Nonostante il nuovo standard WPA3 non sia ancora pienamente operativo, le vulnerabilità di sicurezza in questo protocollo consentono agli aggressori di compromettere la password del Wi-Fi.
Il protocollo Wi-Fi Protected Access III (WPA3) è stato lanciato per cercare di correggere le carenze tecniche del protocollo WPA2, che è stato a lungo considerato insicuro e vulnerabile all'attacco KRACK (Key Reinstallation Attack). Sebbene WPA3 si basi su un handshake più sicuro, noto come Dragonfly, concepito per proteggere le reti Wi-Fi dagli attacchi dizionario offline, i ricercatori di sicurezza Mathy Vanhoef ed Eyal Ronen hanno scoperto vulnerabilità nell'implementazione iniziale di WPA3-Personal, che potrebbero consentire a un aggressore di recuperare le password Wi-Fi sfruttando i tempi di risposta o la cache collaterale.
«Gli aggressori possono leggere le informazioni che WPA3 presuppone di crittografare in modo sicuro. Questo può essere utilizzato per rubare informazioni riservate, come numeri di carte di credito, password, messaggi di chat, e-mail, ecc.»
Nel documento di ricerca pubblicato oggi , chiamato DragonBlood, i ricercatori hanno esaminato in dettaglio due tipi di vulnerabilità nel design di WPA3: la prima porta a attacchi di downgrade, mentre la seconda provoca perdite di cache collaterale.
Attacco collaterale basato sulla cache
L'algoritmo di codifica della password in Dragonfly, noto anche come algoritmo «hunting and pecking», contiene diramazioni condizionali. Se un attaccante è in grado di determinare quale diramazione if-then-else è stata presa, può scoprire se un elemento della password è stato trovato in una specifica iterazione di questo algoritmo. Nella pratica, è stato osservato che se un attaccante può eseguire codice non privilegiato sul computer della vittima, è possibile utilizzare attacchi basati sulla cache per determinare quale diramazione è stata intrapresa nella prima iterazione dell'algoritmo di generazione della password. Queste informazioni possono essere utilizzate per effettuare un attacco a divisione della password (simile a un attacco autonomo di dizionario).
Questa vulnerabilità è tracciata con l'ID CVE-2019-9494.
La protezione consiste nella sostituzione dei rami condizionali che dipendono da valori segreti con strumenti di selezione a tempo costante. Le implementazioni devono anche utilizzare il calcolo a tempo costante.
Attacco laterale basato sulla sincronizzazione
Quando il handshake Dragonfly utilizza determinati gruppi moltiplicativi, l'algoritmo di codifica della password utilizza un numero variabile di iterazioni per codificare la password. Il numero esatto di iterazioni dipende dalla password utilizzata e dall'indirizzo MAC del punto di accesso e del client. Un malintenzionato può eseguire un attacco temporale remoto sull'algoritmo di codifica della password per determinare quante iterazioni sono state necessarie per codificare la password. Le informazioni recuperate possono essere utilizzate per eseguire un attacco sulle password che somiglia a un attacco lessicale offline.
Per prevenire attacchi basati sulla sincronizzazione, le implementazioni devono disabilitare i gruppi moltiplicativi vulnerabili. Dal punto di vista tecnico, i gruppi MODP 22, 23 e 24 devono essere disabilitati. È anche consigliabile disabilitare i gruppi MODP 1, 2 e 5.
Questa vulnerabilità è anche tracciata con l'identificatore CVE-2019-9494 a causa della somiglianza nella realizzazione dell'attacco.
Downgrade WPA3
Poiché il protocollo WPA2, in uso da 15 anni, è stato ampiamente adottato da miliardi di dispositivi, l'adozione di WPA3 non avverrà da un giorno all'altro. Per supportare i dispositivi più vecchi, i dispositivi certificati WPA3 offrono una "modalità di transizione" che può essere configurata per accettare connessioni sia tramite WPA3-SAE che WPA2.
I ricercatori ritengono che la modalità di transizione sia vulnerabile agli attacchi di downgrade, che i malintenzionati possono sfruttare per creare un punto di accesso fraudolento che supporta solo WPA2, costringendo i dispositivi compatibili con WPA3 a connettersi utilizzando un handshake a quattro vie WPA2 non sicuro.
"Abbiamo anche scoperto un attacco di downgrade contro lo stesso handshake SAE ("Autenticazione Simultanea di Eguali", comunemente noto come "Dragonfly"), dove possiamo costringere un dispositivo a utilizzare una curva ellittica più debole del normale", affermano i ricercatori.
Inoltre, non è necessaria la posizione "uomo nel mezzo" per eseguire un attacco di downgrade. Gli attaccanti devono semplicemente conoscere l'SSID della rete WPA3-SAE.
I ricercatori hanno riportato i loro risultati alla Wi-Fi Alliance, un'organizzazione no-profit che certifica gli standard WiFi e i prodotti Wi-Fi per la conformità, la quale ha riconosciuto i problemi e sta collaborando con i fornitori per risolvere i dispositivi esistenti certificati WPA3.
PoC (al momento della pubblicazione — 404)
Come conferma del concetto, i ricercatori rilasceranno a breve i seguenti quattro strumenti separati (nei repository di GitHub con il link ipertestuale qui sotto), che possono essere utilizzati per testare le vulnerabilità.
— uno strumento che può verificare in quale misura un punto di accesso è vulnerabile agli attacchi DoS sul handshake WPA3 Dragonfly.
— uno strumento sperimentale per condurre attacchi temporali contro il handshake Dragonfly.
— uno strumento sperimentale che raccoglie informazioni per il recupero dopo attacchi temporali e esegue un attacco alle password.
— uno strumento che esegue attacchi su EAP-pwd.
Sito del progetto —
Fonte: habr.com
