機場 WiFi 安全：如何在公共網路上保護旅客

執行摘要

對於管理高密度公共環境的 CTO 和 IT 總監而言，「機場 WiFi 安全嗎」這問題不僅僅是普通的消費者疑問，更是一個直接影響法律責任的合規性與基礎架構挑戰。機場網路呈現出一個獨特且變動不居的攻擊面：每小時有數千個臨時連接、從一般消費者手機到企業筆記型電腦等各種裝置，以及旅客、員工、零售租戶和營運技術流量的交織，而這一切都發生在往往落後於現行安全標準數年的基礎架構之上。

主要的威脅 - 惡意雙胞胎（Evil Twin）存取點（AP）和非法（rogue）硬體安裝 - 屬於低成本、高影響的攻擊，執行所需的技術門檻極低。如果這些威脅未得到解決，旅客可能會面臨憑證遭竊取和財務欺詐的風險，而機場營運商則可能面臨 GDPR 執法行動和聲譽受損。透過實施結合伺機性無線加密的 WPA3、執行嚴格的 VLAN 隔離、部署無線入侵防禦系統（WIPS），並整合安全且符合 GDPR 的 客用 WiFi 平台，場地營運商可以在維持流暢連線的同時保護旅客的數據。Purple 的 WiFi 分析 層在此安全基礎上增添了營運智慧，將安全的上網引導（onboarding）轉化為可衡量的商業 ROI。

技術深挖：機場 WiFi 威脅景象

在無線攻擊方面，機場環境是遭受最頻繁鎖定的公共空間之一。大量流量、通常不會回報問題的臨時使用者，以及傳輸敏感數據的企業差旅人員，共同為惡意分子創造了理想的環境。設計有效的防禦機制架構，其前提是必須深入理解特定的威脅向量。

惡意雙胞胎（Evil Twin）存取點

邪惡雙胞胎（Evil Twin）是一種惡意 AP，其設定旨在廣播與合法機場網路完全相同的服務設定識別碼（SSID） - 例如，"Airport Free WiFi" 或 "LHR_Passenger_WiFi"。由於標準用戶端設備會根據 SSID 匹配和訊號強度來套用自動網路選擇，因此如果邪惡雙胞胎提供了比合法基礎設施更強的訊號，旅客的裝置將會優先連線至該邪惡雙胞胎。這非常容易實現：一台從附近座位以最大功率廣播的可攜式路由器，就能輕易超越以受控功率運作的吸頂式企業級 AP。

一旦用戶端連線到邪惡雙胞胎，攻擊者就可以發動多種模式的攻擊。被動攔截可擷取未加密的 HTTP 流量、DNS 查詢和工作階段 Cookie。SSL 剝離（SSL Stripping）能即時將 HTTPS 連線降級為 HTTP，從而在未套用 HTTP 嚴格傳輸安全（HSTS）的網站上暴露憑證。DNS 欺騙則會將使用者重新導向至模仿銀行入口網站或航空公司訂位系統的網路釣魚頁面。旅客看不到任何警告指標，因為邪惡雙胞胎會透過其自身的上游連線提供實際的網際網路存取 - 這種攻擊對終端使用者而言是完全透明且難以察覺的。

對於攻擊者來說，營運成本極低：一台消費級旅行路由器、一台執行開放原始碼工具的筆記型電腦，以及在登機候機室的一張座椅。此攻擊不需要對機場基礎設施進行任何實體接觸。

惡意存取點（Rogue AP）

惡意 AP 係指實體連接到機場有線網路基礎設施的未授權裝置。與完全在空中運作的邪惡雙胞胎不同，惡意 AP 代表了一種內部人員威脅向量 - 它們需要實體存取網路連接埠。然而，在一個擁有數百家零售特許商、服務承包商和清潔人員的大型機場環境中，獲取網路連接埠的實體存取權限並非難事。

惡意 AP 最常見的來源並非惡意攻擊者，而是出於好意的員工。例如，在 3 號航廈遇到 WiFi 訊號覆蓋不佳的零售特許商購買了一台消費級路由器，並將其插入櫃檯後方的乙太網路埠。該路由器廣播其自身的 SSID，繞過了企業防火牆、網路存取控制（NAC）原則和 WPA3 企業級設定，並從公共網際網路向機場內部網路建立了一條直接、未受管理的通道。從那一刻起，任何連線到該惡意 AP 的裝置 - 無論是特許商的 POS 終端機還是意外連線的旅客 - 都有可能獲得原本應該完全隔離的系統之網路級存取權限。 對於 運輸 營運商和機場 IT 團隊而言，惡意 AP 的問題由於環境規模龐大而變得更加複雜。在一個大型國際機場中，可能有數百個網路連接埠分佈在航廈、零售單位、貴賓室和後勤辦公區域。若沒有自動化偵測工具，手動稽核是不切實際的。

