ্যমানতা স্তর সরবরাহ করে যা কাঁচা সংযোগ ডেটাকে কার্যকর বুদ্ধিমত্তায় রূপান্তরিত করে। ডিভাইস সংযোগের ধরণ, ডওয়েল টাইম এবং সেশন অস্বাভাবিকতা পর্যবেক্ষণ করে, নেটওয়ার্ক অপারেশন দলগুলি আপসের সূচকগুলি সনাক্ত করতে পারে — অস্বাভাবিক সংযোগ বৃদ্ধি, অপ্রত্যাশিত শারীরিক অবস্থান থেকে ডিভাইস সংযোগ, বা প্রমাণীকরণ ব্যর্থতার ধরণ যা একটি স্ক্যানিং আক্রমণের ইঙ্গিত দেয়।

অ্যানালিটিক্স স্তরটি নিরাপত্তা বিনিয়োগের জন্য বাণিজ্যিক ন্যায্যতাও প্রদান করে। উচ্চতর যাত্রী অপ্ট-ইন হার — একটি বিশ্বস্ত, নিরাপদ অনবোর্ডিং অভিজ্ঞতার দ্বারা চালিত — সমৃদ্ধ প্রথম-পক্ষ ডেটা সেট তৈরি করে। এই ডেটা লক্ষ্যযুক্ত বিপণন, খুচরা ফুটফল বিশ্লেষণ এবং টার্মিনাল লেআউট অপ্টিমাইজেশন সক্ষম করে, যা অবকাঠামো বিনিয়োগে পরিমাপযোগ্য ROI প্রদান করে। বিমানবন্দর চিকিৎসা সুবিধাগুলিতে WiFi পরিচালনা করা Healthcare পরিবেশের জন্য, একই অ্যানালিটিক্স কাঠামো অতিরিক্ত GDPR বিশেষ শ্রেণীর ডেটা নিয়ন্ত্রণ সহ প্রযোজ্য।

সর্বোত্তম অনুশীলন এবং ঝুঁকি প্রশমন

প্রযুক্তিগত স্তরে খুচরা ভাড়াটে নেটওয়ার্ক নীতিগুলি প্রয়োগ করুন। নীতি নথিগুলি অপর্যাপ্ত। খুচরা ছাড়গুলিকে অবশ্যই পরিচালিত, সেগমেন্টেড নেটওয়ার্ক অ্যাক্সেস প্রদান করতে হবে — ইন্টারনেট অ্যাক্সেস সহ একটি ডেডিকেটেড VLAN এবং কোনো অভ্যন্তরীণ রাউটিং নয় — এবং তাদের ইউনিটের ফিজিক্যাল নেটওয়ার্ক পোর্টগুলি 802.1X পোর্ট প্রমাণীকরণ বা MAC অ্যাড্রেস অ্যালাউলিস্টিংয়ের মাধ্যমে অননুমোদিত হার্ডওয়্যার প্রত্যাখ্যান করার জন্য কনফিগার করা উচিত। পর্যাপ্ত, পরিচালিত সংযোগ প্রদানের মাধ্যমে রগ AP স্থাপনের প্রণোদনা সরিয়ে দিন।

নিয়মিত RF সাইট সার্ভে পরিচালনা করুন। ত্রৈমাসিক শারীরিক এবং RF সাইট সার্ভেগুলি অননুমোদিত হার্ডওয়্যার সনাক্ত করে যা WIPS সিগন্যাল অ্যাটেন্যুয়েশন, শারীরিক বাধা, বা ইচ্ছাকৃত RF শিল্ডিংয়ের কারণে মিস করতে পারে। একটি সার্ভেতে সমস্ত টার্মিনাল, লাউঞ্জ, খুচরা ইউনিট এবং ব্যাক-অফ-হাউস এলাকাগুলি কভার করা উচিত। অনুমোদিত AP ইনভেন্টরি নথিভুক্ত করুন এবং সার্ভে ফলাফলের সাথে তুলনা করুন।

গুরুত্বপূর্ণ অবকাঠামোর জন্য একটি লিজড লাইন বা ডেডিকেটেড বিজনেস ইন্টারনেট সংযোগ প্রয়োগ করুন। What Is a Leased Line? Dedicated Business Internet সম্পর্কিত আমাদের গাইডে যেমন আলোচনা করা হয়েছে, একটি ডেডিকেটেড, নিরবচ্ছিন্ন সংযোগে গুরুত্বপূর্ণ অপারেশনাল ট্র্যাফিক আলাদা করা নিশ্চিত করে যে গেস্ট নেটওয়ার্কে একটি DDoS আক্রমণ বা ব্যান্ডউইথ শেষ হওয়ার ঘটনা এয়ারসাইড অপারেশন সিস্টেমগুলিকে প্রভাবিত করতে পারবে না।

