Ранливост во технологијата за безбедност на безжичната мрежа WPA3 и EAP-pwd

Мети Ванхоф, автор на нападот KRACK на безжични мрежи со WPA2 и Ејал Ронен, коавтор на некои напади врз TLS, открија информации за шест пропусти (CVE-2019-9494 - CVE-2019-9499) во технологијата заштита на безжичните мрежи WPA3, што ви овозможува повторно да ја креирате лозинката за поврзување и да добиете пристап до безжичната мрежа без да ја знаете лозинката. Ранливостите се колективно со кодно име Dragonblood и овозможуваат компромитирање на методот на преговарање за поврзување Dragonfly, кој обезбедува заштита од офлајн погодување лозинка. Покрај WPA3, методот Dragonfly се користи и за заштита од погодување во речник во протоколот EAP-pwd што се користи во серверите Android, RADIUS и hostapd/wpa_supplicant.

Студијата идентификуваше два главни типа на архитектонски проблеми во WPA3. И двата типа на проблеми на крајот може да се користат за реконструкција на лозинката за пристап. Првиот тип ви овозможува да се вратите на несигурни криптографски методи (напад за намалување на оценката): алатките за обезбедување компатибилност со WPA2 (транзитен режим, дозволувајќи употреба на WPA2 и WPA3) му овозможуваат на напаѓачот да го принуди клиентот да изврши преговори за поврзување во четири чекори се користи од WPA2, што овозможува понатамошна употреба на класични лозинки за напади со брутална сила применливи на WPA2. Дополнително, идентификувана е можноста да се изврши напад за намалување директно на методот за совпаѓање на поврзувањето Dragonfly, овозможувајќи му да се врати назад на помалку безбедни типови на елиптични кривини.

Вториот тип на проблем води до истекување на информации за карактеристиките на лозинката преку канали од трети страни и се заснова на недостатоци во методот за кодирање лозинка во Dragonfly, што овозможува индиректни податоци, како што се промените во доцнењата за време на операциите, да ја рекреираат оригиналната лозинка . Алгоритмот „хаш-до-крива“ на Dragonfly е подложен на напади од кешот, а неговиот алгоритам „хаш-до-група“ е подложен на напади во време на извршување.операции (тајминг напад).

За да изврши напади за рударство на кеш, напаѓачот мора да може да изврши непривилегиран код на системот на корисникот што се поврзува на безжичната мрежа. Двата методи овозможуваат да се добијат потребните информации за да се разјасни правилниот избор на делови од лозинката за време на процесот на избор на лозинка. Ефективноста на нападот е доста висока и ви овозможува да погодите лозинка од 8 знаци која вклучува мали знаци, пресретнување на само 40 сесии за ракување и трошење ресурси еквивалентни на изнајмување капацитет на Amazon EC2 за 125 долари.

Врз основа на идентификуваните пропусти, предложени се неколку сценарија за напад:

• Напад за враќање на WPA2 со можност за избор на речник. Во средини каде што клиентот и пристапната точка поддржуваат и WPA3 и WPA2, напаѓачот може да распореди своја непријателска пристапна точка со истото име на мрежата што поддржува само WPA2. Во таква ситуација, клиентот ќе го користи методот на преговарање за поврзување карактеристичен за WPA2, при што ќе се утврди дека таквото враќање е недозволиво, но тоа ќе се направи во фаза кога се испратени пораките за преговарање на каналот и сите потребни информации за напад на речник веќе протече. Сличен метод може да се користи за враќање на проблематичните верзии на елиптични криви во SAE.

  Дополнително, беше откриено дека демонот iwd, развиен од Интел како алтернатива на wpa_supplicant, и безжичниот стек Samsung Galaxy S10 се подложни на напади за намалување дури и во мрежи кои користат само WPA3 - ако овие уреди претходно биле поврзани на WPA3 мрежа , тие ќе се обидат да се поврзат на лажна WPA2 мрежа со истото име.

• Напад на страничен канал кој извлекува информации од кешот на процесорот. Алгоритмот за кодирање на лозинката во Dragonfly содржи условно разгранување и напаѓачот, кој има способност да го изврши кодот на системот на безжичниот корисник, може, врз основа на анализа на однесувањето на кешот, да одреди кој од блоковите на изразување if-then-else е избран. Добиените информации може да се користат за да се изврши прогресивно погодување лозинки користејќи методи слични на нападите на офлајн речник на лозинките на WPA2. За заштита, се предлага да се префрли на користење операции со постојано време на извршување, независно од природата на податоците што се обработуваат;
• Напад од страничен канал со проценка на времето на извршување на операцијата. Кодот на Dragonfly користи повеќе мултипликативни групи (MODP) за кодирање на лозинки и променлив број повторувања, чиј број зависи од користената лозинка и MAC адресата на пристапната точка или клиентот. Далечински напаѓач може да одреди колку повторувања се извршени за време на кодирањето на лозинката и да ги користи како индикација за прогресивно погодување лозинка.
• Повик за одбивање на услугата. Напаѓачот може да ја блокира работата на одредени функции на пристапната точка поради исцрпување на расположливите ресурси со испраќање на голем број барања за преговори за канали за комуникација. За да се заобиколи заштитата од поплави обезбедена од WPA3, доволно е да се испратат барања од фиктивни, неповторливи MAC адреси.
• Резервација на помалку безбедни криптографски групи што се користат во процесот на преговори за поврзување WPA3. На пример, ако клиентот поддржува елиптични кривини P-521 и P-256, и користи P-521 како приоритетна опција, тогаш напаѓачот, без оглед на поддршката
  P-521 на страната на пристапната точка може да го принуди клиентот да користи P-256. Нападот се врши со филтрирање на некои пораки за време на процесот на преговори за поврзување и испраќање лажни пораки со информации за недостаток на поддршка за одредени видови елипсовидни кривини.

За да се проверат уредите за пропусти, подготвени се неколку скрипти со примери на напади:

• Dragonslayer - спроведување на напади врз EAP-pwd;
• Dragondrain е алатка за проверка на ранливоста на точките за пристап за ранливости при имплементацијата на методот за преговарање конекција SAE (Simultaneous Authentication of Equals), што може да се користи за да се иницира одбивање на услугата;
• Dragontime - скрипта за спроведување на напад на страничен канал против SAE, земајќи ја предвид разликата во времето на обработка на операциите при користење на MODP групите 22, 23 и 24;
• Dragonforce е алатка за враќање на информации (погодување лозинка) врз основа на информации за различни времиња на обработка на операции или одредување на задржување на податоците во кешот.

Wi-Fi Alliance, кој развива стандарди за безжични мрежи, објави дека проблемот влијае на ограничен број рани имплементации на WPA3-Personal и може да се поправи преку ажурирање на фирмверот и софтверот. Нема документирани случаи на искористени ранливости за извршување на малициозни дејства. За да ја зајакне безбедноста, Wi-Fi Alliance додаде дополнителни тестови на програмата за сертификација на безжичниот уред за да ја потврди исправноста на имплементациите, а исто така контактираше со производителите на уреди за заеднички да ги координираат поправките за идентификуваните проблеми. Закрпи се веќе објавени за hostap/wpa_supplicant. Ажурирањата на пакетите се достапни за Ubuntu. Debian, RHEL, SUSE/openSUSE, Arch, Fedora и FreeBSD сè уште имаат нерешени проблеми.

Извор: opennet.ru