WiFi Pineapple: hoe het werkt en hoe je je ertegen beschermt

De WiFi Pineapple is een pentestapparaat van Hak5 dat nepnetwerken opzet waar telefoons en laptops uit zichzelf verbinding mee maken. Zodra dat gebeurt, loopt hun verkeer via de aanvaller. Pentesters gebruiken het om te toetsen of apparaten binnen een organisatie zomaar op een onbekend netwerk springen.

Het apparaat bezitten mag in Nederland. Het inzetten op netwerken die niet van jou zijn valt onder computervredebreuk.

In het kort

De WiFi Pineapple luistert naar de netwerknamen die apparaten in de omgeving uitzenden en doet zich voor als een van die netwerken. Die techniek heet PineAP. Verbindt een apparaat, dan kan de tester verkeer meelezen, omleiden of naar een phishingpagina sturen. Verdedigen doe je met een VPN, HTTPS, automatisch verbinden uitzetten en op organisatieniveau met detectie van rogue access points. Het apparaat is legaal te bezitten, gebruik zonder opdracht van de netwerkeigenaar is dat niet.

Wat is de WiFi Pineapple?

De WiFi Pineapple is ontwikkeld door Hak5 en bestaat sinds 2007. Het is in de kern een kleine Linux-computer met meerdere wifi-radio’s, bediend via een webinterface. Doordat elke radio een eigen rol krijgt, kan het apparaat tegelijk scannen, netwerken uitzenden en clients bedienen.

Het onderscheid met een gewone router zit in de automatisering. Waar je met losse tools op een laptop elke stap zelf uitvoert, draait de Pineapple complete campagnes en levert het rapporten op. Dat maakt het bruikbaar in opdrachten waarin je een herhaalbare test moet kunnen aantonen.

Je komt het apparaat tegen bij draadloze penetratietesten, security audits, red team-oefeningen en in trainingen.

Hoe de WiFi Pineapple werkt

Probe requests verraden waar je eerder was

Je telefoon bewaart een lijst met netwerken waarmee je ooit verbond, de preferred network list. Om die netwerken terug te vinden zendt het toestel probe requests uit: korte vragen in de lucht met de naam van een netwerk erin.

Dat is de zwakke plek. Wie meeluistert, weet daardoor dat jouw toestel zoekt naar bijvoorbeeld het gastnetwerk van een hotelketen of het wifi van je werkgever.

PineAP beantwoordt die vragen

PineAP is de door Hak5 gepatenteerde suite die op die probe requests reageert. Vraagt een toestel naar een netwerk, dan antwoordt de Pineapple dat het dat netwerk is. Het toestel maakt vervolgens uit zichzelf verbinding, zonder dat de gebruiker iets aantikt.

Oudere firmware deed dit ongericht op elke binnenkomende vraag, de klassieke karma-aanval. Nieuwere versies werken met filters op MAC-adres en netwerknaam, wat in een opdracht nodig is om binnen de afgesproken scope te blijven.

Rogue access points

Naast reageren op probes kan het apparaat ook zelf netwerken uitzenden met geloofwaardige namen, zoals Free Airport WiFi of Hotel Guest. Zo’n netwerk dat lijkt op een legitiem netwerk heet een rogue access point.

Man-in-the-middle

Loopt het verkeer eenmaal via het apparaat, dan zit de tester tussen de gebruiker en het internet. Onversleuteld verkeer is leesbaar, DNS-verzoeken zijn om te leiden en gebruikers zijn naar een nagemaakte inlogpagina te sturen. Bij WPA-Enterprise-netwerken kan de tester proberen bedrijfsinloggegevens af te vangen.

Wat er niet gebeurt: HTTPS-verkeer wordt niet zomaar leesbaar. Certificaatwaarschuwingen die de gebruiker moet wegklikken zijn daarbij het obstakel, en juist die waarschuwing is het signaal dat er iets mis is.

Welke modellen zijn er?

Hak5 voert de Pineapple in meerdere uitvoeringen. Het verschil zit in de radio’s, de vormfactor en of er een scherm en accu op zitten.

