Wi-Fi Protected Access: differenze tra le versioni

Versione delle 11:35, 22 dic 2017

Versione delle 14:26, 25 dic 2017

Riga 12:

==WPA==

L'Alliance Wi-Fi ha inteso WPA come misura intermedia per sostituire [[Wired Equivalent Privacy|WEP]] in attesa della disponibilità dello standard [[IEEE 802.11i|IEEE 802.11i]]. WPA potrebbe essere implementata tramite aggiornamenti [[firmware]] sulle schede di interfaccia di rete wireless progettate per il WEP, che ha iniziato la spedizione nel 1999. Tuttavia, poiché le modifiche richieste nei [[Access point|punti di accesso wireless]] (AP) erano più ampi di quelli necessari sulle schede di rete, la maggior parte gli AP precedenti al 2003 non possono essere aggiornati per supportare WPA.

Il protocollo WPA implementa gran parte dello standard IEEE 802.11i. In particolare, il protocollo [[Temporal Key Integrity Protocol]] (TKIP) è stato adottato per WPA. WEP ha utilizzato una chiave di crittografia a 64 bit oa 128 bit che deve essere immessa manualmente sui punti di accesso e dispositivi wireless e non cambia. TKIP utilizza un pacchetto per pacchetto, il che significa che genera in modo dinamico un nuovo codice a 128 bit per ogni pacchetto e quindi impedisce i tipi di attacchi che compromettono WEP.<ref>{{Cita libro|cognome= Meyers |nome= Mike |titolo= Managing and Troubleshooting Networks |editore= McGraw Hill |serie= Network+ |anno= 2004 |isbn= 978-0-07-225665-9}}</ref>

Riga 22:

{{vedi anche|IEEE 802.11i}}

WPA2 ha sostituito WPA. WPA2, che richiede test e certificazione da parte della Wi-Fi Alliance, implementa gli elementi obbligatori di IEEE 802.11i. In particolare, include il supporto obbligatorio per [[CCMP]], una modalità di crittografia basata su [[Advanced Encryption Standard|AES]] con una forte sicurezza <ref>{{Cita web|url=http://csrc.nist.gov/groups/ST/toolkit/BCM/documents/proposedmodes/ccm/ccm-ad1.pdf |titolo=On the Security of CTR + CBC-MAC |cognome=Jonsson |nome=Jakob |editore=[[NIST]] |accesso=15 maggio 2010}}</ref>. La certificazione è iniziata nel settembre 2004; dal 13 marzo 2006, la certificazione WPA2 è obbligatoria per tutti i nuovi dispositivi a sostenere il marchio Wi-Fi. <ref name="wpa2-mandatory">{{Cita web|editore=[[Wi-Fi Alliance]] |url=http://www.wi-fi.org/news-events/newsroom/wpa2-security-now-mandatory-for-wi-fi-certified-products |titolo=WPA2 Security Now Mandatory for Wi-Fi CERTIFIED Products |accesso=28 febbraio 2013}}</ref>

==Supporto hardware==

WPA è stato progettato appositamente per lavorare con hardware wireless prodotti prima dell'introduzione del protocollo WPA,<ref name="wpa-backwardscomp"/> che fornisce sicurezza inadeguata tramite WEP. Alcuni di questi dispositivi supportano WPA solo dopo l'applicazione di aggiornamenti [[firmware]], che non sono disponibili per alcuni dispositivi precedenti. <ref name="wpa-backwardscomp">{{Cita web|opera=[[Wi-Fi Alliance]] |url=http://www.wi-fi.org/white_papers/whitepaper-042903-wpa/|titolo=Wi-Fi Protected Access White Paper |citazione= WPA is both forward and backward-compatible and is designed to run on existing Wi-Fi devices as a software download.}}</ref>

I dispositivi Wi-Fi certificati dal 2006 supportano sia i protocolli di protezione WPA e WPA2. WPA2 potrebbe non funzionare con alcune vecchie schede di rete.