中間人攻擊

邪惡雙胞胎和惡意 AP 兩種場景都會啟用中間人 (MitM) 攻擊，此時攻擊者會定位在用戶端裝置與合法網路之間。在 MitM 場景中，攻擊者可以攔截、讀取和修改雙向的流量。雖然現代 TLS 加密顯著降低了對 HTTPS 流量進行 MitM 攻擊的影響，但攻擊面仍然很大：未加密的協定、配置錯誤的 TLS 實作，以及未使用憑證驗證的舊版應用程式，這些都創造了可被利用的漏洞。

對於商務旅客（他們佔了機場 WiFi 用戶的很大一部分）而言，旨在擷取 VPN 憑證或劫持企業電子郵件工作階段的 MitM 攻擊代表了一種高價值攻擊向量，其危害影響遠遠超出了個人旅客的範圍。

-

實作指南：安全架構

因應機場 WiFi 威脅情勢需要分層、深度防禦的架構。單一控制措施是不夠的；目標是使後續的每個攻擊層都變得更加困難且更易於被偵測。

第 1 層：加密與驗證標準

過渡到 WPA3 是首要要求。對於開放式公共網路，WPA3 引入了 機會性無線加密 (OWE)，這在 IEEE 802.11-2020 中有明確定義。OWE 為每個用戶端工作階段提供個別化加密，而無需共用密碼或預先共用金鑰。每個用戶端與 AP 的關聯都會協商一個獨特的 Diffie-Hellman 金鑰交換，這意味著即使攻擊者擷取了整個航廈的原始無線電頻率流量，他們也無法解密任何特定工作階段。這直接減輕了被動竊聽，並消除了開放式網路攔截的主要攻擊向量。

對於已驗證的網路區段（員工、營運、零售商戶），搭配 RADIUS 驗證的 IEEE 802.1X 是合適的標準。802.1X 在授權網路存取之前實施單一裝置驗證，其中每個驗證事件都會被記錄下來以用於合規性和稽核目的。結合基於憑證的可延伸驗證協定 (EAP-TLS)，這能完全消除針對員工網路、基於憑證的攻擊。

對於尋求提供流暢旅客上網體驗的場域，OpenRoaming (無線寬頻聯盟的同盟身分識別標準) 提供了基於設定檔的身分驗證，使旅客無需手動選擇 SSID 即可自動連接到經驗證的網路。Purple 在其 Connect 授權下，於 OpenRoaming 生態系統中扮演免費身分識別提供者的角色，使機場能夠提供無縫、安全的連線，並消除手動選擇網路的人為錯誤因素。這直接關係到 Evil Twin 的威脅：如果旅客的裝置透過已驗證的設定檔自動連接，它就不會連接到廣播相同 SSID 的 Evil Twin。

第 2 層：網路分段與用戶端隔離

必須在 AP 層級使用嚴格的 VLAN 標記，將訪客流量與營運技術 (OT)、員工網路和零售端點銷售 (POS) 系統完全隔離。機場環境的最低分段模型應包括：公共訪客 VLAN (僅限網際網路存取，無內部路由)、員工 VLAN (透過 802.1X 驗證，可存取內部系統)、零售租戶 VLAN (與訪客和員工隔離，POS 系統僅限網際網路存取)，以及營運 VLAN (實體隔離或嚴格防火牆保護，用於數位看板、建築管理和空側系統)。

用戶端隔離 (同一個 VLAN 中裝置之間的第 2 層隔離) 必須在訪客 VLAN 上啟用。若無用戶端隔離，連接到同一個訪客網路的兩名旅客可以在 IP 層直接通訊，從而進行裝置對裝置的攻擊。這是無線控制器上的一項組態設定，在傳統部署中經常被忽略。

對於在機場航廈內營運的 餐飲旅宿 和 零售 環境，同樣適用此分段原則。無論與機場營運商的商業關係如何，飯店空側貴賓室或零售特許經營店都必須被視為不受信任的網路分段。

第 3 層：無線入侵偵測與防禦 (WIDS/WIPS)

無線入侵防禦系統是防範 Evil Twin 和惡意 AP 威脅的第一道自動化防線。WIPS 必須設定為持續掃描所有通道和頻段 (2.4 GHz、5 GHz，以及針對 WiFi 6E 部署的 6 GHz) 的無線電頻率環境，以偵測未授權的 SSID、MAC 位址詐騙和解除驗證洪水攻擊。

在偵測到 Evil Twin 之後 - 其特徵是 SSID 相符，但 BSSID 與託管基礎架構中任何授權的 AP 都不相符 - WIPS 應自動部署遏制措施。遏制措施包括向嘗試與惡意 AP 關聯的用戶端傳送針對性的 IEEE 802.11 取消驗證（De-authentication）訊框，以防止成功連線。這是機器速度下的自動化回應，比任何人工操作員的干預都要快得多。

對於 Rogue AP 偵測，WIPS 會將空中觀測結果與有線網路拓撲進行關聯。在空中廣播且同時顯示為有線網路連接裝置，但不在授權 AP 清單中的任何 AP，都會被標記為 Rogue。隨後，系統可以觸發託管交換器上的自動連接埠關閉，以物理方式中斷該裝置的連線。