Model	Kenmerken	Waarvoor
Mark VII	2,4 GHz b/g/n, drie radio’s met een eigen rol, voeding en ethernet via USB-C, 256 MB RAM. 5 GHz via losse module.	De standaarduitvoering voor draadloze audits
Mark VII+AC Tactical	Dual-band 2,4 en 5 GHz ingebouwd, geleverd met koffer	Wie ook 5 GHz-netwerken moet testen zonder losse module
Pager	Zelfstandig te gebruiken, met scherm, knoppen op het apparaat en accu	Werk in het veld zonder laptop ernaast
Enterprise	Uitvoering voor drukke en veeleisende luchtruimte	Grote omgevingen en langdurige opdrachten

Firmware 2.0 bracht daarbovenop automatische handshake-capture, verbeterde deauthenticatie, een firewall voor de webinterface en aanvallen op WPA-Enterprise.

Een WiFi Pineapple kopen: waar je op let

Hak5 verkoopt rechtstreeks via de eigen webshop en levert vanuit Californië. Voor Nederlandse kopers betekent dat invoerrechten en btw bij binnenkomst, wat het bedrag op de kassabon flink kan verhogen. Reken die post vooraf mee.

• Bestel bij Hak5 zelf of bij een Europese wederverkoper. Tweedehandsaanbod bevat regelmatig oudere generaties waarvoor geen firmware-updates meer verschijnen.
• Check welke generatie je koopt. Een Mark V of VI oogt vergelijkbaar, alleen mist die de huidige PineAP-functies en filters.
• Wil je 5 GHz testen, kies dan de AC-uitvoering of koop de module er los bij.
• Bedenk vooraf waar je legaal mag oefenen. Zonder eigen testnetwerk of opdracht heb je weinig aan het apparaat.

WiFi Pineapple of een Raspberry Pi?

Veel van wat de Pineapple doet, kun je met een Raspberry Pi en losse wifi-adapters nabouwen. Tools als hostapd, dnsmasq en Bettercap leveren samen een werkend rogue access point, en dat kost een fractie van de aanschaf.

Het verschil zit in tijd en aantoonbaarheid. Op een Pi bouw en onderhoud je die keten zelf, inclusief driverproblemen bij adapters die monitor mode moeten ondersteunen. De Pineapple levert dat kant-en-klaar, met scopefilters en rapportage die je in een opdracht kunt overleggen.

Leer je het vak, dan is de Pi-route leerzamer omdat je ziet wat er onder de motorkap gebeurt. Werk je op opdracht met een deadline, dan wint het kant-en-klare apparaat. Een Kali Linux-installatie met de juiste adapter is voor die eerste route het startpunt.

Wat je nodig hebt om ermee te werken

• Het apparaat zelf, met de meegeleverde antennes en USB-C-kabel
• Een laptop voor beheer, aangesloten via ethernet of wifi
• Een internetverbinding om te delen wanneer de test dat vraagt, bijvoorbeeld via tethering
• Een testomgeving die van jou is, of een schriftelijke opdracht met afgebakende scope

De WiFi Pineapple instellen

Sluit het apparaat via USB-C aan op je laptop. De laptop krijgt daarna meestal automatisch een IP-adres uit het bereik van de Pineapple.

De webinterface bereik je op http://172.16.42.1. Bij de eerste start maak je daar een beheeraccount aan. Kies een sterk wachtwoord, want het apparaat draait tijdens een test in een omgeving waar ook anderen meekijken.

Basisgebruik in vier stappen

Stap 1. Recon draaien

Het recon-scherm brengt de omgeving in kaart: netwerknamen, kanaal, signaalsterkte, beveiligingstype en welke clients bij welk netwerk horen. Dit is de stap waarin je bepaalt wat binnen scope valt.

Stap 2. Filters instellen

Zet vóór PineAP de filters goed. Werk met een lijst van MAC-adressen en netwerknamen die je wél mag raken. Zonder filters raak je apparaten van omstanders, en dat valt buiten elke opdracht.

