Infiltration WPA3 : DragonBlood

Bien que la nouvelle norme WPA3 ne soit pas encore pleinement mise en œuvre, des vulnérabilités dans ce protocole permettent aux attaquants de pirater le mot de passe Wi-Fi.

Le protocole Wi-Fi Protected Access III (WPA3) a été lancé pour corriger les défauts techniques du protocole WPA2, longtemps considéré comme peu sûr et vulnérable à l'attaque KRACK (Key Reinstallation Attack). Bien que le WPA3 repose sur une poignée de main plus sécurisée connue sous le nom de Dragonfly, qui vise à protéger les réseaux Wi-Fi contre les attaques hors ligne par dictionnaire, les chercheurs en sécurité Mathy Vanhoef et Eyal Ronen ont découvert des failles dans une première mise en œuvre de WPA3-Personal, qui pourraient permettre à un attaquant de retrouver les mots de passe Wi-Fi en exploitant des timings ou des caches auxiliaires.

« Les attaquants peuvent lire des informations que WPA3 était censé chiffrer en toute sécurité. Cela peut être utilisé pour voler des informations sensibles telles que des numéros de carte de crédit, des mots de passe, des messages de chat, des e-mails, etc. »

Dans le document de recherche publié aujourd'hui intitulé DragonBlood, les chercheurs ont examiné en détail deux types de défauts de conception dans WPA3 : le premier mène à des attaques par rétrogradation, et le second à des fuites de cache auxiliaire.L'attaque par canal auxiliaire basée sur le cache

L'algorithme de codage de mot de passe dans Dragonfly, également connu sous le nom d'algorithme « chasse et picage » (hunting and pecking), contient des branches conditionnelles. Si un attaquant peut déterminer quelle branche if-then-else a été suivie, il peut savoir si un élément de mot de passe a été trouvé lors d'une itération spécifique de cet algorithme. En pratique, il a été constaté que si un attaquant peut exécuter du code non privilégié sur l'ordinateur de la victime, il pourrait utiliser des attaques basées sur le cache pour déterminer quelle branche a été entreprise lors de la première itération de l'algorithme de génération de mots de passe. Cette information peut être utilisée pour exécuter une attaque par séparation de mot de passe (similaire à une attaque hors ligne par dictionnaire).

Cette vulnérabilité est suivie sous l'identifiant CVE-2019-9494.

La protection consiste à remplacer les branches conditionnelles qui dépendent de valeurs secrètes par des utilitaires de sélection à temps constant. Les mises en œuvre doivent également utiliser le calcul

du symbole de Legendre symbole de Léjendre avec un temps constant.

Attaque par canal auxiliaire basée sur la synchronisation

Lorsque l'algorithme de négociation Dragonfly utilise certains groupes multiplicatifs, l'algorithme de hachage du mot de passe utilise un nombre variable d'itérations pour encoder le mot de passe. Le nombre exact d'itérations dépend du mot de passe utilisé ainsi que de l'adresse MAC du point d'accès et du client. Un attaquant peut effectuer une attaque par temporisation à distance sur l'algorithme de hachage du mot de passe pour déterminer combien d'itérations ont été nécessaires pour encoder le mot de passe. Les informations récupérées peuvent être utilisées pour effectuer une attaque par mot de passe similaire à une attaque par dictionnaire hors ligne.

Pour prévenir les attaques basées sur la synchronisation, les mises en œuvre doivent désactiver les groupes multiplicatifs vulnérables. Sur le plan technique, les groupes MODP 22, 23 et 24 doivent être désactivés. Il est également recommandé de désactiver les groupes MODP 1, 2 et 5.

Cette vulnérabilité est également suivie à l'aide de l'identifiant CVE-2019-9494 en raison de la similitude de l'implémentation de l'attaque.

WPA3 downgrade

Étant donné que le protocole WPA2, en vigueur depuis 15 ans, a été largement utilisé par des milliards d'appareils, la large adoption de WPA3 ne se fera pas du jour au lendemain. Pour prendre en charge les anciens appareils, les dispositifs certifiés WPA3 offrent un "mode de transition" qui peut être configuré pour accepter des connexions utilisant à la fois WPA3-SAE et WPA2.

Les chercheurs estiment que le mode de transition est vulnérable aux attaques de dégradation, que les attaquants peuvent utiliser pour créer un point d'accès frauduleux ne prenant en charge que WPA2, forçant ainsi les appareils compatibles WPA3 à se connecter via le défaut du handshake à quatre voies WPA2.

« Nous avons également découvert une attaque de dégradation contre le handshake lui-même SAE ("Authentification Simultanée d'Équivalents", généralement connue sous le nom de "Dragonfly"), où nous pouvons amener l'appareil à utiliser une courbe elliptique plus faible que d'habitude », déclarent les chercheurs.

De plus, la position d'« homme du milieu » n'est pas nécessaire pour mener une attaque par dégradation. Au lieu de cela, les attaquants n'ont besoin de connaître que le SSID du réseau WPA3-SAE.

Les chercheurs ont annoncé leurs résultats à la Wi-Fi Alliance, une organisation à but non lucratif qui certifie les normes Wi-Fi et les produits Wi-Fi pour conformité, ayant reconnu les problèmes et travaillant avec les fournisseurs pour corriger les appareils existants certifiés WPA3.

PoC (au moment de la publication — 404)

En tant que preuve de concept, les chercheurs publieront bientôt quatre outils distincts (dans les dépôts GitHub avec le lien hypertexte ci-dessous) qui peuvent être utilisés pour tester les vulnérabilités.

Dragondrain — un outil qui peut vérifier dans quelle mesure un point d'accès est vulnérable aux attaques DoS sur la poignée de main WPA3 Dragonfly.
Dragontime — un outil expérimental pour mener des attaques temporelles contre la poignée de main Dragonfly.
Dragonforce — un outil expérimental qui recueille des informations pour la récupération après des attaques temporelles et effectue une attaque par mot de passe.
Dragonslayer — un outil qui effectue des attaques sur EAP-pwd.

Dragonblood : Une analyse de sécurité de la poignée de main SAE de WPA3
Site du projet — wpa3.mathyvanhoef.com

Source : habr.com