ঘটনা প্রতিক্রিয়া পদ্ধতি পরীক্ষা করুন। একটি Evil Twin সনাক্তকরণ ইভেন্টের অনুকরণে টেবিলটপ অনুশীলন পরিচালনা করুন। যাচাই করুন যে WIPS কন্টেনমেন্ট কাজ করছে, NOC টিম এস্কেলেশন পদ্ধতি জানে এবং যাত্রী-মুখী যোগাযোগগুলি এমন একটি পরিস্থিতির জন্য প্রস্তুত যেখানে গেস্ট নেটওয়ার্ক সাময়িকভাবে স্থগিত করতে হতে পারে।

ROI এবং ব্যবসায়িক প্রভাব

নেটওয়ার্ক সুরক্ষিত করা বাণিজ্যিক মূল্যের ভিত্তি, বিচ্ছিন্নভাবে একটি ব্যয় কেন্দ্র নয়। একটি সুরক্ষিত, নির্ভরযোগ্য এবং বিশ্বস্ত গেস্ট WiFi নেটওয়ার্ক সরাসরি Captive Portal-এ যাত্রী অপ্ট-ইন হার বাড়ায়। উচ্চতর অপ্ট-ইন হার বৃহত্তর, উচ্চ-মানের প্রথম-পক্ষ ডেটা সেট তৈরি করে। এই ডেটা বিমানবন্দর অপারেটরকে ব্যক্তিগতকৃত খুচরা প্রচার সরবরাহ করতে, বাস্তব ফুটফল ডেটার উপর ভিত্তি করে টার্মিনাল লেআউট অপ্টিমাইজ করতে এবং আনুগত্য প্রোগ্রাম তৈরি করতে সক্ষম করে যা পুনরাবৃত্ত ব্যস্ততা চালায়।

একটি নিরাপত্তা ঘটনার খরচ — GDPR প্রয়োগকারী পদক্ষেপ, সুনাম ক্ষয়, এবং ঘটনা প্রতিক্রিয়ার অপারেশনাল খরচ — এই গাইডে বর্ণিত নিরাপত্তা নিয়ন্ত্রণ স্থাপনের খরচের চেয়ে অনেক বেশি। UK ইনফরমেশন কমিশনারের অফিস ডেটা সুরক্ষা ব্যর্থতার জন্য UK GDPR এর অধীনে £17.5 মিলিয়ন পর্যন্ত জরিমানা জারি করেছে। একটি প্রধান আন্তর্জাতিক বিমানবন্দরের জন্য যা বার্ষিক লক্ষ লক্ষ যাত্রী সংযোগ প্রক্রিয়া করে, ঝুঁকির এক্সপোজার উল্লেখযোগ্য।

Purple-এর প্ল্যাটফর্মটি বাণিজ্যিক ফলাফলের সাথে নিরাপত্তা বিনিয়োগকে সারিবদ্ধ করার জন্য ডিজাইন করা হয়েছে। সুরক্ষিত Captive Portal, GDPR-সম্মত ডেটা ক্যাপচার এবং অ্যানালিটিক্স স্তর একটি একক সমন্বিত স্থাপন — তিনটি পৃথক সংগ্রহ অনুশীলন নয়। এটি মালিকানার মোট খরচ হ্রাস করে এবং একই সাথে IT এবং বিপণন দলগুলির জন্য সময়-থেকে-মূল্যকে ত্বরান্বিত করে।

মূল শব্দ ও সংজ্ঞা

Evil Twin Access Point

A malicious wireless access point that masquerades as a legitimate network by broadcasting the same SSID, designed to intercept user data via Man-in-the-Middle attacks.

Common in airport terminals where attackers exploit devices auto-connecting to known SSIDs based on signal strength. Mitigated by OWE encryption and WIPS containment.

Rogue Access Point

An unauthorized wireless access point physically connected to the enterprise wired network, bypassing security controls including firewalls, NAC policies, and enterprise WiFi configurations.

Often installed by retail tenants or staff seeking better coverage. Addressed by 802.1X port authentication on all ethernet ports and automated WIPS detection.

