Lek in wifi-beveiliging maakt je netwerk kwetsbaar

De Belgische onderzoekers Frank Piessens en Mathy Vanhoef hebben een ernstig beveiligingslek gevonden in Wi-Fi Protected Access II (WPA2), zo meldt Ars Technica. Beschik je thuis over een draadloze verbinding, dan is je netwerk ongetwijfeld beveiligd met dit protocol. De exploit zit hem in hoe het protocol aan sleutelbeheer doet en heeft ernstige gevolgen. Door de kwetsbaarheid kunnen hackers onder meer je connectie kapen en malware in je netwerk spuiten.

Iedereen is kwetsbaar

De twee onderzoekers doopten het lek tot ‘Krack’, wat staat voor Key Reinstallation Attacks. De exploit is dusdanig ernstig dat hackers allerlei tools aangereikt krijgen om je draadloze netwerk te besmetten: decryptie, packer replay, kapen van tcp-verbindingen en http-contentinjectie. Het lek zit hem in de vier stappen van een ‘handshake’ waarmee een sleutel wordt gegenereerd om gegevens te versleutelen. In de derde stap kan de sleutel meermaals verstuurd worden zodat hackers de key kunnen opvissen en de encryptie ondermijnen.

Het United States Computer Emergency Readiness Team (US-CERT) waarschuwt iedereen over de mogelijke impact en universaliteit van de exploit. Aangezien het gaat om een lek in het protocol zelf, is geen enkele draadloze verbinding (die met WPA2 is versleuteld) nog veilig. Routers, iPhones, Android- en Windows-apparaten, ze zullen allemaal moeten worden gepatcht.

Oud protocol

WPA2 stamt al uit 2004 en vertoont duidelijk ouderdomsverschijnselen. Het protocol is niet perfect, maar is nog steeds de beste oplossing voor particulieren. Het laat gebruikers toe om een sterk wachtwoord in te stellen – met letters, cijfers en andere karakters – dat tot voor kort nagenoeg niet te kraken was voor aanvallers. Of er een nieuwe standaard komt voor wifi-beveiliging, is nog niet duidelijk. Momenteel wordt gekeken of het lek met een software-update kan gedicht worden.

Meer details over de kwetsbaarheid zullen de onderzoekers vandaag prijsgeven. Op Github plaatste Vanhoef alvast een plaatsvervanger voor de kwetsbaarheid. Ook is een site gereserveerd om (waarschijnlijk) meer informatie te bieden. Momenteel kom je wel nog op een lege webpagina terecht. Ten slotte zijn de CVE-2017-identifiers 13077, 13078, 13079, 13080, 13081, 13082, 13084, 13086, 13087, 13088 gereserveerd voor de exploit.

Update 11:54 – De website krackattacks.com staat online. Op de site geeft Mathy Vanhoef nog meer informatie over de wifi-kwetsbaarheid en toont aan de hand van een demonstratiefilmpje hoe het lek ineen zit. Volgens de Belgische onderzoeker is een nieuwe standaard niet noodzakelijk: het lek kan via een patch gedicht worden.