Analisis Handshake WPA: pembacaan file .pcap dengan Wireshark, cracking dengan aircrack-ng/hashcat

Tujuan pembelajaran

Sesuai RPS TL455 pertemuan 13, setelah lab ini kamu mampu menganalisis file capture WPA handshake dan melakukan cracking password nirkabel. Dua kata kuncinya: *menganalisis*: membaca isi handshake di Wireshark, bukan sekadar menjalankan alat; dan *cracking*: menguji kekuatan sandi, dan hanya pada jaringan milikmu sendiri.

Bingkai lab: mengikuti Lab Exercise 12.01 (Wireless Network and Device Detection), 12.02 (Monitor Mode Sniffing), dan 12.03 (Cracking WPA2 Passwords and Deauthenticating Clients with Wifite) dari Lab Manual (2021), dengan Bab 12 (Wireless Security and Mobile Devices) buku sebagai jangkar teori. Prosedur yang tidak ada di Lab Manual dinyatakan eksplisit di bawah.

Catatan keamanan dan legal (wajib dibaca): seluruh lab ini hanya untuk jaringan Wi-Fi milikmu sendiri dengan sandi yang kamu tetapkan sendiri, dan hanya menyasar perangkat milikmu: router-mu, ponselmu, laptopmu. Lab Manual menegaskan batas yang sama: jangan menyerang perangkat yang tidak berada di bawah kendalimu (Lab 12.03). Merekam trafik, memicu handshake, atau menguji sandi jaringan tetangga, kampus, kantor, atau tempat umum adalah tindakan ilegal tanpa kecuali, dan di Indonesia berpotensi melanggar UU ITE. Adapter dalam mode monitor tidak mengirim apa pun: ia hanya mendengar; tetap yang didengar harus milikmu.

Alat dan Persiapan

• ▸VM Kali Linux (pertemuan 2) plus adapter Wi-Fi USB yang mendukung mode monitor dan injeksi paket: kartu Wi-Fi bawaan laptop tidak memenuhi syarat, karena VM hanya melihatnya sebagai adapter Ethernet (Lab 12.02). Keluarga Atheros dan Realtek adalah pilihan umum; lab mencontohkan driver realtek-rtl88xxau-dkms.
• ▸Router milikmu dengan WPA2 (mode personal/PSK) dan sandi yang kamu ketahui, plus satu perangkat klien milikmu (mis. ponsel) yang bisa disambung ulang ke Wi-Fi.
• ▸Wordlist uji: berkas teks kecil buatanmu yang memuat sandi router-mu, untuk pengujian terkendali (Lab 12.03 memakai opsi --dict).
• ▸Wireshark (sudah bawaan Kali).

Langkah Pekerjaan

1. Pasang driver dan teruskan adapter ke VM (Lab 12.02). Tancapkan adapter USB, lewatkan ke VM dari menu Removable Devices, lalu di Kali:

sudo apt update && sudo apt install realtek-rtl88xxau-dkms
lsusb        # adapter harus tercantum
ip a         # muncul antarmuka nirkabel, biasanya wlan0

Driver adalah pekerjaan paling teknis di lab ini: sesuaikan dengan chipset adapter-mu. Lab 12.02 mencatat pengalaman penulisnya: salah satu adapter 802.11ac baru justru menolak bekerja stabil, sementara varian 802.11n yang lebih tua andal.

1. Aktifkan mode monitor (Lab 12.02). Bedakan dua istilah yang sering tertukar. Mode promiscuous membuat NIC membaca semua frame yang diterimanya, tetapi NIC tetap harus berasosiasi dengan AP. Mode monitor menangkap frame tanpa perlu terhubung ke jaringan mana pun, dan hanya berlaku untuk nirkabel (Lab 12.02). Mode monitor tidak bisa berjalan di dalam VM lewat kartu Wi-Fi bawaan: itulah sebabnya adapter USB eksternal wajib. Perintahnya:

iw dev                          # cek: type "managed"
sudo ip link set wlan0 down
sudo iw wlan0 set monitor control
sudo ip link set wlan0 up
iw dev                          # cek: type "monitor"

1. Kenali udara, lalu filter milikmu (Lab 12.01 dan 12.02). Buka Wireshark pada antarmuka monitor. Yang kamu lihat adalah beacon frame (pengumuman berkala dari AP: SSID, laju data, jenis enkripsi), probe request (klien bertanya "AP mana yang mendengar?"), dan probe response (jawaban AP). Filter lab:

wlan.ssid == <SSID-mu>          # hanya jaringanmu
wlan.fc.type_subtype == 8       # beacon
wlan.fc.type_subtype == 4       # probe request
wlan.fc.type_subtype == 5       # probe response

Etika lab dari Lab 12.01: daftar jaringan tetangga yang ikut tampil itu data orang lain; disiplinmu: filter sejak awal dan jangan menyimpan apa pun milik mereka. Bedakan juga SSID (nama jaringan) dengan BSSID (alamat MAC AP; Lab 12.01): dua jaringan bisa bernama sama dengan BSSID berbeda.

1. Rekam handshake jaringanmu (Lab 12.03). Setiap klien yang bergabung menghasilkan EAPOL four-way handshake: empat pesan 802.1X yang membawa nilai pembentukan kunci WPA2, berbeda untuk setiap sesi (Lab 12.03). Dengan Wireshark masih mendengarkan antarmuka monitor, picu handshake secara jinak: putuskan Wi-Fi di ponselmu, lalu sambungkan lagi. Filter eapol lalu memperlihatkan empat pesan M1 sampai M4.

