Youtube hat ein Video eines der niederländischen Entdecker der WPA2-Lücke Krack gelöscht. Pikant, denn die Lücke wirft unter anderem ein schlechtes Licht auf das Android-Ökosystem des Youtube-Besitzers Google. Derweilen bieten die holländischen Forscher Software an, um die eigene WPA2-Infrastruktur zu testen.
Auf Twitter berichtet Mathy Vanhoef, einer der Autoren des Krack-Papers [PDF], dass Youtube sein Video zu Krack gelöscht habe. Die Plattform finde darin “harmful or dangerous content”. Vanhoef erhob zwar Einspruch gegen die Entscheidung, den lehnte Googles Videoplattform allerdings ab und hielt die Löschung aufrecht: das Video stelle eine Verletzung der Community-Guidelines dar, schreiben die Betreiber in ihrer Antwort.
Pikant ist die Löschung im Zusammenhang mit der Tatsache, dass Krack in besonderem Maße Googles Android-Systeme ab Version 6.0 betrifft, die “wpa_supplicant” verwenden. Zwar ließe sich die Lücke patchen, aber viele Hersteller insbesondere von günstigen Geräten scheinen sich damit nicht weiter belasten zu wollen. In der Folge sind noch zahlreiche ungepatchte Android-Geräte im Umlauf. Das mag nicht Googles Schuld sein, wirft aber einmal mehr kein gutes Licht auf die Sicherheit von Android. Wir haben Youtube um eine Stellungnahme gebeten.
Ein Trost ist, dass sich WPA2-Passwörter mit Hilfe der Attacke nicht herausfinden lassen. Auch können Angreifer per HTTPS oder VPN gesicherten Traffic nicht mitlesen. Aber sie können die Daten ungesicherter HTTP-Verbindungen mitschneiden und anschließend entschlüsseln. Zwar verwenden Client und Access Point zum Austausch der Einmalschlüssel bei WPA2 eine Nonce (Number used Once), doch scheitert die Verhandlung zwischen Client und Server (was der Angreifer herbeiführen kann), verwendet der Client die Nonce beim Wiederaufbau der verschlüsselten Verbindung erneut. Die Nonce wird zur Ntwice, was sich die Key Reinstallation Attacke zunutze macht.
Wer nun unsicher ist, ob die eigene WPA2-Infrastruktur von Krack betroffen ist, kann das mit einer neuen Python-Software der Krack-Entdecker testen. Die wartet auf Github und läuft auf Kali-Linux. Sie testet unter anderem den 4-Way- und Gruppen-Key-Handshake bei Clients und den FT Handshake auf Access Points. Obwohl von den Entwicklern nicht überprüft, soll das Testskript auch auf Ubuntu 16.04 laufen.
