נקודות תורפה בטכנולוגיית האבטחה האלחוטית WPA3 ו-EAP-pwd

מת'י ואנהוף, מחברת מתקפת ה-KRACK על רשתות אלחוטיות עם WPA2, ואייל רונן, המחבר בכמה מתקפות על TLS, חשפו מידע על שש נקודות תורפה (CVE-2019-9494 - CVE-2019-9499) בטכנולוגיה הגנה על רשתות אלחוטיות WPA3, המאפשרת לך ליצור מחדש את סיסמת החיבור ולקבל גישה לרשת האלחוטית מבלי לדעת את הסיסמה. הפגיעויות נקראות ביחד בשם הקוד Dragonblood ומאפשרות להתפשר על שיטת המשא ומתן על חיבור Dragonfly, המספקת הגנה מפני ניחוש סיסמה לא מקוונת. בנוסף ל-WPA3, שיטת Dragonfly משמשת גם להגנה מפני ניחוש מילוני בפרוטוקול EAP-pwd המשמש באנדרואיד, שרתי RADIUS ו-hostapd/wpa_supplicant.

המחקר זיהה שני סוגים עיקריים של בעיות ארכיטקטוניות ב-WPA3. בסופו של דבר ניתן להשתמש בשני סוגי הבעיות כדי לשחזר את סיסמת הגישה. הסוג הראשון מאפשר לך לחזור לשיטות הצפנה לא אמינות (התקפת שדרוג לאחור): כלים להבטחת תאימות ל-WPA2 (מצב מעבר, המאפשר שימוש ב-WPA2 ו-WPA3) מאפשרים לתוקף לאלץ את הלקוח לבצע את המשא ומתן על החיבור בן ארבעת השלבים בשימוש על ידי WPA2, המאפשר שימוש נוסף בסיסמאות קלאסיות של התקפות גסות החלות על WPA2. בנוסף, זוהתה האפשרות לבצע התקפת שדרוג לאחור ישירות על שיטת התאמת החיבור של Dragonfly, המאפשרת לחזור לסוגים פחות מאובטחים של עקומות אליפטיות.

הסוג השני של הבעיה מוביל לדליפת מידע על מאפייני סיסמה דרך ערוצי צד שלישי ומבוסס על פגמים בשיטת קידוד הסיסמא ב- Dragonfly, המאפשרים לנתונים עקיפים, כמו שינויים בעיכובים במהלך הפעולות, ליצור מחדש את הסיסמה המקורית. . אלגוריתם ה-hash-to-curve של Dragonfly רגיש להתקפות מטמון, ואלגוריתם ה-hash-to-group שלו רגיש להתקפות זמן ביצוע (התקפת תזמון).

כדי לבצע התקפות כריית מטמון, התוקף חייב להיות מסוגל להפעיל קוד לא מוגן במערכת של המשתמש המתחבר לרשת האלחוטית. שתי השיטות מאפשרות לקבל את המידע הדרוש להבהרת הבחירה הנכונה של חלקי הסיסמה בתהליך בחירת הסיסמה. יעילות המתקפה גבוהה למדי ומאפשרת לנחש סיסמה בת 8 תווים הכוללת תווים קטנים, מיירטת רק 40 מפגשי לחיצת יד והוצאת משאבים שווה ערך להשכרת קיבולת Amazon EC2 תמורת 125$.

בהתבסס על נקודות התורפה שזוהו, הוצעו מספר תרחישי תקיפה:

• התקפה לאחור על WPA2 עם היכולת לבצע בחירת מילון. בסביבות שבהן הלקוח ונקודת הגישה תומכים הן ב-WPA3 והן ב-WPA2, תוקף יכול לפרוס נקודת גישה סוררת משלו עם אותו שם רשת שתומך רק ב-WPA2. במצב כזה, הלקוח ישתמש בשיטת משא ומתן חיבור האופיינית ל-WPA2, במהלכה ייקבע כי החזרה כזו אינה קבילה, אך הדבר יעשה בשלב בו נשלחו הודעות מו"מ בערוץ וכל המידע הדרוש. שכן התקפת מילון כבר דלפה. ניתן להשתמש בשיטה דומה כדי להחזיר גרסאות בעייתיות של עקומות אליפטיות ב-SAE.

  בנוסף, התגלה כי ה-iwd daemon, שפותחה על ידי אינטל כחלופה ל-wpa_supplicant, והמחסנית האלחוטית של Samsung Galaxy S10 רגישים להתקפות שדרוג לאחור גם ברשתות המשתמשות ב-WPA3 בלבד - אם מכשירים אלו היו מחוברים בעבר לרשת WPA3 , הם ינסו להתחבר לרשת דמה WPA2 עם אותו שם.