Stap 3. PineAP activeren

Hiermee gaat het apparaat probe requests beantwoorden en netwerken uitzenden. In het dashboard verschijnen de clients die verbinding maken, met MAC-adres, signaalsterkte en verbindingsduur.

Stap 4. Campagne of modules draaien

Campagnes voeren een reeks tests automatisch uit en leveren een rapport op. Losse modules voegen functies toe zoals packet capture, verkeersanalyse of een captive portal. Bewaar de output, want dat is je bewijsmateriaal.

Wat een draadloze test oplevert

Een opdracht met dit apparaat draait niet om zoveel mogelijk clients binnenhalen. De waarde zit in de bevindingen die je daarna op tafel legt.

• Welke bedrijfsapparaten uit zichzelf verbinding maakten met een netwerk dat niet van de organisatie is
• Welke netwerknamen medewerkers meedragen in hun preferred network list, wat verraadt waar zij eerder verbonden
• Of het gastnetwerk werkelijk gescheiden is van het bedrijfsnetwerk
• Of certificaatwaarschuwingen worden weggeklikt bij een nagemaakte inlogpagina
• Of de eigen detectie het rogue access point heeft opgemerkt, en hoe snel

Die laatste is voor veel organisaties de nuttigste uitkomst. Een test die ongemerkt drie dagen kon draaien zegt meer over de monitoring dan over de wifi.

Hoe herken je een WiFi Pineapple?

Voor een gewone gebruiker is een rogue access point lastig te zien, omdat het netwerk er normaal uitziet. Er zijn wel signalen.

• Een netwerk waarmee je thuis verbond, dat opeens beschikbaar is op een station of in een café
• Hetzelfde netwerk dat twee keer in de lijst staat, of dat plotseling geen wachtwoord meer vraagt
• Een certificaatwaarschuwing in je browser op een site die je vaker bezoekt
• Een inlogpagina van het netwerk die verschijnt waar je die niet verwacht
• Verbindingen die steeds wegvallen, wat op deauthenticatiepakketten kan wijzen

Voor organisaties ligt het anders. Daar draait detectie op systemen die het luchtruim continu bewaken: een draadloos intrusion detection systeem vergelijkt de uitgezonden netwerknamen met de eigen access points en slaat alarm bij een onbekend apparaat dat dezelfde naam uitzendt. Ook een BSSID dat niet op de eigen hardwarelijst staat, of een netwerknaam op een onverwacht kanaal, zijn signalen. Wie SOC-monitoring heeft ingericht, ziet dit soort meldingen daar binnenkomen.

Hoe je je ertegen beschermt

• Zet automatisch verbinden uit. Dit haalt de kern onder de aanval vandaan, want zonder probe requests valt er weinig te beantwoorden. Ruim ook oude netwerken uit je lijst op.
• Gebruik een VPN. Die versleutelt je verkeer tussen toestel en VPN-server, ook wanneer de aanvaller het netwerk beheerst.
• Klik certificaatwaarschuwingen nooit weg. Dat is meestal het enige moment waarop een man-in-the-middle zichtbaar wordt.
• Gebruik mobiele data voor bankieren en inloggen. Zie ook de stappen bij telefoon beveiligen tegen hackers.
• Beveilig je eigen netwerk. WPA3 waar mogelijk, en een apart gastnetwerk. Meer daarover bij wifi beveiligen.

Wat je doet als je vermoedt dat je verbonden was

Merk je achteraf dat je op een verdacht netwerk zat, dan is snelheid belangrijker dan uitzoeken wat er precies gebeurde.

• Verbreek de verbinding en zet wifi uit, schakel over op mobiele data
• Vergeet het netwerk op je toestel, zodat je er niet opnieuw automatisch mee verbindt
• Wijzig wachtwoorden van accounts waarop je in die periode inlogde, vanaf een ander netwerk
• Controleer de actieve sessies van je mail- en bankaccount en log overal elders uit
• Meld het bij je werkgever wanneer je op een zakelijk toestel zat, ook als er niets lijkt te zijn gebeurd

Is een WiFi Pineapple legaal in Nederland?

