Mathy Vanhoef, autore dell'attacco KRACK alle reti wireless con WPA2, ed Eyal Ronen, co-autore di alcuni attacchi a TLS, hanno rivelato informazioni su sei vulnerabilità (CVE-2019-9494 – CVE-2019-9499) nella tecnologia di sicurezza delle reti wireless WPA3. Queste vulnerabilità consentono di ricostruire la password di accesso e ottenere accesso alla rete wireless senza conoscere la password. Le vulnerabilità sono raggruppate sotto il nome in codice Dragonblood e permettono di compromettere il metodo di negoziazione delle connessioni Dragonfly, che fornisce protezione contro gli attacchi di brute force in modalità offline. Oltre a WPA3, il metodo Dragonfly è utilizzato anche per proteggere contro gli attacchi di dizionario nel protocollo EAP-pwd, utilizzato in Android, nei server RADIUS e in hostapd/wpa_supplicant.
Lo studio ha rivelato due principali tipi di problemi architetturali in WPA3. Entrambi i tipi di problemi possono essere usati per ricreare la password di accesso. Il primo tipo consente un attacco di downgrading a metodi crittografici non sicuri: meccanismi di compatibilità con WPA2 (modalità transitoria che consente l'uso sia di WPA2 che di WPA3) permettono all'attaccante di costringere il cliente a eseguire il processo di negoziazione delle connessioni WPA2 a quattro fasi, consentendo di effettuare attacchi classici basati sulla forza bruta, applicabili a WPA2. Inoltre, è stata identificata la possibilità di un attacco di downgrading direttamente sul metodo di negoziazione delle connessioni Dragonfly, che consente di tornare a tipi di curve elliptiche meno sicuri.
Il secondo tipo di problemi porta a perdite di informazioni sulle caratteristiche della password attraverso canali esterni ed è basato su imperfezioni nel metodo di codifica delle password in Dragonfly, che consentono, attraverso dati indiretti come la variazione dei ritardi durante l'esecuzione delle operazioni, di ricostruire la password originale. L'algoritmo utilizzato in Dragonfly per la trasformazione dell'hash in una curva ellittica (hash-to-curve) si è rivelato vulnerabile ad attacchi che monitorano la fuoriuscita di informazioni dalla cache del processore (cache attack), mentre l'algoritmo per la trasformazione dell'hash in gruppo (hash-to-group) è suscettibile ad attacchi che misurano il tempo di esecuzione delle operazioni (timing attack).
Per effettuare attacchi attraverso l'analisi della cache, l'attaccante deve avere la possibilità di eseguire codice non privilegiato sul sistema dell'utente connesso alla rete wireless. Entrambi i metodi consentono di ottenere le informazioni necessarie per affinare la correttezza della selezione dei caratteri della password durante il processo di attacco. L'efficacia dell'attacco è piuttosto elevata e permette di decifrare una password di 8 caratteri, che include lettere minuscole, intercettando solo 40 sessioni di handshake e spendendo risorse equivalenti al noleggio di capacità Amazon EC2 per 125 dollari.
Sulla base delle vulnerabilità identificate, sono stati proposti diversi scenari di attacco:
- Attacco di downgrade su WPA2 con possibilità di attacco lessicale. In scenari in cui il client e il punto di accesso supportano sia WPA3 che WPA2, un attaccante può installare un proprio punto di accesso fasullo con lo stesso nome della rete, che supporta solo WPA2. In questa situazione, il client utilizzerà il metodo di negoziazione tipico di WPA2, nel processo del quale verrà determinata l'inadeguatezza di tale downgrade, ma ciò avverrà in una fase in cui i messaggi di negoziazione del canale sono già stati inviati e tutte le informazioni necessarie per l'attacco lessicale sono già trapelate. Un metodo simile è applicabile anche per il downgrade a versioni problematiche delle curve ellittiche in SAE.
