Mathy Vanhoef, autor útoku KRACK na bezdrôtové siete s WPA2, a Eyal Ronen, spoluautor niektorých útokov na TLS, odhalili informácie o šiestich zraniteľnostiach (CVE-2019-9494 — CVE-2019-9499) v technológii ochrany bezdrôtových sietí WPA3, ktoré umožňujú obnoviť prístupové heslo a získať prístup k bezdrôtovej sieti bez znalosti hesla. Zraniteľnosti sú kombinované pod kódovým menom Dragonblood a umožňujú kompromitovať metódu súhlasu pripojení Dragonfly, ktorá poskytuje ochranu proti vyčerpávaciemu pokusu o odhad hesla v offline režime. Okrem WPA3 sa metóda Dragonfly používa aj na ochranu pred slovníkovým útokom v protokole EAP-pwd, ktorý sa používa v Android, RADIUS serveroch a v hostapd/wpa_supplicant.
Počas vyšetrovania boli identifikované dva hlavné typy architektonických problémov v WPA3. Obe kategórie problémov môžu v konečnom dôsledku slúžiť na obnovenie prístupového hesla. Prvý typ umožňuje vykonať downgrade na nedôveryhodné kryptografické metódy (downgrade attack): prostriedky na zabezpečenie kompatibility s WPA2 (tranzitný režim, ktorý umožňuje používanie WPA2 a WPA3) umožňujú útočníkovi prinútiť klienta vykonať štvorkrokový proces súhlasu pripojení WPA2, čo následne umožňuje používanie klasických útokov na odhad hesla, ktoré sú účinné proti WPA2. Navyše bola zistená aj možnosť vykonania downgrade útoku priamo na metódu súhlasu pripojení Dragonfly, čo umožňuje prejsť na menej zabezpečené typy eliptických kriviek.
Druhý typ problémov vedie k únikom informácií o charakteristikách hesla prostredníctvom vedľajších kanálov a zakladá sa na nedostatkoch v metóde kódovania hesla v Dragonfly, ktoré umožňujú na základe nepriamej spätnej väzby, ako je zmena zdržania pri vykonávaní operácií, obnoviť pôvodné heslo. Algoritmus prevodu hash na eliptickú krivku (hash-to-curve) použitý v Dragonfly je zraniteľný voči útokom prostredníctvom sledovania informácií v procesorovej cache (cache attack), zatiaľ čo algoritmus prevodu hash do skupiny (hash-to-group) je zraniteľný voči útokom merania času vykonávania operácií (timing attack).
Na uskutočnenie útokov cez analýzu cache musí útočník mať schopnosť vykonávať neprivilegovaný kód na systéme používateľa, ktorý sa pripája k bezdrôtovej sieti. Obe metódy umožňujú získať informácie potrebné na overenie správnosti výberu častí hesla počas jeho pokusu. Účinnosť útoku je dostatočne vysoká a umožňuje získať 8-znakové heslo, ktoré obsahuje malé písmená, zachytením iba 40 súhlasných seáns (handshake) a minúc prostriedky ekvivalentné prenájmu výkonu Amazon EC2 za 125 dolárov.
Na základe zistených zraniteľností bolo navrhnutých niekoľko scenárov útokov:
- Útok pomocou downgrade na WPA2 s možnosťou vykonania slovného pokusu. V podmienkach, keď klient a prístupový bod podporujú WPA3 aj WPA2, môže útočník nasadiť vlastný falošný prístupový bod so rovnakým názvom siete, ktorý podporuje iba WPA2. V tejto situácii klient použije metódu vyjednávania pripojenia typickú pre WPA2, počas ktorej bude určená neprípustnosť takéhoto downgrade, ale to sa stane v štádiu, keď správy o vyjednávaní kanála už boli odoslané a všetky potrebné informácie na slovný útok už unikli. Podobná metóda je použiteľná aj na downgrade na problematické verzie eliptických kriviek v SAE.
Okrem toho bolo zistené, že démon iwd, vyvinutý spoločnosťou Intel ako alternatíva k wpa_supplicant, a bezdrôtový stack Samsung Galaxy S10 sú náchylné na downgrade útoky, aj v sieťach, ktoré používajú iba WPA3 — ak sa tieto zariadenia predtým pripojili k WPA3 sieti, pokúsia sa pripojiť k falošnej WPA2 sieti so rovnakým menom.
