Sårbarheter i WPA3-trådlös säkerhetsteknik och EAP-pwd

Mathy Vanhoef, författare till KRACK-attacken mot trådlösa nätverk med WPA2, och Eyal Ronen, medförfattare till flera attacker mot TLS, har avslöjat information om sex sårbarheter (CVE-2019-9494 – CVE-2019-9499) i skyddteknologin för trådlösa nätverk WPA3, som gör det möjligt att återskapa anslutningslösenordet och få tillgång till det trådlösa nätverket utan att känna till lösenordet. Sårbarheterna har fått kodnamnet Dragonblood och gör det möjligt att kompromettera Dragonfly-metakonsensusmetoden, som ger skydd mot offline-lösenordsattacker. Förutom WPA3 används Dragonfly-metoden också för att skydda mot ordlistaattacker i EAP-pwd-protokollet som används i Android, RADIUS-servrar och i hostapd/wpa_supplicant.

Forskningen har identifierat två huvudsakliga typer av arkitekturproblem i WPA3. Båda typerna av problem kan i slutändan användas för att återskapa åtkomstlösenordet. Den första typen möjliggör en nedgradering till osäkra kryptografiska metoder (nedgraderingsattack): verktyg för att säkerställa kompatibilitet med WPA2 (transitläge som tillåter användning av både WPA2 och WPA3) gör det möjligt för en angripare att tvinga klienten att genomföra den WPA2 fyra-stegs anslutningsmetoden, vilket gör det möjligt att sedan använda klassiska metoder för lösenordsattacker som är tillämpliga på WPA2. Dessutom har möjligheten för en nedgraderingsattack direkt på Dragonfly-metakonsensusmetoden identifierats, vilket tillåter en nedgradering till mindre skyddade typer av elliptiska kurvor.

Den andra typen av problem leder till läckage av information om lösenordets egenskaper via sido-kanaler och bygger på brister i lösenordskodningsmetoden i Dragonfly, vilket möjliggör att återskapa det ursprungliga lösenordet baserat på indirekta data, som ändringar i förseningar under operationer. Den algoritm som används i Dragonfly för att omvandla hash till elliptisk kurva (hash-to-curve) visar sig vara sårbar för attacker genom att spåra informationens kvarhållande i processor-cacheminnet (cache-attack), medan algoritmen för att omvandla hash till grupp (hash-to-group) är utsatt för attacker genom att mäta operationernas exekveringstid (timing-attack).

För att genomföra attacker via cacheanalys måste angriparen ha möjlighet att köra oprivilegierad kod på användarens system som ansluter till det trådlösa nätverket. Båda metoderna ger möjlighet att få information som är nödvändig för att klargöra valet av delar av lösenordet under processen för att knäcka det. Effektiviteten av attacken är tillräckligt hög och gör det möjligt att knäcka ett 8-teckens lösenord, inklusive små bokstäver, genom att fånga endast 40 handskakningssessioner och spendera resurser motsvarande hyra av Amazon EC2-kapacitet för 125 dollar.

Baserat på identifierade sårbarheter har flera attackscenarier föreslagits:

• Rollbackattack på WPA2 med möjlighet för ordlistesökning. Under förutsättning att både klienten och åtkomstpunkten stöder både WPA3 och WPA2 kan angriparen ställa upp en egen falsk åtkomstpunkt med samma nätverksnamn som enbart stöder WPA2. I en sådan situation kommer klienten att använda den typiska WPA2-metoden för anslutningshandshake, där det kommer att fastställas att en sådan nedgradering inte är tillåten, men detta kommer att ske i ett skede där meddelanden om kanal-ackreditering redan har skickats och all nödvändig information för en ordlistaattack redan har läckt. En liknande metod är tillämplig för nedgradering till problematiska versioner av elliptiska kurvor i SAE.

  Dessutom har det visat sig att iwd-daemonen, som utvecklas av Intel som ett alternativ till wpa_supplicant, och den trådlösa stacken på Samsung Galaxy S10 är sårbara för nedgraderingsattacker även i nätverk som endast använder WPA3 – om dessa enheter tidigare har anslutits till ett WPA3-nätverk, kommer de att försöka ansluta till en falsk WPA2-nätverk med samma namn.

• Attack through side channels extracting information from the processor cache. The password encoding algorithm in Dragonfly contains conditional branching, and an attacker, having the ability to execute code in the user’s wireless network system, can determine which block from the if-then-else expression has been selected based on cache behavior analysis. The obtained information can be used for performing a successive password guessing attack, employing methods similar to offline dictionary attacks on WPA2 passwords. It is recommended to switch to operations with constant execution time, independent of the nature of the processed data;
• Attack through side channels assessing the execution time of operations. In the Dragonfly code for password encoding, several multiplicative groups (MODP) and a variable number of iterations are used, the number of which depends on the password being used and the MAC address of the access point or client. A remote attacker can determine how many iterations were performed during password encoding and use them as a criterion for successive password guessing.
• Denial-of-service attack. An attacker can block certain functions of the access point due to resource exhaustion by sending a large number of connection negotiation requests. To bypass the flood protection provided in WPA3, it is sufficient to send requests from fictitious unique MAC addresses.
• Rollback to less secure cryptographic groups used during connection negotiation in WPA3. For example, if a client supports the elliptic curves P-521 and P-256, and uses P-521 as a preferred option, the attacker, regardless of whether P-521 is supported on the access point side, can force the client to use P-256. The attack is carried out by filtering out some messages during the connection negotiation process and sending fake messages indicating the lack of support for certain types of elliptic curves.
  To check devices for vulnerabilities, several scripts with examples of attacks have been prepared:

Dragonslayer — implementation of attacks on EAP-pwd;

• Dragonslayer — implementation of attacks on EAP-pwd;
• Dragondrain – ett verktyg för att kontrollera sårbarheter vid implementeringen av SAE (Simultaneous Authentication of Equals) metodens anslutningshanteing, som kan användas för att initiera en överbelastningsattack;
• Dragontime – ett skript för att genomföra attacker via externa kanaler mot SAE, med hänsyn till skillnader i operationell behandlingstid när man använder MODP-grupperna 22, 23 och 24;
• Dragonforce – ett verktyg för återhämtning av information (lösenordsåterställning) baserat på skillnader i operationell behandlingstid eller för att identifiera datakollaps i cache.

Wi-Fi Alliance, som utvecklar standarder för trådlösa nätverk, har meddelat att problemet berör ett begränsat antal tidiga implementationer av WPA3-Personal och kan lösas genom firmware- och programvaruuppdateringar. Det har inte rapporterats några fall av utnyttjande av sårbarheter för skadliga syften. För att stärka skyddet har Wi-Fi Alliance i den trådlösa enhetscertifieringsprogrammet lagt till ytterligare tester för att kontrollera korrektheten i implementationerna och har kontaktat enhetstillverkare för samordning av avhjälpande åtgärder. Patcher för att åtgärda problemen har redan släppts för hostap/wpa_supplicant. Paketuppdateringar finns tillgängliga för Ubuntu. I Debian, RHEL, SUSE/openSUSE, Arch, Fedora och FreeBSD kvarstår problemen olösta.

Källa: opennet.ru