誤區：關閉 SSID 廣播 = 安全？

SSID (Service Set Identifier) 只是網路名稱，長度上限 32 字元。關閉廣播（Beacon 帧 SSID 欄位置空）僅讓「被動掃描」看不見，**主動掃描請求、關聯過程、重連過程中 SSID 均以明文傳輸**。

一、 Deauth 攻擊法：強制重連捕獲 SSID

1. 被動偵察：airodump-ng mon0 → 目標 AP 顯示 <length: 7> (SSID 長度 7)，BSSID 可見
2. 發動 Deauth：aireplay-ng -0 10 -a <AP_MAC> mon0 (廣播踢離所有客戶端)
3. 捕獲重連：客戶端自動重連 → 關聯請求幀攜帶明文 SSID → Airodump-ng 顯示 TP-LINK (7 字元)
4. 後續：進入 WEP/WPA 破解流程

二、 抓包分析法：被動等待合法流量

無需主動攻擊，長時間監聽即可：

• Windows：OmniPeek、科來網絡分析、Wireshark、Ethereal
• Linux：Wireshark、Ethereal、tcpdump -e -vvv -i ath1 (顯示鏈路層頭、極詳細)
• Kismet：被動偵測王，自動解析 Beacon/Probe Response/Association Request 中的 SSID

原理：任何合法客戶端連線/重連/漫遊，SSID 必出現在明文幀中。

三、 暴力破解法：線上猜測 SSID

工具：Charon (MDK3 GUI) → Brute Force Mode

1. 設定字符集：LCase&UCase (大小寫字母)
2. 目標：AP MAC + Channel (從 Airodump-ng 獲取)
3. 啟動攻擊：速度 ~124 pkt/s
4. 結果：Got response from AP's MAC, SSID: "True" (十幾秒破解)

支援字典攻擊與純暴力模式，針對短、弱、預設 SSID 極其有效。

四、 根本防禦：為什麼隱藏 SSID 失效？

手法	核心原因	防禦無效性
Deauth	強制產生含 SSID 的關聯幀	協議強制明文傳輸 SSID，無法加密
被動抓包	等待合法流量	時間換空間，終將捕獲
暴力猜解	線上嘗試	AP 會回應 Probe Request，形成旁路預言機

五、 真正有效的防禦策略

1. WPA3-Enterprise (802.1X)：認證與加密分離，SSID 只是識別符，非秘密
2. 啟用 802.11w (PMF)：防範 Deauth/Disassoc 偽造，保護重連過程
3. 隱藏 SSID + 降低發射功率 + 定向天線：物理層面縮小攻擊面（僅作輔助）
4. 定期無線掃描審計：發現非授權 AP、異常客戶端行為
5. 客戶端設定：禁止自動連接隱藏網路、驗證伺服器憑證 (EAP-TLS)

結語

隱藏 SSID 屬於「安全靠模糊」，在 802.11 協議設計下註定失效。真正的安全來自強健的認證加密協議、管理幀保護與持續監控，而非隱藏名稱。