- Útok prostredníctvom kanalizácie s extrakciou údajov z procesorovej vyrovnávacej pamäte. Algoritmus kódovania hesiel v Dragonfly obsahuje podmienené vetvenie a útočník, ktorý má možnosť vykonať kód v systéme používateľa bezdrôtovej siete, môže na základe analýzy chovania vyrovnávacej pamäte určiť, ktorý z blokov výrazu if-then-else bol vybraný. Získané informácie môžu byť použité na vykonanie postupného uhádnutia hesla použitím metód podobných offline útokom slovníkov na uhádnutie hesiel WPA2. Na ochranu sa odporúča prejsť na používanie operácií s konštantným časom vykonávania, nezávislým od charakteru spracovávaných údajov;
- Útok prostredníctvom kanalizácie s hodnotením času vykonávania operácií. V kóde Dragonfly pri kódovaní hesiel sa používa niekoľko multiplikatívnych skupín (MODP) a premenlivý počet iterácií, ktorých počet závisí od používaného hesla a MAC adresy prístupového bodu alebo klienta. Vzdialený útočník môže určiť, koľko iterácií bolo vykonaných počas kódovania hesla a využiť ich ako znak pri postupnom uhádnutí hesla.
- Vyvolanie odmietnutia služby. Útočník môže zablokovať prácu určitých funkcií prístupového bodu prečerpaním dostupných zdrojov zaslaním veľkého počtu požiadaviek na dohodu o spojení. Na obídenie ochrany proti floodom zahrnutej v WPA3 stačí poslať požiadavky z falošných, jedinečných MAC adries.
- Rollback na menej zabezpečené kryptografické skupiny používané v procese dohodovania pripojení vo WPA3. Napríklad, ak klient podporuje eliptické krivky P-521 a P-256 a používa P-521 ako prioritu, útočník, bez ohľadu na podporu
P-521 na strane prístupového bodu, môže nútiť klienta používať P-256. Útok sa uskutočňuje prostredníctvom filtrovania niektorých správ v procese dohodovania pripojenia a zasielania falošných správ s informáciou o absencii podpory určitých typov eliptických kriviek.
Na overenie zariadení na prítomnosť zraniteľností bolo pripravených niekoľko skriptov s príkladmi vykonania útokov:
- Dragonslayer — implementácia útokov na EAP-pwd;
- Dragondrain — nástroj na kontrolu zraniteľnosti prístupových bodov pri implementácii metódy dohody o pripojeniach SAE (Simultaneous Authentication of Equals), ktorý sa môže využiť na iniciovanie odmietnutia služby;
- Dragontime — skript na vykonanie útoku prostredníctvom bočných kanálov proti SAE, ktorý zohľadňuje rozdiel v čase spracovania operácií pri použití skupín MODP 22, 23 a 24;
- Dragonforce — nástroj na obnovu informácií (heslový cracking) na základe poznatkov o rôznom čase spracovania operácií alebo určenia usadenia údajov v cache.
Zväz Wi-Fi Alliance, ktorý rozvíja štandardy pre bezdrôtové siete, oznámil, že problém sa týka obmedzeného počtu skorých implementácií WPA3-Personal a môže byť odstránený prostredníctvom aktualizácie firmvéru a softvéru. Faktické prípady zneužitia zraniteľností na vykonanie škodlivých činov zatiaľ neboli zaznamenané. Na posilnenie zabezpečenia Wi-Fi Alliance pridala do programu certifikácie bezdrôtových zariadení dodatočné testy na preverenie správnosti implementácií, ako aj kontaktovala výrobcov zariadení na spoločnú koordináciu odstránenia zistených problémov. Opravy na odstránenie problémov už boli vydané pre hostap/wpa_supplicant. Aktualizácie balíkov sú dostupné pre Ubuntu. V Debian, RHEL, SUSE/openSUSE, Arch, Fedora a FreeBSD problémy zatiaľ zostávajú neopravene.
Zdroj: opennet.ru