Riga 34:

=== Utenti di destinazione (distribuzione della chiave di autenticazione) ===

; WPA-Personal:Viene anche definito come modalità ''WPA-PSK'' ([[Pre-Shared Key|pre-shared key]]), che è progettato per le reti domestiche e per le piccole aziende e non richiede un server di autenticazione. <ref>{{Cita web|url=http://www.wi-fi.org/knowledge_center_overview.php?type=3|titolo=Wi-Fi Alliance: Glossary|accesso=1º marzo 2010}}</ref>. Ogni dispositivo di rete wireless crittografa il traffico di rete derivando la chiave di crittografia a 128 bit da una [[Chiave (crittografia)|chiave]] condivisa a 256 bit. Questa chiave può essere inserita come una stringa di 64 cifre [[Sistema numerico esadecimale|esadecimali]] o come una [[passphrase]] di 8 a 63 [[ASCII#Stampabili|caratteri ASCII stampabili]]. <ref>''Each character in the passphrase must have an encoding in the range of 32 to 126 (decimal), inclusive.'' (IEEE Std. 802.11i-2004, Annex H.4.1)<br>The space character is included in this range.</ref>.

Se si utilizzano i caratteri ASCII, viene calcolata la chiave a 256 bit applicando la [[Derivazione di una chiave crittografica|funzione di derivazione della chiave]] [[PBKDF2]] alla frase, utilizzando [[SSID]] come [[Sale (crittografia)|sale]] e 4096 iterazioni di [[HMAC]]-[[SHA1]].<ref>{{Cita web|url=http://jorisvr.nl/wpapsk.html |titolo= WPA key calculation&nbsp;— From passphrase to hexadecimal key |cognome=van Rantwijk |nome=Joris |data=6 dicembre 2006 |accesso=24 dicembre 2011}}</ref>

La modalità WPA-Personal è disponibile sia con WPA che con WPA2.

Riga 45:

;[[Temporal Key Integrity Protocol|TKIP]] (Temporal Key Integrity Protocol):Il codice di flusso [[RC4]] viene utilizzato con una chiave per pacchetto da 128 bit, il che significa che genera dinamicamente una nuova chiave per ogni pacchetto. Questo è usato da WPA

;[[CCMP]]([[Modalità di funzionamento dei cifrari a blocchi#Counter .28CTR.29|CTR mode]] con [[CBC-MAC]] Protocol):

Il protocollo utilizzato da WPA2, basato sul codice AES ([[Advanced Encryption Standard]]) unitamente all'[[Message authentication code|autentica autenticità dei messaggi e al controllo dell'integrità]], è significativamente più efficace nella protezione della privacy e dell'integrità rispetto al TKIP basato su [[RC4]] utilizzato da WPA. Tra i nomi informali ci sono "AES" e "AES-CCMP". Secondo la specifica 802.11n, questo protocollo di crittografia deve essere utilizzato per ottenere veloci schemi di bitrate elevati 802.11n, sebbene non tutte le implementazioni [vaghe] facciano rispettare questo. <ref>

{{Cita web|titolo=Data rate will not exceed 54 Mbps when WEP or TKIP encryption is configured

|url=http://www.intel.com/support/wireless/wlan/4965agn/sb/cs-025643.htm

Riga 56:

L'utlizzo del Brute force(forza bruta) di password semplici può essere tentata utilizzando la Suite [[Aircrack-ng|Aircrack]] a partire dall'operazione di handshake di autenticazione a quattro vie scambiata durante l'associazione o la nuova autenticazione periodica.<ref>{{Cita web|url=http://www.sciencedaily.com/releases/2014/03/140320100824.htm |titolo=WPA2 wireless security cracked |doi=10.1504/IJICS.2014.059797 |editore=ScienceDaily |data= |accesso=30 aprile 2014}}</ref><ref>{{Cita web|url=http://inderscience.metapress.com/content/d566077551229663/?genre=article&issn=1744-1765&volume=6&issue=1&spage=93 |titolo=Exposing WPA2 security protocol vulnerabilities |editore=International Journal of Information and Computer Security |volume=6 |numero=1/2014 |opera=Inderscience.metapress.com |data=13 marzo 2014 |accesso=30 aprile 2014}}</ref><ref>{{Cita web|url=http://www.securityweek.com/researchers-outline-how-crack-wpa2-security |titolo=Researchers Outline How to Crack WPA2 Security |editore=SecurityWeek.Com |data=24 marzo 2014 |accesso=30 aprile 2014}}</ref><ref>{{Cita web|url=http://phys.org/news/2014-03-wpa2-wireless.html |titolo=WPA2 wireless security cracked |editore=Phys.org |data=20 marzo 2014 |accesso=16 maggio 2014}}</ref><ref>{{Cita web|url=https://isc.sans.edu/forums/diary/Exposing+WPA2+Paper/18061 |titolo=Exposing WPA2 Paper |editore=InfoSec Community |data=2 maggio 2014 |accesso=16 maggio 2014}}</ref>