第 4 層：DNS 過濾與安全 Captive Portal 設計

無論裝置自身的安全狀態如何，DNS 層級的過濾都提供了一項關鍵控制，以保護使用者免受惡意網域的侵害。透過將所有 DNS 查詢路由經由過濾解析器，網路可以封鎖已知釣魚網域、命令與控制（C2）基礎架構及惡意軟體分發網站的解析。這在機場情境中特別有價值，因為旅客可能會連接在到達前就已受感染的受損裝置。

在我們關於 透過強大的 DNS 和安全保護您的網路 指南中詳細說明，為解析器連線實施 DNS over HTTPS (DoH) 或 DNS over TLS (DoT) 可防止 DNS 查詢在傳輸過程中被攔截或欺騙 - 當 WIPS 遏制措施可能無法立即捕獲每個 Evil Twin 時，這是一個實用的考量因素。

Captive Portal 是旅客的主要登入接點，其設計必須將安全性視為第一要務，而非事後才補救。該入口網站必須透過 HTTPS 提供服務，並附帶來自受信任憑證授權單位的有效憑證。登入表單僅應收集指定目的所需的必要資料（符合 GDPR 第 5 條的資料最小化原則），並對任何行銷用途提供明確、細緻的同意機制。Purple 的 Captive Portal 平台專為這些合規要求而構建，提供與 GDPR 合規資料擷取、同意管理及分析層的無縫整合。有關其在多航廈機場環境中如何擴充的背景資訊，請參閱 機場 WiFi：營運商如何提供跨航廈的連線服務 以及其義大利語版本 WiFi Aeroportuale。

第 5 層：分析、監控與持續改進

安全防護並非一次性的部署；它需要持續監控與反覆改進。Purple 的 WiFi 分析 平台提供了運作可視性層，將原始連線資料轉化為可操作的情資。透過監控裝置連線模式、停留時間和工作階段異常，網路運作團隊可以識別入侵指標 - 例如異常的連線突增、來自未預期物理位置的連線裝置，或是暗示有掃描攻擊的驗證失敗模式。

分析層也為安全投資提供了商業合理性。較高的旅客同意加入率 - 由值得信賴、安全的註冊體驗所驅動 - 產生了更豐富的第一方資料集。這些資料可實現精準行銷、零售人流分析和航廈佈局最佳化，為基礎設施投資提供可衡量的投資報酬率。針對在機場醫療設施中營運 WiFi 的 醫療保健 環境，同樣的分析框架也適用，並配備額外的 GDPR 特殊類別資料控制。

最佳實踐與風險緩釋

在技術層面強制執行零售租戶網路原則。 光有原則文件是不夠的。零售特許經營店必須提供受控管、隔離的網路存取 - 具有網際網路存取的專用 VLAN 且無內部路由 - 並且必須將其單位的物理網路連接埠設定為透過 802.1X 連接埠驗證或 MAC 位址允許清單來拒絕未授權的硬體。透過提供充足、受控管的連線，消除部署惡意 AP 的誘因。

定期進行 RF 場地勘測。 每季的物理和 RF 場地勘測可識別因訊號衰減、物理障礙或故意進行 RF 屏蔽而導致 WIPS 遺漏的未授權硬體。勘測應涵蓋所有航廈、貴賓室、零售單位和後勤辦公區域。記錄已授權的 AP 清單，並與勘測結果進行比對。

為關鍵基礎設施實作專線或專用商業網際網路連線。 正如我們在 什麼是專線？專用商業網際網路 指南中所討論的，將關鍵運作流量隔離到專用、無爭用的連線上，可確保訪客網路上的任何 DDoS 攻擊或頻寬耗盡事件都不會影響空側運作系統。

測試事件回應程序。 透過模擬惡意雙生（Evil Twin）偵測事件來進行桌面演練。驗證 WIPS 的阻斷功能是否正常運作、NOC 團隊是否熟悉呈報程序，並針對可能需要暫停提供旅客 WiFi 服務的情境，準備好旅客端的溝通內容。

ROI 與商業影響

確保網路安全是商業價值的基石，而非孤立的成本中心。一個安全、可靠且值得信賴的旅客 WiFi 網路，能直接提升旅客在 Captive Portal 上的同意訂閱（Opt-in）率。較高的同意訂閱率能建立更龐大、更高品質的第一方數據集。這些數據使機場營運商能夠提供個人化的零售促銷、根據實際人流量數據優化航廈規劃，並建立能帶動持續參與的忠誠度計畫。

安全事件帶來的代價 - GDPR 的執法行動、商譽受損以及事件回應的營運成本 - 遠高於部署本指南中所述安全控制措施的成本。英國資訊專員辦公室（ICO）曾因數據保護疏失，依據 UK GDPR 開出高達 1,750 萬英鎊的罰款。對於一個每年處理數百萬旅客連線的大型國際機場而言，所面臨的風險敞口極為顯著。

Purple 的平台旨在將安全投資與商業成果相結合。安全的 Captive Portal、符合 GDPR 規範的數據擷取與分析層是整合在單一的部署中，而非三個獨立的採購項目。這降低了整體擁有成本，同時加速了 IT 和行銷團隊實現價值的時間。