Opportunistic Wireless Encryption (OWE)

A WPA3 feature defined in IEEE 802.11-2020 that provides individualized, session-unique encryption for open networks without requiring a shared password, using Diffie-Hellman key exchange.

The correct encryption standard for public airport guest networks. Eliminates passive eavesdropping without adding authentication friction for passengers.

Wireless Intrusion Prevention System (WIPS)

Network infrastructure that continuously monitors the radio frequency spectrum for unauthorized access points, Evil Twins, and attack signatures, and automatically deploys countermeasures including de-authentication frames.

The primary automated defense against Evil Twin and rogue AP threats in high-density environments. Must be configured to cover all frequency bands including 6 GHz for Wi-Fi 6E deployments.

Client Isolation

A wireless network configuration that prevents devices connected to the same SSID from communicating directly with each other at Layer 2, restricting all traffic to the gateway.

Mandatory on Guest VLANs to prevent device-to-device attacks. A simple configuration setting that is frequently absent in legacy deployments.

VLAN Segmentation

The practice of dividing a physical network into multiple logical networks using IEEE 802.1Q VLAN tags to isolate traffic types and enforce access control boundaries.

Used to separate untrusted guest traffic from secure airport operations, staff systems, and retail POS infrastructure. Eliminates lateral movement risk from compromised guest devices.

IEEE 802.1X

An IEEE standard for port-based Network Access Control that requires devices to authenticate before being granted network access, typically via a RADIUS server.

The authentication standard for staff and operations VLANs, and for port-level enforcement on retail ethernet ports to prevent rogue AP deployment.

OpenRoaming

A Wireless Broadband Alliance federation standard that enables automatic, seamless WiFi authentication across participating networks using pre-provisioned device profiles, without manual SSID selection.

Directly mitigates Evil Twin attacks by removing the manual network selection step. Purple operates as a free identity provider within the OpenRoaming ecosystem under its Connect licence.

Man-in-the-Middle (MitM) Attack

An attack where the perpetrator secretly intercepts, relays, and potentially modifies communications between two parties who believe they are communicating directly.

The primary goal of Evil Twin deployments. Mitigated by OWE encryption at the radio layer and HSTS enforcement at the application layer.

Captive Portal

A web page presented to new users of a public network before they are granted internet access, used for authentication, terms acceptance, and data collection.

The primary passenger onboarding touchpoint. Must be served over HTTPS with a valid certificate and designed for GDPR compliance including explicit consent mechanisms.

কেস স্টাডিজ

A major international airport is upgrading Terminal 3. The current network is flat — all devices, including retail POS systems, digital signage, and passenger devices, share the same broadcast domain. Retail vendors frequently complain about poor connectivity, leading them to install their own consumer-grade routers. The IT director needs a redesign that addresses security without disrupting commercial operations during a phased rollout.

Phase 1 — VLAN Architecture: Design four VLANs: Public Guest (internet-only, client isolation enabled), Staff (802.1X authenticated, internal access), Retail Tenant (internet-only, isolated from guest and staff, 802.1X port authentication on all retail ethernet ports), and Operations (air-gapped, for signage and building management). Phase 2 — Rogue AP Elimination: Enable 802.1X port authentication on all retail ethernet ports. Any device without a valid certificate is denied network access, eliminating the ability to plug in unauthorized routers. Simultaneously, provide retail tenants with a managed Retail Tenant SSID with adequate signal coverage, removing the incentive for rogue hardware. Phase 3 — WIPS Deployment: Configure the wireless controller to scan for unauthorized SSIDs and automatically contain Evil Twins. Set up alerting to the NOC for any rogue AP detection events. Phase 4 — Captive Portal and Analytics: Deploy Purple's captive portal on the Guest VLAN with GDPR-compliant onboarding, OWE encryption, and analytics integration.

বাস্তবায়ন সংক্রান্ত নোট: This phased approach addresses both the technical vulnerability (flat network, no port authentication) and the human element (vendors needing connectivity). The critical insight is that rogue APs are often a symptom of inadequate managed connectivity — fix the root cause and the security problem largely resolves itself. The 802.1X port authentication on retail ports is the key technical control that makes the policy enforceable.

Passengers at a regional airport are receiving browser warnings when connecting to the guest WiFi captive portal, and the marketing team reports that opt-in rates have dropped by 40% over the past six months. The IT team suspects the SSL certificate on the captive portal has expired. How should this be resolved, and what broader improvements should be made to the onboarding architecture?