Per proteggere ulteriormente dalle intrusioni, l'SSID della rete non deve corrispondere a nessuna voce nei primi 1.000 SSID <ref>{{Cita web|url=http://www.wigle.net/gps/gps/main/ssidstats |titolo=Wireless Geographic Logging Engine - SSID Stats |editore=WiGLE |data= |accesso=15 novembre 2010}}</ref> poiché sono state pre-generate [[Tabella arcobaleno|tabelle arcobaleno]] scaricabili per loro e una moltitudine di password comuni. <ref>{{Cita web|url=http://www.renderlab.net/projects/WPA-tables/ |titolo=Church of Wifi WPA-PSK Rainbow Tables |editore=The Renderlab |data= |accesso=15 novembre 2010}}</ref>

===Spoofing e decrittografia dei pacchetti WPA===

Mathy Vanhoef e Frank Piessens <ref name="vanhoef-piessens">

{{Cita pubblicazione|doi=10.1145/2484313.2484368 |titolo=Practical Verification of WPA-TKIP Vulnerabilities |nome=Mathy |cognome=Vanhoef |nome2=Frank |cognome2=Piessens |data=May 2013 |rivista=Proceedings of the 8th ACM SIGSAC symposium on Information, computer and communications security |serie=ASIA CCS '13 |pp=427–436 |url=https://lirias.kuleuven.be/bitstream/123456789/401042/1/wpatkip.pdf}}</ref> hanno migliorato significativamente gli attacchi [[Temporal Key Integrity Protocol|WPA-TKIP]] di Erik Tews e Martin Beck. <ref>

{{Cita web|url=http://dl.aircrack-ng.org/breakingwepandwpa.pdf |titolo=Practical Attacks against WEP and WPA |formato=PDF |data= |accesso=15 novembre 2010}}

</ref><ref>

{{Cita web|url=http://download.aircrack-ng.org/wiki-files/doc/enhanced_tkip_michael.pdf |titolo=Enhanced TKIP Michael Attacks |formato=PDF |data= |accesso=15 novembre 2010}}</ref>.

Hanno dimostrato come iniettare una quantità arbitraria di pacchetti, con ogni pacchetto contenente al massimo 112 byte di payload. Ciò è stato dimostrato implementando un [[Port scanning|port scanner]], che può essere eseguito su qualsiasi client che utilizza [[Temporal Key Integrity Protocol|WPA-TKIP]]. Inoltre hanno mostrato come decodificare i pacchetti arbitrari inviati a un client. Hanno menzionato che questo può essere usato per dirottare una [[Transmission Control Protocol|connessione TCP]], consentendo a un utente malintenzionato di iniettare [[JavaScript]] dannoso quando la vittima visita un sito web. Al contrario, l'attacco di Beck-Tews poteva solo decrittografare pacchetti brevi con contenuti per lo più conosciuti, come i messaggi [[Address Resolution Protocol|ARP]], e consentiva solo l'iniezione da 3 a 7 pacchetti con un massimo di 28 byte. L'attacco Beck-Tews richiede anche che sia abilitata la [[Qualità del servizio|Qualità del servizio]] (come definita in [[IEEE 802.11e|802.11e]]), mentre l'attacco di Vanhoef-Piessens no. Né l'attacco porta al recupero della chiave di sessione condivisa tra il client e l'[[Access point]]. Gli autori affermano che l'uso di un breve intervallo di rekeying può prevenire alcuni attacchi ma non tutti, e consiglia vivamente di passare da [[Temporal Key Integrity Protocol|TKIP]] a [[CCMP]] basato su AES.