Het apparaat bezitten en kopen is toegestaan. Het is testapparatuur, vergelijkbaar met ander netwerkgereedschap.

Het inzetten ervan op een netwerk waarvoor je geen toestemming hebt, valt onder computervredebreuk uit artikel 138ab van het Wetboek van Strafrecht. Het onderscheppen van communicatie kent daarnaast een eigen strafbaarstelling. Dat je alleen wilde kijken of het werkt, verandert daar niets aan.

Toegestaan gebruik ziet er zo uit:

• Een test op je eigen netwerk en je eigen apparaten
• Een opdracht met schriftelijke toestemming van de netwerkeigenaar, met vastgelegde scope en periode
• Onderzoek of training binnen een afgeschermde labomgeving

Laat je zo’n test liever uitvoeren dan hem zelf te doen, kijk dan bij de cybersecuritybedrijven in Nederland die draadloze audits aanbieden.

Alternatieven

• Wifite2 automatiseert draadloze aanvallen vanaf een laptop. Zie wifi hacken met Wifite2.
• Aircrack-ng is de toolkit waar veel andere wifi-tools op leunen, met documentatie op de projectsite.
• Bettercap richt zich op man-in-the-middle en netwerkmonitoring, zie de Bettercap-documentatie.

Veelgestelde vragen

Kan een WiFi Pineapple wachtwoorden stelen?

Onversleuteld verkeer is leesbaar, dus daarin meegestuurde gegevens ook. Bij HTTPS lukt dat niet zonder dat de gebruiker een certificaatwaarschuwing wegklikt. Het wachtwoord van het wifi-netwerk zelf kan het apparaat proberen af te vangen via handshakes of een nagemaakte inlogpagina.

Werkt een VPN tegen deze aanvallen?

Tegen het meelezen van je verkeer wel. De verbinding komt nog steeds tot stand via het apparaat van de aanvaller, alleen is de inhoud versleuteld. Metadata zoals hoeveel verkeer je verstuurt blijft zichtbaar.

Kun je een WiFi Pineapple detecteren?

Als gebruiker lastig, al zijn dubbele netwerknamen, een ontbrekend wachtwoord en certificaatwaarschuwingen bruikbare signalen. Organisaties detecteren het met een draadloos intrusion detection systeem dat onbekende apparaten opmerkt die bekende netwerknamen uitzenden.

Hoe ver reikt een WiFi Pineapple?

Met de meegeleverde antennes praktisch tot enkele tientallen meters, afhankelijk van muren en storing. Met sterkere antennes komt daar bereik bij, waardoor het lastiger wordt om binnen de scope van een opdracht te blijven.

Werkt het ook op 5 GHz-netwerken?

De basisuitvoering van de Mark VII werkt op 2,4 GHz en heeft een losse module nodig voor 5 GHz. De AC-uitvoering heeft dual-band ingebouwd. Veel bedrijfsnetwerken draaien inmiddels grotendeels op 5 GHz, dus dat weegt mee bij de keuze.

Werkt het ook tegen recente telefoons?

Minder makkelijk dan vroeger. Android en iOS gebruiken willekeurige MAC-adressen en zijn terughoudender met het uitzenden van netwerknamen. Toestellen die automatisch verbinden met opgeslagen open netwerken blijven kwetsbaar.

Is het bezit van een WiFi Pineapple illegaal?

Nee. Bezit en aanschaf zijn toegestaan. Inzet op netwerken van anderen zonder opdracht valt onder computervredebreuk.

Wat kost een WiFi Pineapple?

De actuele prijzen staan op de webshop van Hak5 en verschillen per uitvoering. Reken bij bestelling vanuit de Verenigde Staten op invoerrechten en btw bovenop het bedrag.

Waarom gebruiken pentesters dit apparaat?

Om aan te tonen dat apparaten binnen een organisatie uit zichzelf verbinding maken met een onbekend netwerk. Dat is een bevinding die je met een rapport en een lijst clients hard kunt maken richting een opdrachtgever.