Lab 12.03 memicu handshake dengan alat injeksi: frame deauthentication yang memaksa klien menyambung ulang, dan hanya bekerja bila AP tidak mengaktifkan pelindung frame manajemen 802.11w. Lab ini tidak memakai deauthentication sama sekali: menyambung ulang perangkatmu sendiri menghasilkan handshake yang sama tanpa menyentuh pihak lain.

1. Pahami yang baru terekam. Empat pesan itu berisi nonce (angka acak sekali pakai dari tiap pihak) dan MIC (kode integritas pesan), bukan sandi. Karena itu penebakan bekerja offline: pengurai menurunkan PTK (pasangan kunci sesi) dari tebakan sandi plus nonce yang terekam, lalu mencocokkan hasilnya dengan MIC; cocok berarti tebakan benar. Ini persis kelemahan yang dibahas Bab 12: WPA2 personal memungkinkan serangan kamus offline: rekaman udara diuji di mesin lain, tanpa bertarung melawan AP (Bab 12, hlm. 434).

1. Uji sandimu sendiri (Lab 12.03). Simpan capture Wireshark ke file .pcap, lalu uji dengan wordlist kecil buatanmu. Jalur Lab Manual memakai wifite, pembungkus airmon-ng dan aircrack-ng, dengan opsi --new-hs --dict <berkas>; jalur eksplisit kami (setara, tanpa alat tambahan) memakai aircrack-ng langsung:

aircrack-ng -w uji.txt -b <BSSID-mu> lab-wpa.pcap

Hasil yang diharapkan: KEY FOUND menampilkan sandi kamusmu sendiri dalam hitungan detik. Lalu uji sisi sebaliknya: perbarui sandi router menjadi minimal 20 karakter acak (rekomendasi Bab 12, hlm. 436: PSK pendek dan sederhana rawan brute force), rekam handshake baru, jalankan lagi: kali ini penebakan tidak selesai dalam waktu wajib. Untuk pengujian skala besar, jalur modernnya: konversi capture dengan hcxpcapngtool, lalu serahkan ke hashcat (-m 22000) yang memakai GPU: konsepnya sama, mesinnya jauh lebih cepat.

1. Dekripsi ulang trafikmu (Lab 12.03). Di Wireshark: Edit, Preferences, Protocols, IEEE 802.11, centang Enable Decryption, tambahkan kunci jenis wpa-pwd berformat sandi:SSID-mu. Dengan EAPOL terekam di capture yang sama, paket milik klien yang handshake-nya terekam tampil terbuka: ping antar perangkatmu terbaca sebagai ICMP polos. Perhatikan satu batas penting yang ditunjukkan lab: trafik TLS ke situs tetap terenkripsi: sandi Wi-Fi yang bocor tidak membuka isi HTTPS.

1. Higiene penutup (wajib). Kembalikan adapter ke mode managed (sudo ip link set wlan0 down, sudo iw wlan0 set type managed, sudo ip link set wlan0 up; Lab 12.02), hapus file capture dan wordlist uji bila tidak dipakai lagi, dan tulis tiga kalimat kesimpulan: seberapa cepat sandi lamamu jatuh, mengapa, dan kebijakan sandi baru routermu.

Hasil yang Diharapkan

• ▸Driver terpasang, adapter bekerja di mode monitor, dan hanya jaringan milikmu yang difilter dan direkam.
• ▸Empat pesan EAPOL handshake terekam dan terbaca di Wireshark, dipicu dengan menyambung ulang perangkatmu sendiri.
• ▸aircrack-ng menemukan sandi kamusmu dengan cepat; sandi 20 karakter acak tidak ditemukan dalam waktu wajib.
• ▸Dekripsi Wireshark membuktikan trafik non-TLS milikmu terbaca, sementara HTTPS tetap gelap.
• ▸Kesimpulan kebijakan sandi tertulis; adapter kembali ke mode managed; artefak dirapikan.

Troubleshooting Umum

• ▸Adapter tak terlihat di VM: USB belum diteruskan ke VM (menu Removable Devices, Connect), atau driver chipsetnya belum cocok: cek lsusb dulu, baru pasang driver yang tepat.
• ▸`iw dev` tetap "managed" setelah set monitor: urutan perintah harus benar: turunkan antarmuka, set monitor, naikkan lagi; verifikasi iw dev setelah setiap langkah (Lab 12.02).
• ▸Handshake tidak muncul setelah sambung ulang: Wireshark belum mendengarkan antarmuka monitor yang benar, atau capture baru siap setelah perangkat sudah tersambung; pastikan filter eapol aktif, lalu ulangi penyambungan perlahan.
• ▸aircrack: "0 handshake": file capture belum memuat EAPOL; ulangi perekaman sampai empat pesan pasti tampil sebelum menyimpan.
• ▸Penebakan berjalan sangat lama: itu bukan galat, itulah tujuan lab: catat waktunya sebagai bukti kekuatan sandi panjang acak.

Checklist Selesai

• ▸[ ] Semua langkah hanya menyentuh router dan perangkat milik sendiri.
• ▸[ ] Mode monitor aktif saat lab, dan kembali ke managed di akhir.
• ▸[ ] Empat pesan EAPOL terekam dan terbaca di Wireshark (filter eapol).
• ▸[ ] Uji sandi tuntas: sandi kamus jatuh cepat, sandi panjang acak tahan.
• ▸[ ] Dekripsi terbukti: ICMP terbaca, TLS tetap terenkripsi.
• ▸[ ] Kesimpulan kebijakan sandi tertulis; artefak lab dirapikan.