Förstå WEP-svagheter - dummies

Säkerhetsforskare har upptäckt säkerhetsproblem som gör att onda användare kan äventyra säkerheten hos WLAN (trådlöst lokalt nätverk) som använder WEP (Wired Equivalent Privacy) - dessa, till exempel:

• Passiva attacker för att dekryptera trafik: Dessa är baserade på statistisk analys.
• Aktiva attacker för att injicera ny trafik från obehöriga mobilstationer: Dessa är baserade på känt rent text.

• Aktiva attacker för att dekryptera trafik: Dessa bygger på att lura åt åtkomstpunkten.
• Ordningsbyggande attacker: Dessa är möjliga efter att ha analyserat tillräckligt med trafik på ett upptaget nätverk.

Det största problemet med WEP är när installationsprogrammet inte aktiverar det i första hand. Till och med dålig säkerhet är generellt bättre än ingen säkerhet.

När folk använder WEP, glömmer de att byta sina nycklar regelbundet. Att ha många kunder i ett trådlöst nätverk - som kan dela samma nyckel under långa perioder - är ett välkänt säkerhetsproblem. Om du håller din nyckel tillräckligt länge kan någon fånga alla de ramar han behöver för att knäcka den.

Kan inte skylla de flesta åtkomstpunktsadministratörer för att inte byta nycklar - WEP-protokollet erbjuder trots allt inga nyckelhanteringsbestämmelser. Men situationen är farlig: När någon i din organisation förlorar en bärbar dator av någon anledning, kan nyckeln bli kompromissad - tillsammans med alla andra datorer som delar nyckeln. Så det är värt att upprepa …

Delade nycklar kan äventyra ett trådlöst nätverk. Eftersom antalet personer som delar nyckeln växer, gör det också säkerhetsrisken. En grundläggande princip för kryptografi är att systemets säkerhet i stor utsträckning är beroende av nyckeln till nycklarna. Exponera nycklarna och du avslöjar texten. Dela nyckeln, och en cracker behöver bara spricka den en gång. Dessutom, när varje station använder samma nyckel, har en eavesdropper redo tillgång till en stor mängd trafik för analytiska attacker.

Som om nyckelhanteringsproblem inte var tillräckligt, har du andra problem med WEP-algoritmen. Kolla in dessa bugbears i WEP-initialiseringsvektorn:

• IV är för liten och i klartext. Det är ett 24-bitars fält som skickas i klartextdelen av ett meddelande. Denna 24-bitars sträng, som användes för att initiera nyckelströmmen genererad av RC4-algoritmen, är ett relativt litet fält när det används för kryptografiska ändamål.

• IV är statisk. Återanvändning av samma IV producerar identiska nyckelströmmar för att skydda data, och eftersom IV är kort garanterar det att dessa strömmar kommer att upprepas efter en relativt kort tid (mellan 5 och 7 timmar) på ett upptaget nätverk.
• IV gör nyckelströmmen sårbar. Standarden 802. 11 anger inte hur IVs är inställda eller ändrade, och enskilda trådlösa adaptrar från samma leverantör kan alla generera samma IV-sekvenser, eller vissa trådlösa adaptrar kan eventuellt använda en konstant IV. Som ett resultat kan hackare spela in nätverkstrafik, bestämma nyckelströmmen och använda den för att dekryptera chiffertexten.

• IV är en del av RC4-krypteringsnyckeln. Det faktum att en eavesdropper känner till 24 bitar av varje paketnyckel kombinerad med en svaghet i RC4-nyckelschemat, leder till en framgångsrik analytisk attack som återhämtar nyckeln efter att ha avstått och analyserat endast en relativt liten mängd trafik. En sådan attack är så nära en no-brainer att den är allmänt tillgänglig som ett angreppsscript och som öppen källkod.
• WEP ger inget skydd mot krypteringsskydd. Emellertid använder 802.11 MAC-protokollet en icke-kryptografisk krypterad redundanskontroll (CRC) för att kontrollera integriteten hos paket och bekräftar paket med korrekt kontrollsumma. Kombinationen av icke-kryptografiska kontrollsummor med strömkiprar är farlig - och introducerar ofta sårbarheter. Det klassiska fallet? Du gissade det: WEP.
Det finns en aktiv attack som tillåter angriparen att dekryptera paketet genom att systematiskt ändra paketet och CRC skickar det till AP och noterar om paketet är bekräftat. Sådana attacker är ofta subtila och det anses nu vara riskabelt att utforma krypteringsprotokoll som inte inkluderar kryptografisk integritetsskydd, på grund av möjligheten att samverka med andra protokollnivåer som kan ge bort information om chiffertext.

Endast ett av ovanstående problem beror på en svaghet i kryptografalgoritmen. Därför kommer det inte att hjälpa att ersätta en starkare strömkodning. Exempelvis är sårbarheten hos nyckelströmmen en följd av en svaghet i implementeringen av RC4-strömkodningen - och den exponeras av ett dåligt utformat protokoll.

En fel i implementeringen av RC4-krypteringen i WEP är det faktum att 802.11-protokollet inte anger hur man genererar IVs. Kom ihåg att IVs är de 24-bitars värden som är förhängda till den hemliga nyckeln och används i RC4-chiffern. IV överförs i ren text. Anledningen till att vi har IVs är att se till att värdet som används som frö för RC4 PRNG alltid är annorlunda.

RC4 är ganska tydligt i sitt krav att du aldrig ska någonsin återanvända en hemlig nyckel. Problemet med WEP är att det inte finns någon vägledning om hur man implementerar IVs.

Microsoft använder RC4-strömkodningen i Word och Excel - och gör misstaget att använda samma nyckelström för att kryptera två olika dokument. Så du kan bryta Word och Excel-kryptering genom att XORing de två ciphertext-strömmarna tillsammans för att få nyckeln till dropsout. Med hjälp av nyckelströmmen kan du enkelt återställa de två enkla texterna genom att använda brevfrekvensanalys och andra grundläggande tekniker. Du skulle tro att Microsoft skulle lära sig.Men de gjorde samma misstag 1999 med Windows NT Syskey.

Nyckeln, om det är 64 eller 128 bitar, är en kombination av en gemensam hemlighet och IV. IV är ett 24-bitars binärt nummer. Valar vi IV-värden slumpmässigt? Börjar vi vid 0 och ökar med 1? Eller börjar vi vid 16, 777, 215 och minskas med 1? De flesta implementationer av WEP initierar hårdvaran med en IV på 0; och öka med 1 för varje paket som skickas. Eftersom varje förpackning kräver ett unikt frö för RC4 kan du se att vid högre volymer kan hela 24-bitarsutrymmet användas i några timmar. Därför är vi tvungna att upprepa IVs - och att bryta mot RC4: s kardinalregel mot någonsin upprepande nycklar. Fråga Microsoft vad som händer när du gör det. Statistisk analys visar att alla möjliga IVs (224) är uttömda på cirka 5 timmar. Därefter initialiseras IV, startar vid 0, var 5: e timme.