Halvorsen e altri mostrano come modificare l'attacco di Beck-Tews per consentire l'iniezione da 3 a 7 pacchetti con una dimensione massima di 596 byte. <ref>

{{Cita pubblicazione|doi=10.1007/978-3-642-04766-4_9 |titolo=An Improved Attack on TKIP |nome=Finn M. |cognome=Halvorsen |nome2=Olav |cognome2=Haugen |nome3=Martin |cognome3=Eian |nome4=Stig F. |cognome4=Mjølsnes |data=30 settembre 2009 |volume=5838 |pp=120–132}}

</ref> Il rovescio della medaglia è che il loro attacco richiede molto più tempo per l'esecuzione: circa 18 minuti e 25 secondi. In altri lavori Vanhoef e Piessens hanno dimostrato che, quando viene utilizzato WPA per crittografare i pacchetti broadcast, è possibile eseguire anche l'attacco originale. <ref>{{Cita pubblicazione|doi=10.1145/2664243.2664260 |titolo=Advanced Wi-Fi Attacks Using Commodity Hardware |nome=Mathy |cognome=Vanhoef |nome2=Frank |cognome2=Piessens |data=December 2014 |rivista=Proceedings of the 30th Annual Computer Security Applications Conference |serie=ACSAC '14 |pp=256–265 |url=https://lirias.kuleuven.be/bitstream/123456789/473761/1/acsac2014.pdf}}</ref> Questa è un'estensione importante, poiché molte più reti usano WPA per proteggere i [[Broadcasting (informatica)|pacchetti broadcast]], piuttosto che proteggere i pacchetti [[Unicast|unicast]]. Il tempo di esecuzione di questo attacco è in media di circa 7 minuti, rispetto ai 14 minuti dell'attacco originale di Vanhoef-Piessens e Beck-Tews.

Le vulnerabilità di TKIP sono significative nel fatto che WPA-TKIP è stato ritenuto una combinazione estremamente sicura; infatti, WPA-TKIP è ancora un'opzione di configurazione su un'ampia varietà di dispositivi di routing wireless forniti da molti produttori di hardware. Un sondaggio del 2013 ha mostrato che il 71% continua a consentire l'utilizzo di TKIP e il 19% supporta esclusivamente TKIP. <ref name="vanhoef-piessens"/>

===WPS PIN recovery===

Un grave difetto di sicurezza è stato rivelato nel dicembre 2011 da Stefan Viehböck che riguarda i router wireless con la funzione [[Wi-Fi Protected Setup]] (WPS), indipendentemente dal metodo di crittografia utilizzato. I modelli più recenti hanno questa caratteristica e la abilitano di default. Molti produttori di dispositivi Wi-Fi consumer hanno adottato misure per eliminare il potenziale delle passphrase più deboli promuovendo metodi alternativi di generazione e distribuzione automatica di chiavi forti quando gli utenti aggiungono un nuovo adattatore o appliance wireless a una rete. Questi metodi includono la pressione dei pulsanti sui dispositivi o l'inserimento di un [[Codice PIN|PIN]] a 8 cifre.

Wi-Fi Alliance ha standardizzato questi metodi come Wi-Fi Protected Setup; tuttavia, la funzionalità PIN implementata ha introdotto un nuovo grande difetto di sicurezza. Il difetto consente a un utente malintenzionato remoto di recuperare il PIN WPS e, con esso, la password WPA / WPA2 del router in poche ore. <ref name=viehboeck>{{Cita web|url=http://sviehb.files.wordpress.com/2011/12/viehboeck_wps.pdf |titolo=Brute forcing Wi-Fi Protected Setup |nome=Stefan |cognome=Viehbock |data=26 dicembre 2011}}</ref> Gli utenti sono stati invitati a disattivare la funzione WPS, <ref>{{Cita web|url=http://www.kb.cert.org/vuls/id/723755|titolo=Vulnerability Note VU#723755 - WiFi Protected Setup (WPS) PIN brute force vulnerability|sito=Kb.cert.org|accesso=16 ottobre 2017}}</ref> anche se questo potrebbe non essere possibile su alcuni modelli di router. Inoltre, il PIN è scritto su un'etichetta sulla maggior parte dei router Wi-Fi con WPS e non può essere modificato se compromesso.

