Уязвимости в технологията за защита на безжични мрежи WPA3 и в EAP-pwd

Мэти Ванхоф (Mathy Vanhoef), автор на атаката KRACK върху безжичните мрежи с WPA2, и Эяль Ронен (Eyal Ronen), съавтор на някои атаки върху TLS, разкриха информация за шест уязвимости (CVE-2019-9494 — CVE-2019-9499) в технологията за защита на безжични мрежи WPA3, които позволяват възстановяване на паролата за свързване и достъп до безжичната мрежа без знание на паролата. Уязвимостите са обединени под кодовото име Dragonblood и позволяват компрометиране на метода за съгласуване на връзките Dragonfly, който предоставя защита срещу подбиране на пароли в offline режим. Освен WPA3, методът Dragonfly също се прилага за защита срещу словесно подбиране в протокола EAP-pwd, използван в Android, RADIUS сървъри и в hostapd/wpa_supplicant.

По време на изследването са открити два основни типа архитектурни проблеми в WPA3. И двата типа проблеми в крайна сметка могат да бъдат използвани за възстановяване на паролата за достъп. Първият тип позволява извършване на понижаване към ненадеждни криптографски методи (downgrade attack): средствата за осигуряване на съвместимост с WPA2 (транзитен режим, допускащ използването на WPA2 и WPA3) позволяват на атакуващия да принуди клиента да изпълни четиристепенното съгласуване на WPA2, което дава възможност след това да се използват класически атаки по подбор на пароли, приложими към WPA2. Освен това беше идентифицирана и възможността за извършване на атака понижаване на метода за съгласуване на връзките Dragonfly, което позволява да се върне на по-слабо защитени типове елиптични криви.

Вторият тип проблеми води до изтичане на информация за характеристиките на паролата през странични канали и се основава на недостатъци в метода за кодиране на паролата в Dragonfly, които позволяват чрез косвени данни, като промяна на забавяния при изпълнение на операции, да се възстанови оригиналната парола. Използваният в Dragonfly алгоритъм за преобразуване на хеш в елиптична крива (hash-to-curve) се оказа подложен на атаки чрез проследяване на информацията в процесорния кеш (cache attack), докато алгоритъмът за преобразуване на хеш в група (hash-to-group) е уязвим на атаки чрез измерване на времето за изпълнение на операции (timing attack).

За да извърши атаки чрез кеш анализ, атакуващият трябва да може да изпълнява непозволен код на системата на потребителя, свързващ се с безжична мрежа. И двата метода позволяват получаване на информация, необходима за уточняване правилността на избора на части от паролата по време на подбора й. Эфективността на атаката е доста висока и позволява подбиране на 8-символна парола, включваща символи в малки букви, като е необходимо да се прихванат само 40 сесии на установяване на свързване (handshake) и да се изразходват ресурси, еквивалентни на наемането на мощности от Amazon EC2 за 125 долара.

На базата на установените уязвимости е предложено няколко сценария за атаки:

• Атака чрез откат на WPA2 с възможност за провеждане на речников подбор. В условия, при които клиентът и точката за достъп поддържат както WPA3, така и WPA2, атакуващият може да разгръща собствена подставна точка за достъп с еднакво име на мрежата, която поддържа само WPA2. В такава ситуация клиентът ще използва типичния за WPA2 метод за установяване на връзка, при който ще бъде определена недопустимостта на подобен откат, но това ще стане на етапа, когато съобщенията за установяване на канала вече са изпратени и цялата необходима информация за речниковата атака вече е изтекла. Подобен метод може да се приложи и за откат на проблемни версии на елиптични криви в SAE.

  Освен това е установено, че демонът iwd, разработван от Intel като алтернатива на wpa_supplicant, и безжичният стек на Samsung Galaxy S10 са уязвими на атаки за откат дори в мрежи, използващи само WPA3 — ако тези устройства преди това са се свързвали с WPA3 мрежа, те ще се опитат да се свържат с подставна WPA2 мрежа с едно и също име.

• Атака чрез странични канали с извличане на данни от кеша на процесора. Алгоритъмът за криптиране на пароли в Dragonfly съдържа условно разклонение, и атакуващият, имайки възможност да изпълни код в системата на потребителя на безжичната мрежа, може на базата на анализа на поведението на кеша да определи кой блок е избран от условието if-then-else. Получената информация може да бъде използвана за извършване на атаки с подбиране на парола, използвайки методи, подобни на извършването на офлайн атаки с речник за WPA2. За защита се предлага да се премине към операции с постоянно време за изпълнение, независимо от характера на обработваните данни;
• Атака чрез странични канали с оценка на времето за изпълнение на операции. В кода на Dragonfly при криптиране на пароли се използват няколко мултипликативни групи (MODP) и променлив брой итерации, чийто брой зависи от използваната парола и MAC-адреса на точката за достъп или клиента. Отдалечен атакуващ може да определи колко итерации са извършени по време на криптирането на паролата и да ги използва като признаци при подбирането на парола.
• Извикване на отказ на услуга. Атакуващият може да блокира работата на определени функции на точката за достъп поради изчерпване на наличните ресурси чрез изпращане на голямо количество искания за установяване на връзка. За заобикаляне на защитата от наводнение, предвидена в WPA3, е достатъчно да се изпратят искания от фалшиви, уникални MAC-адреси.
• Откат към по-слабо защитени криптографски групи, използвани в процеса на установяване на връзки в WPA3. Например, ако клиентът поддържа елиптични криви P-521 и P-256 и използва P-521 като приоритетна опция, атакуващият, независимо от поддръжката на P-521 от страна на точката за достъп, може да принуди клиента да използва P-256. Атаката се извършва чрез отсяване на определени съобщения в процеса на установяване на връзката и изпращане на фалшиви съобщения с информация за липса на поддръжка на определени типове елиптични криви.
  За проверка на устройства за уязвимости са подготвени няколко скрипта с примери за извършване на атаки:

Dragonslayer — реализация на атаки срещу EAP-pwd;

• Dragonslayer — реализация на атаки срещу EAP-pwd;
• Dragondrain — утилита за проверка на уязвимости на точках достъпа при реализиране на метода за одобрение на свързвания SAE (Simultaneous Authentication of Equals), която може да се използва за иницииране на отказ на услуга;
• Dragontime — скрипт за провеждане на атака чрез странични канали срещу SAE, вземащ предвид разликата във времето за обработка на операциите при използване на групи MODP 22, 23 и 24;
• Dragonforce — утилита за възстановяване на информация (подбор на пароли) на базата на различно време за обработка на операции или определяне на данни, останали в кеша.

Обединението на Wi-Fi Alliance, което развива стандартите за безжични мрежи, обяви, че проблемът засяга ограничен брой ранни реализации на WPA3-Personal и може да бъде решен чрез актуализация на фърмуера и софтуера. Все още не са регистрирани факти за експлоатация на уязвимости с цел злонамерени действия. За да се увеличи защитата, Wi-Fi Alliance добави допълнителни тестове в програмата за сертификация на безжични устройства за проверка на коректността на реализацията и са се свързали с производителите на устройства за съвместна координация на решаването на откритите проблеми. Патчи за отстраняване на проблемите вече са пуснати за hostap/wpa_supplicant. Актуализации на пакетите са достъпни за Ubuntu. В Debian, RHEL, SUSE/openSUSE, Arch, Fedora и FreeBSD проблемите все още остават неуправлявани.

Източник: opennet.ru