Neue Super-Sichere Wifi Ist Tatsächlich Voll von Sicherheitslücken

Illustration for article titled New Super-Secure Wifi Is Actually Full of Security Holes Foto: Getty Images

Wenn die Wi-Fi Alliance veröffentlicht die nächste generation seiner WPA3 wifi Sicherheit Protokoll der letzten Januar wurde angepriesen als nahezu unmöglich zu knacken. Gemacht, dass es eine ernsthafte upgrade über WPA2, die aktuelle Protokollversion verwendet, die durch moderne wifi-Netzwerken—einschließlich einer Sie wahrscheinlich dies Lesen auf. Außer, Forscher am Mittwoch veröffentlichten Ergebnisse zeigen, dass WPA3 hat tatsächlich einige schwerwiegende Konstruktionsfehler, dass er anfällig für die gleichen Angriffe, die geplagt WPA2.

Backtrack für eine Sekunde, die Hauptsache ist, dass sollte zu machen WPA3 so sicher war ein Verschlüsselungsverfahren namens “Dragonfly” – handshake. Es verbessert die aktuelle “vier-Wege-handshake’ verwendet WPA2 zu überprüfen-Geräte versuchen, eine Verbindung zu einem Netzwerk. Leider ist die vier-Wege-handshake enthält einen hash Ihres Passworts. Das bedeutet, dass jemand nahe genug, um zu sagen, ein Handy oder laptop versucht, eine Verbindung zu einem Netzwerk kann leicht knacken Sie Ihr Passwort, wenn es zu kurz oder nicht zufällig genug.

Was Dragonfly-handshakes härter zu knacken war, dass es ersetzt WPA2 – pre-shared-Schlüssel (mit dem Simultaneous Authentication of Equals (SAE). Wenn das liest sich wie Kauderwelsch, ist alles was Sie wirklich wissen müssen ist, dass die SAE gibt Ihnen stärkere Passwort-basierte Authentifizierung und besser schützt gegen Passwort zu erraten versucht—auch wenn Sie Ihre Passwörter sind nicht lang genug und nicht enthalten eine Mischung von Großbuchstaben, Sonderzeichen und zahlen. Die anderen profitieren von SAE unterstützt forward secrecy, ein feature, das schützt Ihre Daten, wenn Sie Ihr Passwort kompromittiert später auf.

Aber diese angeblichen Vorteile Art von Schmelzen im Licht der relativ einfache, kostengünstige und Angriffe Forscher geschleudert WPA3. Eines der Probleme hervorgehoben wird ein “übergangs-Modus”, der es ermöglicht WPA3 Geräte rückwärts kompatibel mit WPA2-only-Geräte. In einem blog, erklärten die Forscher, dass ein hacker könnte einen ” Schurken-Netzwerk und nutzen Sie den übergangsmodus zu zwingen WPA3-Geräte für die Verbindung mit WPA2. Dann, der hacker könnte leicht zu erfassen Teil des WPA2-vier-Wege-handshake und dann verwenden Sie brute-force-Attacken, um herauszufinden, den rest des Passwortes. Die Forscher fanden auch, dass Sie auf einem Samsung Galaxy S10, die Sie zwingen könnte, das Gerät zu verwenden, WPA2, auch wenn es mit einem WPA3-Netzwerk.

Dies ist beunruhigend, denn es wird eine Weile dauern, bis alle WLAN-Netzwerke WPA3 kompatibel. In einer email an Ars Technica, der leitende Forscher Mathy Vanhoef sagte, “Da die ersten paar Jahre in den meisten Netzwerken operieren müssen, in WPA3-Übergangs-Modus für die Unterstützung von WPA2 WPA3 gleichzeitig, dadurch verringert sich der Vorteil von WPA3.”

Eine weitere Sicherheitslücke schließt sogenannte side-channel-Lecks. Eine schädliche Schauspieler könnte-monitor-cache-Zugriff Muster auf einem Gerät, und dann verwenden, um aufzulesen Informationen über das Kennwort. Zum Beispiel, wenn ein hacker hat die Kontrolle über jede app auf Ihrem Gerät, oder sogar einen Javascript code in Ihrem browser, diese durchgesickert Muster können dann verwendet werden, um Stück zusammen, Ihr Passwort.

Dragonfly ist auch anfällig für timing-basierte Seite-Kanal-Lecks. Im wesentlichen könnte ein hacker Messen, wie lange es dauert, ein Passwort kodiert werden, und diese Informationen verwenden, um reverse Engineering das Passwort. In jedem Fall, die Forscher stellten fest, beide Arten von side-channel-Angriffe sind “effiziente und niedrige Kosten.” Im Grunde, würden Sie Kosten weniger als $125 Wert der Amazon EC2-computing-Ressourcen.

Was bedeutet das alles? Lange Geschichte kurz, WPA3 ist nicht so sicher wie es ursprünglich sein, und laut der Studie der Forscher, dass viele der Schwachstellen können vermieden worden, wenn die Wi-Fi Alliance hatte mehr außerhalb input bei der Entwicklung von WPA3. Eine weitere beunruhigende Problem der Forscher darauf hingewiesen, dass die Festsetzung einige der side-channel Ausgaben wird nicht einfach sein. Dies alles wirft weitere Fragen über die zukünftige Sicherheit der günstigen Internet-der-Dinge-Geräte, da die Hersteller möglicherweise nicht über die Ressourcen zur Durchführung der erforderlichen Korrekturen.

“Im Hinblick auf unsere vorgestellten Angriffe, wir glauben, dass WPA3 erfüllt nicht die standards eines modernen security-Protokoll,” die Forscher schrieb in Ihrem Fazit. “Schließlich glauben wir, dass ein offener Prozess, der verhindert hätte (oder erläutert) die Möglichkeit des downgrade-Angriffe gegen WPA3-Übergangs-Modus. Dennoch, obwohl WPA3 hat seine Schwächen, die wir noch betrachten es als eine Verbesserung WPA2.”

Auf der anderen Seite, die Wi-Fi Alliance ist bewusst die Ergebnisse der Forscher. In einer Pressemitteilung, der Konzern schrieb, dass “WPA3-Personal ist in den frühen Phasen der Bereitstellung und der kleinen Anzahl von Herstellern, die betroffen sind, haben bereits begonnen, bereitstellen von patches zum beheben der Probleme.”

Hacker werden immer einen Weg finden. Zumindest dieses mal, die wurden Sicherheitslücken entdeckt, durch die guten und die nachfolgenden patches ausgerollt aus Ihre Ergebnisse könnten Hacker abzuschrecken von versuchen, die gleichen tricks. Es betont auch, wie wichtig es ist, sicherzustellen, dass Ihr Gerät die firmware ist up-to-date, und dass, wenn Sie nicht bereits über ein Passwort-manager, Sie sollten wirklich, wirklich auf.

[Ars Technica]

Teilen Sie Diese Geschichte


Date:

by