• מתקפת ערוץ צדדי השואב מידע ממטמון המעבד. אלגוריתם קידוד הסיסמה ב- Dragonfly מכיל הסתעפות מותנית ותוקף, בעל הזדמנות להפעיל את הקוד במערכת של המשתמש האלחוטי, יכול, בהתבסס על ניתוח של התנהגות המטמון, לקבוע איזה מבלוק הביטוי אם-אז-אחר נבחר. . ניתן להשתמש במידע המתקבל לביצוע ניחוש סיסמאות פרוגרסיבי תוך שימוש בשיטות דומות להתקפות מילון לא מקוון על סיסמאות WPA2. לצורך הגנה, מוצע לעבור לשימוש בפעולות עם זמן ביצוע קבוע, ללא תלות באופי הנתונים המעובדים;
• התקפת ערוץ צדדי עם אומדן זמן ביצוע הפעולה. הקוד של Dragonfly משתמש במספר קבוצות מכפלות (MODP) כדי לקודד סיסמאות ומספר משתנה של איטרציות, שמספרן תלוי בסיסמה שבה נעשה שימוש ובכתובת ה-MAC של נקודת הגישה או הלקוח. תוקף מרוחק יכול לקבוע כמה איטרציות בוצעו במהלך קידוד סיסמה ולהשתמש בהן כאינדיקציה לניחוש סיסמה מתקדם.
• שיחת מניעת שירות. תוקף יכול לחסום את פעולתן של פונקציות מסוימות של נקודת הגישה עקב מיצוי המשאבים הזמינים על ידי שליחת מספר רב של בקשות למשא ומתן ערוצי תקשורת. כדי לעקוף את הגנת ההצפה שמספקת WPA3, מספיק לשלוח בקשות מכתובות MAC פיקטיביות, שאינן חוזרות על עצמן.
• חזרה לקבוצות קריפטוגרפיות פחות מאובטחות המשמשות בתהליך המשא ומתן על חיבור WPA3. לדוגמה, אם לקוח תומך בעקומות אליפטיות P-521 ו-P-256, ומשתמש ב-P-521 כאפשרות העדיפות, אז התוקף, ללא קשר לתמיכה
  P-521 בצד נקודת הגישה יכול לאלץ את הלקוח להשתמש ב-P-256. המתקפה מתבצעת על ידי סינון של כמה הודעות במהלך תהליך המשא ומתן על החיבור ושליחת הודעות מזויפות עם מידע על היעדר תמיכה בסוגים מסוימים של עקומות אליפטיות.

כדי לבדוק נקודות תורפה במכשירים, הוכנו מספר סקריפטים עם דוגמאות של התקפות:

• Dragonslayer - הטמעת התקפות על EAP-pwd;
• Dragondrain הוא כלי עזר לבדיקת הפגיעות של נקודות גישה לאיתור נקודות תורפה ביישום שיטת המשא ומתן לחיבור SAE (Simultaneous Authentication of Equals), אשר ניתן להשתמש בה כדי ליזום מניעת שירות;
• Dragontime - סקריפט לביצוע התקפת ערוץ צדדי נגד SAE, תוך התחשבות בהבדל בזמן העיבוד של פעולות בעת שימוש בקבוצות MODP 22, 23 ו-24;
• Dragonforce הוא כלי עזר לשחזור מידע (ניחוש סיסמה) המבוסס על מידע על זמני עיבוד שונים של פעולות או קביעת שמירת הנתונים במטמון.

ה-Wi-Fi Alliance, המפתחת תקנים לרשתות אלחוטיות, הודיעה כי הבעיה משפיעה על מספר מוגבל של יישומים מוקדמים של WPA3-Personal וניתן לתקן אותה באמצעות עדכון קושחה ותוכנה. לא תועדו מקרים של שימוש בפרצות לביצוע פעולות זדוניות. כדי לחזק את האבטחה, ה-Wi-Fi Alliance הוסיפה בדיקות נוספות לתוכנית הסמכת המכשירים האלחוטיים כדי לוודא את נכונות ההטמעות, וכן פנתה ליצרני המכשירים כדי לתאם במשותף תיקונים לבעיות שזוהו. כבר שוחררו תיקונים עבור hostap/wpa_supplicant. עדכוני חבילה זמינים עבור אובונטו. לדביאן, RHEL, SUSE/openSUSE, Arch, Fedora ו-FreeBSD עדיין יש בעיות שלא נפתרו.

מקור: OpenNet.ru