16 oktober – Vandaag toonden Belgische beveiligingsonderzoekers een lek in de beveiligingsstandaard WPA2. Die standaard wordt wereldwijd ingezet om de meeste WiFi netwerken te beveiligen. Als WiFi specialist informeren wij u graag over de achtergrond van dit beveiligingslek en wat dit voor u betekent.
Update oktober 2017:
Wentzo heeft in de tussentijd niet stilgezeten. Inmiddels zijn al onze WaaS klanten veilig voor WPA2 vulnerabilities. Dit hebben wij gerealiseerd door de infrastructuur van de software van onze klanten te upgraden.
Uitleg over WPA2
Normaliter heeft een wireless client een veilige netwerkverbinding door middel van WPA2 encryptie . Dit is te zien aan het slot naast het WiFi symbool (Android) of de tekst “beveiligd” (Windows). Als de gebruiker een beveiligde website bezoekt, voorkomt het HTTPS protocol dat gegevens zoals uw gebruikersnaam en wachtwoord als clear-tekst worden verstuurd. Dit is te zien aan het groene slot in de adres balk. De protocollen WPA2 en HTTPS beschermen samen de data van de gebruiker. WPA2 is op protocol-niveau veilig. Vandaag is echter bekend geworden dat programmeurs het WPA2 protocol dusdanig hebben geïmplementeerd in de apparatuur, dat er een aantal kwetsbaarheden mogelijk zijn. Het grote voordeel is, dat het bestaande WPA2 protocol daarom met een eenvoudige software update veilig kan worden gemaakt.
Het probleem
Met behulp van een crack-tool kan een hacker het verkeer van de gebruiker onderscheppen en kopiëren naar een ander WiFi kanaal. Op deze manier kan de hacker ‘WPA2 4-way handshake’ berichten onderscheppen en manipuleren.
Op het moment dat de client met het echte netwerk verbindt, zal de hacker een bericht sturen dat de client een ander kanaal moet gebruiken (namelijk het kanaal van het gekloonde access point). Nu is er een MitM (Man in the Middle) situatie gecreëerd, waarbij de hacker al het verkeer van de client voorbij kan zien komen, echter op dit moment nog wel versleuteld. Op dit punt zal de hacker control berichten gaan manipuleren. Bij deze attack wordt een zogenaamde “key reïnstallation attack” (genaamd KRACK) uitgevoerd tegen de 4-way handshake. Android en Linux systemen hebben een zwakheid dat ze een “all-zero“ encryption key gebruiken als deze situatie zich voordoet. Hierdoor is al het dataverkeer van de gebruiker te lezen, zonder dat de hacker het wachtwoord van het echte netwerk weet.
Als op deze malicious clone vervolgens de SSL beveiliging van HTTPS verkeer wordt gestript, zal de gebruiker geen beveiligde sessie hebben (herkenbaar aan het groene slot). Als de gebruiker nu inlogt, zijn zijn of haar logingegevens door de hacker te lezen.
Op dit moment weten we het volgende:
- De hacker moet fysiek aanwezig zijn in de buurt van de gebruiker, om zijn doel te bereiken.
- Deze zwakheid heeft betrekking op een enkele sessie en kán in die zin als minder urgent worden gezien. Dat neemt niet weg dat het voor die éne client zeker urgent is.
- De beschreven zwakheid betreft vooral Android (v6.0 en nieuwer) en Linux systemen, hoewel andere systemen (Windows, Apple, OpenBSD, etc.) ook vatbaar kunnen zijn voor een alternatieve variant van deze aanval.
- Fabrikant Aruba heeft een officiële reactie gepost met een fix in de laatste software update.
- De meeste fabrikanten waren al vroegtijdig op de hoogte van dit probleem (Microsoft, Aruba) en hebben inmiddels een fix uitgebracht.
- Uw persoonlijke Active Directory wachtwoord / pre-shared key blijft onbekend voor de hacker en is dus nog steeds veilig.
Wat betekent dit voor u?
Wireless clients
Dit probleem betreft een aanval op de WiFi client. Aangezien de grote fabrikanten al op de hoogte waren van dit probleem, hebben ze al één of meerdere patches uitgebracht voor de betrokken componenten. Het is daarom van belang dat u de meest recente update installeert voor Windows, de meest recente Android softwareversie, etc.
Infrastructuur
Voor 100% veiligheid moet naast de client-zijde ook de infrastructuur-zijde worden geüpdatet. In sommige situaties is de wireless (virtual) controller namelijk ook betrokken, wanneer access points bijvoorbeeld in mesh-mode werken, of wanneer het 802.11r fast-roaming protocol wordt gebruikt.
Ons advies is daarom, om de wireless controller te updaten naar de meest recente softwareversie. Als netwerkleverancier kunnen we de infrastructuurzijde voor u in orde maken, indien een patch beschikbaar is. Een aantal fabrikanten geven hierbij aan dat er een mogelijkheid bestaat dat er op termijn meer updates nodig zijn om andere gerelateerde problemen op te lossen.
Workaround
Het probleem wordt aan de infrastructuur-zijde deels opgelost door het uitzetten van 802.11r fast roaming protocol. Een andere workaround is het gebruiken van een VPN op de client of het vermijden van een WiFi verbinding.
Meer informatie
- https://www.krackattacks.com
- http://community.arubanetworks.com/t5/Technology-Blog/WPA2-Key-Reinstallation-Attacks/ba-p/310045
- http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2017-007_FAQ_Rev-1.pdf
Via de volgende link vindt u een lijst met fabrikanten die een officiële reactie hebben gegeven en eventueel een fix beschikbaar hebben gesteld:
Ondersteuning gewenst?
Maakt u zich zorgen over de netwerkveiligheid van uw organisatie? Neem dan contact met ons op via 0577-460008 of stuur een mail naar advies@WiFi.nl. Wij kunnen een Netwerk Specialist langs sturen die uw netwerk scant op eventuele dreigingen en geven u graag beveiligingsadvies.
