Dodatkowym zabezpieczeniem może być uwierzytelnianie mechanizmami mieszanymi, opartymi na algorytmie 802.1x (przykładowo EAP-TTLS, PEAP, Cisco LEAP). Algorytm będzie uwierzytelniał nie tylko użytkownika, lecz także punkt dostępowy. Jeżeli jest to wrogi punkt, użytkownicy nie będą mogli komunikować się za jego pośrednictwem, zarówno z siecią przewodową, jak i bezprzewodową.

Pozornie wygląda na to, że problem jest rozwiązany. Pozostaje jednak jeszcze kilka innych kłopotów z wrogimi punktami dostępowymi i zabezpieczeniem 802.1x. W praktyce, większość dawnych metod zabezpieczania WLAN nie wykorzystuje mechanizmów 802.1x. W wielu tych przypadkach niepożądane AP mogą zostać włączone do sieci przez port Ethernet, natomiast użytkownik bezprzewodowy przyłącza się do punktu dostępowego, uzyskując w ten łatwy sposób dostęp do zasobów sieciowych. Dzieje się tak szczególnie wtedy, gdy nie wdrożono dodatkowych elementów sprawdzających sieciową tożsamość. Może być też tak, że atakujący wykorzysta wrogi punkt dostępowy jako podszywający się pod pełnoprawne urządzenie. To jest atak nastawiony na mobilne komputery, a nie na sieciową infrastrukturę. Atakujący wie, że szansa przechwycenia danych uwierzytelniających użytkownika lub punktu dostępowego przyłączającego się do portu 802.1x jest duża. W tym momencie ma on możliwość przechwycenia danych uwierzytelniających od pełnoprawnych użytkowników. Może więc próbować podmienić jeden z legalnych punktów dostępowych na wrogi, jeżeli połączenie fizyczne nie jest bezpieczne. Powodzenie procesu uwierzytelniania oraz kontroli dostępu jest zależne od poziomu wdrożenia oraz skuteczności konfiguracji.

Widać zatem, że standardowe mechanizmy, które powinny chronić przed omawianym ryzykiem, nie zawsze sprawdzają się. Poziom, przy którym będziemy potrzebowali dodatkowych zabezpieczeń przed wrogimi punktami dostępowymi, zależy od mocnych stron pozostałych elementów systemu bezpieczeństwa. Jeżeli zostaną wdrożone najnowsze rozwiązania do ochrony sieci oraz ze zrozumieniem zastosujemy dobre praktyki konfiguracji sieci bezprzewodowych, sieć będzie dobrze chroniona, a instalacja systemu wykrywania intruzów może okazać się zbędna.

W poszukiwaniu podejrzanych gości

Historycznie rzecz ujmując, jedyną drogą do wykrywania wrogich punktów dostępowych było manualne skanowanie sieci. Rozumiemy przez to pomiary wykonywane ręcznie przez pracowników działu IT, przy użyciu odpowiedniego oprogramowania lub specjalizowanych urządzeń. Naturalnie jest to dość kosztowny i czasochłonny proces. Poza tym taki pomiar nie zawsze jest efektywny.

Wykrywanie wrogich punktów dostępowych zawsze składa się z dwóch etapów. Pierwszy to wyszukiwanie obecności urządzeń w sieci przy użyciu następujących technik:

Skanowanie RF - najczęściej stosowana; polega na zatrudnieniu sensorów RF do wykrywania urządzeń pracujących w danym terenie oraz informowaniu administratora WLAN.

Skanowanie AP - technika wdrożona przez kilku dostawców, polegająca na automatycznym odkrywaniu punktów dostępowych pracujących na określonym terenie. W tym procesie punkty dostępowe posługują się m.in. wykrywaniem interfejsu webowego, badaniem baz MIB przy użyciu protokołu SNMP.

Skanowanie protokołów - często wykorzystywana opcja, polegająca na wykrywaniu urządzeń w LAN, poprzez sprawdzanie odpowiedzi na zapytania SNMP, TELNET, CDP itp.