Im Juni 2018 hatte die Wifi Alliance ihren neuen WPA3-Standard veröffentlicht. Der ist quasi hinter verschlossenen Türen entstanden, was sich jetzt rächt: Das Dragonblood-Paper enthüllt Schwächen beim Design des WPA3-Standards.
Das Paper [PDF] stammt von Mathy Vanhoef (New York University Abu Dhabi) und Eyal Ronen (Tel Aviv University und KU Leuve) und zeigt, dass der SAE-Handshake (Simultaneous Authentication of Equals) von WPA3 anfällig für Passwort-Partitioning-Angriffe ist. Über Downgrade- und Timing-Attacken sowie Cache-basierte Side-Channel-Angriffe lasse sich sowohl bei Open-Source- als auch bei proprietären Implementierungen von WPA3 das übermittelte Passwort herausfinden.
WPA3 sei ohnehin keine Spezifikation, da es keine Protokolle definiere, sondern eine Zertifizierung. Den WPA3-Stempel erhalten Geräte nur, wenn sie bestimmte Protokolle auf “interoperative Weise” implementieren.
WPA3-SAE soll dabei im Gegensatz zu WPA3-Enterprise für den Heimgebrauch zur Verfügung stehen. WPA3-SAE verwendet, anders als WPA3-Enterprise, einen Password Authenticated Key Exchange (PAKE). Es überträgt beim Handshake also ein Passwort.
SAE-Schwächen ausgenutzt
Den Forschern genügte es, die Spezifikation zu studieren und die beim formalen Beweis des SAE-Handshakes gemachten Annahmen zu hinterfragen. Dabei zeigten sich die genannten Angriffsmöglichkeiten in der Passwort-Encoding-Methode. Und die Timing- und Cach-basierten Angriffe seien nicht mal besonders teuer umzusetzen: Um ein rein Kleinbuchstaben-basiertes Acht-Zeichen-Passwort zu knacken, genüge es den Forschern, EC2-Instanzen für rund 125 US-Dollar bei AWS zu mieten.
Die beiden Verfasser kritisieren in ihrem Paper unter anderem, dass WPA3 ohne eine vorherige Review von Experten veröffentlicht wurde. Und auch wenn der neue Dragonfly-Handshake offener entwickelt wurde, seien die Sicherheitsgarantien unklar. Es gebe zwar einen Sicherheitsbeweis für einen nahen Verwandten des WPA3-Handshakes, ein anderer naher Verwandter habe allerdings Kritik in der Standardisierung auf sich gezogen. Bereits im Juni 2018 hatte Mathy van Hoef WPA3 als “verpasste Gelegenheit” kritisiert, weil die Zertifizierung lediglich den Dragonfly-Handshake zwingend vorschreibe.
Und Dragonfly ist nun auch einer der Angriffspunkte, was den Namen Dragonbleed für die gefundenen Schwachstellen erklärt. Die CFRG (Crypto Forum Research Group) hatte Dragonfly angeblich mit Erfolg geprüft und dann der TLS-Arbeitsgruppe 2013 als “draft-ietf-tls-pwd-01” vorgelegt. Laut einem Mailinglisten-Überblicks-Post von Trevor Perrin herrschte unter den Sicherheitsforschern allerdings alles andere als Einigkeit darüber, wie sicher das Protokoll tatsächlich ist. Nicht nur fehlte eine formale Sicherheitsanalyse, es gab auch Forscher, die auf Sicherheitsschwächen hinwiesen sowie Vorschläge für bessere Alternativen. All das scheint die CFRG ignoriert zu haben.
Alte Liebe rostet mitunter
Daneben konnten die Forscher auch erfolgreich Downgrade-Attacken gegen WPA3 im so genannten Transition Modus umsetzen. Der Modus soll die Adoption von WPA3 fördern, dank ihm unterstützen WPA3-Access-Points auch WPA2-only-Clients. Das Netzwerk akzeptiert in diesem Modus WPA3- und WPA2-Clients gleichermaßen, mit identischen Passwörtern.
Das machten sich die Angreifer ebenfalls zunutze, indem sie reguläre WPA3-Clients dazu drängten, eine WPA2-Verbindung herzustellen. Dann verwendeten sie Bruteforce- und Dictionary-Angriffe, um das Passwort mit den gängigen WPA2-Tools in Erfahrung zu bringen. Mehr noch: Beim Samsung Galaxy S10 und dem iNet Wireless Daemon lassen sich selbst in reinen WP3-Netzwerken per Downgrade-Angriff die Passwörter herausfinden.
Nebenbei entdeckten die Forscher bei ihrer Arbeit auch Lücken in EAP-PWD, das in einigen Routern als Authentifizierungsprotokoll zum Einsatz kommt. Dazu gibt es bislang keine detaillierten Informationen, weil die Forscher mit den Herstellern zusammenarbeiten, um die Lücken zu schließen. Dank der Zusammenarbeit mit der Wifi-Alliance könnten deren Entwickler auch die gefundenen Lücken in WPA3 schließen, bevor die Zertifizierung größere Verbreitung bei den Routerherstellern findet.