Inoltre, è stato scoperto che il demone iwd, sviluppato da Intel come alternativa a wpa_supplicant, e il stack wireless del Samsung Galaxy S10 sono vulnerabili ad attacchi di downgrade anche su reti che utilizzano solo WPA3 — se questi dispositivi si sono precedentemente connessi a una rete WPA3, tenteranno di collegarsi a una rete fasulla WPA2 con lo stesso nome.
- Attacco tramite canali laterali con estrazione di informazioni dalla cache della CPU. L'algoritmo di codifica delle password in Dragonfly contiene ramificazioni condizionali e un attaccante, avendo la possibilità di eseguire codice nel sistema dell'utente della rete wireless, può, analizzando il comportamento della cache, determinare quale blocco della condizione if-then-else sia stato scelto. Le informazioni ottenute possono essere utilizzate per effettuare un attacco a forza bruta progressivo, impiegando metodi simili a quelli utilizzati negli attacchi lessicali offline per le password WPA2. Per la protezione, si consiglia di passare a operazioni con tempi di esecuzione costanti, indipendenti dalla natura dei dati trattati;
- Attacco tramite canali laterali con valutazione del tempo di esecuzione delle operazioni. Nel codice di Dragonfly, durante la codifica delle password, vengono utilizzati diversi gruppi moltiplicativi (MODP) e un numero variabile di iterazioni, il cui conteggio dipende dalla password utilizzata e dall'indirizzo MAC del punto di accesso o del client. Un attaccante remoto può determinare quante iterazioni sono state eseguite durante la codifica della password e utilizzarle come indicatore nel tentativo di attacco a forza bruta progressivo.
- Denial of Service. An attacker can disrupt certain functionalities of an access point by exhausting available resources through sending a large number of connection agreement requests. To bypass the flood protection included in WPA3, it is sufficient to send requests with fictitious, non-repeating MAC addresses.
- Fallback to less secure cryptographic groups used in the connection negotiation process in WPA3. For example, if a client supports elliptic curves P-521 and P-256 and uses P-521 as the preferred option, an attacker, regardless of support for P-521 on the access point side, can force the client to use P-256. The attack is carried out by filtering out certain messages during the connection negotiation and sending fake messages indicating the lack of support for certain types of elliptic curves.
To verify devices for vulnerabilities, several scripts with examples of attacks have been prepared:
Dragonslayer — implementation of attacks on EAP-pwd;
- Dragonslayer — implementazione degli attacchi su EAP-pwd;
- Dragondrain — un'utilità per verificare la vulnerabilità dei punti di accesso nell'implementazione del metodo di negoziazione delle connessioni SAE (Simultaneous Authentication of Equals), utilizzabile per avviare un attacco DoS.
- Dragontime — uno script per eseguire attacchi attraverso canali secondari contro SAE, tenendo conto delle differenze nei tempi di elaborazione delle operazioni usando gruppi MODP 22, 23 e 24.
- Dragonforce — un'utilità per il recupero delle informazioni (cracking delle password) basata su dati relativi ai tempi di elaborazione delle operazioni o per determinare la persistenza dei dati nella cache.
L'Associazione Wi-Fi Alliance, che sviluppa standard per le reti wireless, ha annunciato che il problema riguarda un numero limitato di implementazioni iniziali di WPA3-Personal e può essere risolto tramite aggiornamenti di firmware e software. Finora non sono stati riscontrati casi di sfruttamento delle vulnerabilità a fini malevoli. Per migliorare la sicurezza, Wi-Fi Alliance ha aggiunto ulteriori test al programma di certificazione dei dispositivi wireless per verificare la correttezza delle implementazioni e ha contattato i produttori di dispositivi per coordinare insieme la risoluzione dei problemi riscontrati. Le patch per la risoluzione dei problemi sono già state rilasciate per hostap/wpa_supplicant. Gli aggiornamenti dei pacchetti sono disponibili per Ubuntu. I problemi rimangono ancora non risolti in Debian, RHEL, SUSE/openSUSE, Arch, Fedora e FreeBSD.
Fonte: opennet.ru
