Уязвимости в технологията за защита на безжични мрежи WPA3 и в EAP-pwd

Мэти Ванхофом (Mathy Vanhoef), автор на атаката KRACK върху безжичните мрежи с WPA2, и Эяль Ронен (Eyal Ronen), съавтор на някои атаки върху TLS, разкриха информация за шест уязвимости (CVE-2019-9494 — CVE-2019-9499) в технологията за защита на безжичните мрежи WPA3, които позволяват възстановяване на паролата за свързване и достъп до безжичната мрежа без знание на паролата. Уязвимостите са обединени под кодовото име Dragonblood и дават възможност за компрометиране на метода за съгласуване на връзките Dragonfly, който предоставя защита срещу подбиране на пароли в офлайн режим. Освен WPA3, методът Dragonfly се използва и за защита срещу речников подбор в протокола EAP-pwd, който се използва в Android, RADIUS-сервери и в hostapd/wpa_supplicant.

В хода на изследването са идентифицирани два основни типа архитектурни проблеми в WPA3. И двата типа проблеми в крайна сметка могат да бъдат използвани за възстановяване на паролата за достъп. Първият тип позволява извършване на откат към ненадеждни криптографски методи (downgrade attack): средствата за осигуряване на съвместимост с WPA2 (транзитен режим, допускащ използване на WPA2 и WPA3) позволяват на атакуващия да принуди клиента да изпълни приложеното четиристепенно съгласуване на връзките WPA2, което в последствие позволява използване на класически атаки за подбиране на пароли, подходящи за WPA2. Освен това е установена възможността за извършване на downgrade-атака директно към метода за съгласуване на връзките Dragonfly, позволяваща откат към по-слабо защитени типове елиптични криви.

Вторият тип проблеми води до изтичане на информация за характеристиките на паролата по странични канали и е основан на недостатъците в метода за кодиране на паролата в Dragonfly, които позволяват чрез косвени данни, като например изменение на закъсненията при извършване на операции, да се възстанови оригиналната парола. Използваният в Dragonfly алгоритъм за преобразуване на хеш в елиптична крива (hash-to-curve) се оказа податлив на атаки чрез проследяване на слягането на информацията в кеша на процесора (cache attack), а алгоритъмът за преобразуване на хеш в група (hash-to-group) е податлив на атаки чрез измерване на времето за изпълнение на операциите (timing attack).

За извършване на атаки чрез анализ на кеша атакуващият трябва да има възможност за изпълнение на непривилегирован код на системата на потребителя, свързващ се с безжичната мрежа. И двата метода предоставят възможност за получаване на информация, необходима за уточняване на правилността на избора на части от паролата по време на нейното подбиране. Ефективността на атаката е достатъчно висока и позволява подбиране на 8-символна парола, включваща малки букви, след като са прихванати само 40 сесии на съгласуване на връзката (handshake) и са изразходвани ресурси, еквивалентни на наем на мощностите на Amazon EC2 за 125 долара.

На базата на установените уязвимости са предложени няколко сценария за атаки:

• Атака по откат на WPA2 с възможност за провеждане на словарен подбор. В условия, при които клиентът и точката за достъп поддържат както WPA3, така и WPA2, атакуващият може да разгърне собствена фалшива точка за достъп с същото име на мрежата, която поддържа само WPA2. В такава ситуация клиентът ще приложи присъщия за WPA2 метод на съгласуване на връзката, при който ще бъде установена недопустимостта на подобен откат, но това ще се случи на етап, когато съобщенията за съгласуване на канала вече са изпратени и цялата необходима информация за словарната атака вече е изтекла. Подобен метод може да се приложи и за откат на проблемни версии на елиптични криви в SAE.

  Освен това, установено е, че демонът iwd, разработен от компания Intel като алтернатива на wpa_supplicant, и безжичният стек на Samsung Galaxy S10 са подложени на атака по откат дори в мрежи, които използват само WPA3 — ако тези устройства преди това са се свързвали с WPA3 мрежа, те ще се опитат да се свържат с фалшива WPA2 мрежа със същото име.

• Атака през странични канали с извличане на информация от кеша на процесора. Алгоритъмът за кодиране на паролите в Dragonfly съдържа условно разклонение и атакуващият, който има възможност да изпълнява код в системата на потребителя на безжичната мрежа, може на база анализа на поведението на кеша да определи кой от блоковете на израза if-then-else е избран. Получената информация може да се използва за изпълнение на прогресивно подбиране на паролата, използвайки методи, подобни на извършването на offline атаки върху паролите в речници за WPA2. За защита се препоръчва преминаване към операции с постоянен времеви интервал на изпълнение, независещ от характера на обработваните данни;
• Атака през странични канали с оценка на времето за изпълнение на операциите. В кода на Dragonfly при кодиране на паролите се използват няколко мултипликативни групи (MODP) и променлив брой итерации, броят на които зависи от използваната парола и MAC адреса на точката за достъп или клиента. Отдалечен атакуващ може да определи колко итерации са били изпълнени по време на кодиране на паролата и да ги използва като признак при прогресивното подбиране на паролата.
• Отказ на услугата. Атакуващият може да блокира функциите на точката за достъп поради изчерпване на достъпните ресурси чрез изпращане на голямо количество заявки за съгласуване на канала за комуникация. За да се заобиколи защитата от наводняване, предвидена в WPA3, е достатъчно да се изпращат заявки от фиктивни неповторими MAC адреси.
• Регресия към по-слабо защитени криптографски групи, използвани в процеса на съгласуване на връзки в WPA3. Например, ако клиентът поддържа елиптични криви P-521 и P-256 и използва P-521 като приоритетен вариант, атакуващият, независимо от поддръжката на P-521 от страна на точката за достъп, може да принуди клиента да използва P-256. Атаката се осъществява чрез отсяване на определени съобщения по време на съгласуването на връзката и изпращане на фалшиви съобщения с информация за отсъствие на поддръжка на определени типове елиптични криви.
  За проверка на уязвимостите на устройствата са подготвени няколко скрипта с примери за извършване на атаки:

Dragonslayer — реализация на атаки върху EAP-pwd;

• Dragonslayer — реализирането на атаки върху EAP-pwd;
• Dragondrain — инструмент за проверка на уязвимостите на точките за достъп по отношение на метода за съгласуване на връзките SAE (Simultaneous Authentication of Equals), който може да се използва за иницииране на отказ в обслужването;
• Dragontime — скрипт за извършване на атака чрез странични канали срещу SAE, който взема предвид разликите във времето за обработка на операциите при използването на групи MODP 22, 23 и 24;
• Dragonforce — инструмент за възстановяване на информация (подбор на пароли) на базата на информация за различното време за обработка на операциите или за определяне на кеширани данни.

Обединението Wi-Fi Alliance, отговорно за развитието на стандартите за безжични мрежи, обяви, че проблемът засяга ограничен брой ранни реализации на WPA3-Personal и може да бъде разрешен чрез обновление на фърмуера и софтуера. Досега не са регистрирани случаи на експлоатация на уязвимостите за зловредни действия. За да засили защитата, Wi-Fi Alliance добави допълнителни тестове в програмата за сертификация на безжични устройства, за да провери коректността на реализациите, както и се свърза с производителите на устройства за съвместна координация на решаването на идентифицираните проблеми. Патчовете за коригиране на проблемите вече са публикувани за hostap/wpa_supplicant. Обновления на пакети са налични за Ubuntu. В Debian, RHEL, SUSE/openSUSE, Arch, Fedora и FreeBSD проблемите все още остават нерешени.

Източник: opennet.ru