Давно известная штука, но мало полезная, т.к. позволяет определить лишь производителя, и то не всегда точно.

А вот на этом месте поподробнее.

У меня возникала такая мысль, что если можно присоединяться к точкам с WPS в режиме Open System, то в теории можно и к любым WPA/WPA2 точкам, но перед Association Request надо каким-то макаром отправить Authentication Request и дождаться ответа (может быть у стека Wi-Fi есть под капотом API для этого?). Тогда можно было бы даже без режима монитора поймать первый ключевой пакет (с вероятным PMKID).