Immediate remediation: Renew the SSL certificate on the captive portal server and implement automated certificate renewal (e.g., via Let's Encrypt with auto-renewal scripting) to prevent recurrence. Broader improvements: 1) Upgrade the guest SSID to WPA3 with OWE to provide encryption at the radio layer, which modern mobile operating systems surface as a positive trust signal. 2) Implement HSTS on the captive portal domain to prevent SSL stripping attacks. 3) Integrate Purple's captive portal platform, which manages certificate lifecycle, GDPR consent flows, and analytics as a managed service, removing the operational burden from the in-house team. 4) Consider OpenRoaming profile-based authentication for returning passengers, eliminating the portal interaction entirely for opted-in users.

বাস্তবায়ন সংক্রান্ত নোট: This scenario illustrates how a security failure (expired certificate) directly translates to a commercial failure (40% drop in opt-in rates). The solution addresses the immediate technical issue but also uses the incident as a trigger to modernise the entire onboarding architecture. The connection between security posture and marketing data quality is a key insight for IT teams presenting business cases to senior leadership.

দৃশ্যপট বিশ্লেষণ

Q1. Your WIPS dashboard alerts you to a new AP broadcasting the airport's official guest SSID from within a retail coffee shop in Terminal 2. The AP's BSSID does not appear in your authorized AP inventory, and it is not connected to your wired network. What type of threat is this, what is the automated WIPS response, and what follow-up action should the NOC team take?

💡 ইঙ্গিত:Consider whether the device is physically attached to your wired infrastructure or operating entirely over the air. The distinction determines both the threat classification and the remediation pathway.

প্রস্তাবিত পদ্ধতি দেখুন

This is an Evil Twin AP. Because it is not connected to the wired network, it is attempting to hijack client connections over the air by mimicking the legitimate SSID. The automated WIPS response should be to transmit de-authentication frames to clients attempting to associate with that specific BSSID, preventing successful connection. The NOC team should dispatch physical security to the coffee shop location to identify and remove the device, document the incident for the security log, and review whether any clients successfully connected to the Evil Twin before containment was activated — those sessions should be treated as potentially compromised.

Q2. A new terminal is opening in six months. The operations director wants a completely open network with no captive portal to maximise passenger convenience. The marketing director wants maximum opt-in data collection. The CISO wants GDPR compliance and encryption. How do you satisfy all three stakeholders in a single architecture?

💡 ইঙ্গিত:Consider WPA3 OWE for the encryption requirement, OpenRoaming for the seamless authentication requirement, and Purple's platform for the data collection and compliance requirement. These are not mutually exclusive.

প্রস্তাবিত পদ্ধতি দেখুন

Deploy WPA3 with OWE on the public SSID — this provides encryption without requiring a password, satisfying the CISO's encryption requirement while maintaining the open, frictionless experience the operations director wants. Implement OpenRoaming via Purple's identity provider capability, so returning passengers with existing profiles connect automatically and securely without any manual interaction. For new passengers, present a lightweight, GDPR-compliant captive portal that collects consent and profile data — this satisfies the marketing director's requirement. The net result is a network that is encrypted by default, seamless for returning users, and data-capturing for new users, with full GDPR compliance.

Q3. During a quarterly RF site survey, your team discovers an AP in a back-of-house service corridor that is connected to the wired network but does not appear in the authorized AP inventory. It is broadcasting a hidden SSID and has been active for approximately three months based on switch port logs. What is the threat classification, what is the immediate containment action, and what does the three-month window imply for your incident response process?

💡 ইঙ্গিত:This device has wired network access, making it a different threat class from an Evil Twin. The three-month window has specific implications for data breach notification obligations under GDPR.

প্রস্তাবিত পদ্ধতি দেখুন

This is a Rogue AP with wired network access — a high-severity incident. Immediate containment: shut down the switch port to which the device is connected, physically remove the device, and preserve it as evidence. The three-month active window implies that an unknown actor has had persistent network access for approximately 90 days. Under UK GDPR Article 33, a personal data breach must be reported to the ICO within 72 hours of becoming aware of it, if it is likely to result in a risk to individuals' rights and freedoms. The incident response team must immediately assess what data was accessible from that network segment, whether any exfiltration occurred (review NetFlow/IPFIX logs for the switch port), and prepare a breach notification if the assessment indicates risk. This incident also indicates a gap in the WIPS configuration — the system should have detected the rogue AP's wired presence and over-the-air broadcast within hours of installation, not three months later.