Mathy Vanhoef, autor del ataque KRACK a redes inalámbricas con WPA2, y Eyal Ronen, coautor de varios ataques a TLS, han revelado información sobre seis vulnerabilidades (CVE-2019-9494 a CVE-2019-9499) en la tecnología de seguridad de redes inalámbricas WPA3, que permiten recrear la contraseña de conexión y acceder a la red inalámbrica sin conocer la contraseña. Las vulnerabilidades están agrupadas bajo el nombre en clave Dragonblood y permiten comprometer el método de negociación de conexiones Dragonfly, que proporciona protección contra ataques de fuerza bruta en modo offline. Además de WPA3, el método Dragonfly también se aplica para proteger contra ataques de diccionario en el protocolo EAP-pwd, utilizado en Android, servidores RADIUS y en hostapd/wpa_supplicant.
En la investigación se identificaron dos tipos principales de problemas arquitectónicos en WPA3. Ambos tipos de problemas, en última instancia, pueden ser utilizados para recrear la contraseña de acceso. El primer tipo permite realizar un retroceso a métodos criptográficos poco fiables (ataque de degradación): los mecanismos de compatibilidad con WPA2 (modo transitorio que permite el uso de WPA2 y WPA3) permiten al atacante obligar al cliente a ejecutar la negociación de conexiones WPA2 de cuatro pasos, lo que permite posteriormente utilizar ataques clásicos de fuerza bruta aplicables a WPA2. Además, se ha identificado la posibilidad de realizar un ataque de degradación directamente sobre el método de negociación de conexiones Dragonfly, permitiendo retroceder a tipos menos seguros de curvas elípticas.
El segundo tipo de problemas provoca filtraciones a través de canales laterales sobre las características de la contraseña y se basa en defectos en el método de codificación de contraseñas en Dragonfly, que permiten recrear la contraseña original a partir de datos indirectos, como los cambios en los retrasos al realizar operaciones. El algoritmo utilizado en Dragonfly para transformar el hash a una curva elíptica (hash-to-curve) se ha visto afectado por ataques a través del seguimiento de la información en la caché del procesador (ataque de caché), y el algoritmo para transformar el hash a un grupo (hash-to-group) es vulnerable a ataques mediante la medición del tiempo de ejecución de operaciones (ataque de temporización).
Para llevar a cabo ataques mediante análisis de caché, el atacante debe tener la capacidad de ejecutar código no privilegiado en el sistema del usuario que se conecta a la red inalámbrica. Ambos métodos permiten obtener información necesaria para aclarar la selección correcta de partes de la contraseña durante el proceso de prueba. La efectividad del ataque es bastante alta y permite descifrar una contraseña de 8 caracteres, que incluya letras minúsculas, interceptando solo 40 sesiones de negociación de conexión (handshake) y utilizando recursos equivalentes al alquiler de capacidades de Amazon EC2 por 125 dólares.
Con base en las vulnerabilidades identificadas, se han propuesto varios escenarios de ataque:
- Ataque de retroceso a WPA2 con la posibilidad de realizar un ataque de diccionario. En situaciones en las que el cliente y el punto de acceso soportan tanto WPA3 como WPA2, el atacante puede desplegar su propio punto de acceso ficticio con el mismo nombre de red, que solo soporte WPA2. En esta situación, el cliente aplicará el método de negociación de conexión propio de WPA2, durante el cual se determinará que dicho retroceso es inaceptable, pero esto se hará en una etapa en la que se han enviado los mensajes de negociación del canal y toda la información necesaria para el ataque de diccionario ya ha sido filtrada. Un método similar es aplicable para el retroceso a versiones problemáticas de curvas elípticas en SAE.
Además, se ha identificado que el demonio iwd, desarrollado por Intel como alternativa a wpa_supplicant, y el stack inalámbrico de Samsung Galaxy S10 son vulnerables a ataques de retroceso incluso en redes que utilizan solo WPA3, si esos dispositivos se han conectado previamente a una red WPA3, intentarán conectarse a una red ficticia WPA2 con el mismo nombre.
