WPA3-protocol vanaf de start kwetsbaar voor aanval op wifiwachtwoorden
WPA3 verscheen in 2018 als de ‘perfecte’ opvolger van het WPA2-protocol. Het WPA2-protocol was inmiddels al behoorlijk verouderd en is kwetsbaar voor gerichte aanvallen. Juist om die reden werd er gewerkt aan een nieuw protocol. WPA3 moest beveiligingsproblematiek voorlopig buiten de deur houden. Niets is echter minder waar. Onderzoekers aan de Universiteit van Leuven, maar ook andere universiteiten, hebben uitgevonden dat er toch het een en ander mis is met de beveiliging. De Wi-Fi Alliance heeft alvast aangegeven op korte termijn een update uit te rollen. Met de update hoopt het bedrijf hackers te weerhouden om toegang te verkrijgen tot het wifiwachtwoord.
Onderzoekers van de New York University Adu Dhabi, Tel Aviv University en KU Leuven hebben het lek ontdekt. Onderzoekers schrijven over het lek, dat door het leven zal gaan als ‘Dragonblood’, in een white paper. Het is natuurlijk vrij gecompliceerde materie. Maar in de basis verloopt het lek in het WPA3-protocol zo: hackers maken misbruik van lekken in de Simultaneous Authentication of Equals-handshake. Deze handshake zou er juist voor moeten zorgen dat wachtwoorden veiliger worden overgebracht, maar dat is nu juist niet het geval. Een methode van het protocol om alle wachtwoorden te coderen blijkt kwetsbaar, en is vrij gemakkelijk en goedkoop te ‘brute forcen’.
Goedkope en efficiënte methodiek
Onderzoekers van de universiteit vervolgen de white paper door te vermelden dat het resultaat vrij efficiënt en goedkoop is. En geslaagde poging zouden de onderzoekers slechts 125 dollar gekost hebben: “Het brute forcen van een wachtwoord in kleine letters van acht karakters vergt minder dan 125 dollar in een Amazon EC2-instance.” Toch hoeven we met zijn allen niet veel zorgen te maken. Op het moment van schrijven zijn er slechts een handvol apparaten met het WPA3-protocol. Natuurlijk is het moeilijk te zeggen of alle apparaten de beveiligingsupdate zullen ontvangen. Heb je een router in de Europese winkels gekocht, dan kan je er toch wel van uitgaan dat de update snel zal toekomen.