===MS-CHAPv2===

Sono stati riscontrati diversi punti deboli in [[MS-CHAP]]v2, alcuni dei quali riducono drasticamente la complessità degli attacchi di forza bruta rendendoli fattibili con l'hardware moderno. Nel 2012 la complessità della rottura di MS-CHAPv2 è stata ridotta a quella di rompere una singola chiave DES, opera di Moxie Marlinspike e Marsh Ray. Moxie ha consigliato: "Le aziende che dipendono dalle proprietà di autenticazione reciproca di MS-CHAPv2 per la connessione ai loro server WPA2 Radius dovrebbero immediatamente iniziare la migrazione a qualcos'altro." <ref>{{Cita web|url=https://www.cloudcracker.com/blog/2012/07/29/cracking-ms-chap-v2/ |titolo=Divide and Conquer: Cracking MS-CHAPv2 with a 100% success rate |accesso=3 agosto 2012 |editore=[[Moxie Marlinspike]]}}</ref>

===Hole196===

Hole196 è una vulnerabilità nel protocollo WPA2 che abusa della chiave temporanea di gruppo (GTK) condivisa. Può essere usato per condurre attacchi [[Attacco man in the middle|man-in-the-middle]] e [[Denial of service|denial-of-service]]. Tuttavia, presuppone che l'autore dell'attacco sia già autenticato contro Access Point e quindi in possesso del GTK. <ref>{{Cita web|url=http://www.airtightnetworks.com/WPA2-Hole196|titolo=Mojo Networks Scalable Secure Cloud Managed WiFi WPA2 Hole196 Vulnerability|sito=Airtightnetworks.com|accesso=16 ottobre 2017}}</ref><ref>{{Cita web|url=https://www.defcon.org/html/links/dc-archives/dc-18-archive.html#Ahmad|titolo=DEF CON® Hacking Conference - DEF CON 18 Archive|nome=The Dark|cognome=Tangent|sito=Defcon.org|accesso=16 ottobre 2017}}</ref>

===Mancanza di segreto in avanti===

Riga 87:

===Predictable Group Temporal Key (GTK)===

Nel 2016 è stato dimostrato che gli standard WPA e WPA2 contengono un generatore di numeri casuali (RNG). <ref name="predict-gtk">

{{Cita pubblicazione|titolo=Predicting, Decrypting, and Abusing WPA2/802.11 Group Keys |nome=Mathy |cognome=Vanhoef |nome2=Frank |cognome2=Piessens |data=August 2016 |rivista=Proceedings of the 25th USENIX Security Symposium |pp=673–688 |url=https://www.usenix.org/system/files/conference/usenixsecurity16/sec16_paper_vanhoef.pdf}}</ref> I ricercatori hanno dimostrato che, se i distributori implementano l'RNG proposto, un utente malintenzionato è in grado di prevedere la chiave di gruppo (GTK) che dovrebbe essere generata casualmente dall' [[Access point|access point]] (AP). Inoltre, hanno dimostrato che il possesso del GTK consente all'autore dell'attacco di immettere traffico nella rete e ha consentito all'autore dell'attacco di decrittografare tutto il traffico Internet trasmesso sulla rete wireless. Hanno dimostrato il loro attacco contro un router [[ASUS|Asus]] RT-AC51U che utilizza i driver out-of-tree di [[MediaTek]], che generano la stessa GTK e hanno dimostrato che la GTK può essere ripristinata entro due minuti o meno. Allo stesso modo, hanno dimostrato che le chiavi generate dai daemon di accesso Broadcom in esecuzione su VxWorks 5 e versioni successive possono essere ripristinate in quattro minuti o meno, il che influisce, ad esempio, su determinate versioni di Linksys WRT54G e su alcuni modelli di Apple AirPort Extreme. I venditori possono difendersi da questo attacco usando un RNG sicuro. Facendo così, Hostapd che gira su kernel Linux non è vulnerabile contro questo attacco e quindi i router che eseguono le tipiche installazioni [[OpenWrt]] o LEDE non presentano questo problema.

===KRACK attack===