- Ataque por canales laterales con extracción de información de la caché del procesador. El algoritmo de codificación de contraseñas en Dragonfly contiene bifurcaciones condicionales y el atacante, teniendo la capacidad de ejecutar código en el sistema del usuario de la red inalámbrica, puede, a través del análisis del comportamiento de la caché, determinar cuál bloque ha sido elegido de la expresión if-then-else. La información obtenida puede ser utilizada para realizar un ataque de fuerza bruta, empleando métodos similares a los ataques offline por diccionario para contraseñas WPA2. Para protegerse, se sugiere utilizar operaciones con un tiempo de ejecución constante, que no dependa del tipo de datos procesados.
- Ataque por canales laterales con evaluación del tiempo de ejecución de las operaciones. En el código Dragonfly, durante la codificación de contraseñas se utilizan varios grupos multiplicativos (MODP) y un número variable de iteraciones, que depende de la contraseña utilizada y de la dirección MAC del punto de acceso o del cliente. Un atacante remoto puede determinar cuántas iteraciones se han realizado durante la codificación de la contraseña y utilizarlas como una pista en un ataque de fuerza bruta.
- Denegación de servicio. Un atacante puede bloquear ciertas funciones del punto de acceso debido al agotamiento de los recursos disponibles a través del envío de una gran cantidad de solicitudes de negociación del canal de comunicación. Para eludir la protección contra el flooding prevista en WPA3, es suficiente enviar solicitudes desde direcciones MAC ficticias y no repetitivas.
- Reversión a grupos criptográficos menos seguros, utilizados en el proceso de negociación de conexiones en WPA3. Por ejemplo, si el cliente admite curvas elípticas P-521 y P-256, y utiliza P-521 como opción prioritaria, el atacante, independientemente del soporte de
P-521 en el lado del punto de acceso, puede forzar al cliente a utilizar P-256. El ataque se lleva a cabo mediante el filtrado de ciertos mensajes durante la negociación de la conexión y el envío de mensajes falsos con información sobre la falta de soporte para ciertos tipos de curvas elípticas.
Se han preparado varios scripts para verificar la existencia de vulnerabilidades con ejemplos de realización de ataques:
- Dragonslayer — implementación de ataques en EAP-pwd;
- Dragondrain — una herramienta para comprobar la vulnerabilidad de los puntos de acceso en la implementación del método de consenso de conexiones SAE (Simultaneous Authentication of Equals), que puede utilizarse para iniciar un ataque de denegación de servicio;
- Dragontime — un script para realizar un ataque a través de canales secundarios contra SAE, que tiene en cuenta la diferencia en el tiempo de procesamiento de operaciones al usar grupos MODP 22, 23 y 24;
- Dragonforce — una herramienta para recuperación de información (intento de descifrado) basada en la variación en el tiempo de procesamiento de operaciones o la identificación de datos residuales en la caché.
La Alianza Wi-Fi, que desarrolla estándares para redes inalámbricas, ha anunciado que el problema afecta a un número limitado de implementaciones tempranas de WPA3-Personal y puede ser resuelto mediante actualizado de firmware y software. Actualmente no se han reportado hechos de explotación de vulnerabilidades para realizar acciones maliciosas. Para mejorar la seguridad, la Alianza Wi-Fi ha agregado pruebas adicionales a su programa de certificación de dispositivos inalámbricos para verificar la corrección de las implementaciones y se ha puesto en contacto con los fabricantes para coordinar la resolución de los problemas detectados. Ya se han lanzado parches para los problemas en hostap/wpa_supplicant. Las actualizaciones de paquetes están disponibles para Ubuntu. En Debian, RHEL, SUSE/openSUSE, Arch, Fedora y FreeBSD, los problemas aún no se han solucionado.
Fuente: opennet.ru
