Transkript

1 WEP and WPA: Lessons learned in WLAN-Security Vortrag im Rahmen des Seminars Kryptographie und Sicherheit am 31. Mai 2006 Von Tina Scherer

2 Gliederung WEP WPA Aufbau Schwächen Cracking WEP Angriffe Behobene WEP-Schwächen Aufbau Schwächen WPA2 Zusammenfassung

3 Motivation Funknetzwerke laden zum mithören ein (anders als bei Kabel) Es soll aber nicht jeder alles belauschen oder manipulieren können Mechanismen nötig, die Daten verschlüsseln Integrität der Daten sicherstellen

4 WEP - Aufbau Wired Equivalent Privacy Ehemaliger Standart-Verschlüsselungsalgorithmus für Funknetzwerke Schlüssel Inizialisierungsvektor (IV) Geheimer Schlüssel RC4 (Stromchiffre) KSA PRGA Schlüsselstrom CRC32 XOR

5 RC von Ron Rivest entwickelt Besteht aus KSA und PRGA Bekommt Schlüssel K[] als Eingabe KSA (Key Scheduling Algorithm) N = 256, l = Länge des Schlüssels Initialisiere State Array S: S[i] = i, 0<=1<N i,j = 0 für counter von 0 bis N-1: j = (j + S[counter] + K[i])%N swap(s[counter], S[j]) (i++)%l Ausgabe: Permutation des State Array S

6 RC4 PRGA (Pseudo Random Generator Algorithm) i, j = 0 für die Länge des Klartextes: i++ j = j + S[i] Swap(S[i], S[j]) z = S[S[i]+S[j]] Verschlüsselte Daten =Z XOR Klartext

7 Aufbau der WEP-Verschlüsselung

8 Aufbau der WEP-Entschlüsselung

9 Schwächen IV XOR: IV-Reuse Schwache IV (geben Info über Schlüssel preis) CRC32: leicht zu manipulieren Triviale geheime Schlüssel, die selten geändert werden Schwache Schlüssel

10 Initialisierungsvektor IV wird im Klartext übermittelt Da RC4 Stromchiffre ist, darf kein Schlüssel 2 mal verwendet werden IV Aber: Da IV nur 24Bit 16,7 Mio. Möglichkeiten; das ist zu wenig Hat man 2 Texte, die mit selbem Schlüssel verschlüsselt wurden, kann man den Klartext durch XOR bekommen Teilweise wird IV auch einfach nur hoch gezählt => Related key attack

11 Schwache Schlüssel Manche Schlüsselkombinationen erzeugen nicht genug zufällige Daten für die ersten Bytes. Durch die Ausgabe des RC4 lassen sich Teile des geheimen Schlüssels vermuten Etwa 1 aus 256 Schlüsseln ist schwach Schwache Schlüssel haben häufig die Form: (B+3, 255, x), wobei B das Schlüsselbyte ist, über das der Schlüssel Auskunft gibt und X eine beliebige Zahl

12 Cracking WEP Beispiel: IV wird im Klartext verschickt einfaches abhören ergibt: IV = 3, 255, 7 (schwacher Schlüssel) K: ????? Hiermit lassen sich die ersten 3 Operationen des KSA berechnen: S 0 : j 0 =j + S[counter] + K[i] = = 3 Swap(S[0], S[3])...

13 Cracking WEP (2) i=3, j=12, S 3 : Wahrscheinlichkeit, dass sich die ersten 3 Werte nicht mehr ändern liegt bei 5% Wie geht s nun weiter? 1 Wert der verschlüsselten Daten ist immer der SNAP- Header. AA bzw. 170 XOR mit verschlüsseltem Byte ergibt Ausgabe von PRGA: 170 xor 165 = 15 PRGA rückwärts durchlaufen

14 Cracking WEP (3) Erster Durchlauf des PRGA i, j = 0 Generation: i= i+1 = 1 j = j + S[i] = 0 + S[1] = = 0 Swap(S[1], S[0]) z = S[S[1]+S[0]] = S[3 + 0] = S[3] S[3] ist Ausgabe von PRGA S[3] = 15 Nun 4. Durchlauf des KSA rückwärts möglich: i=3, j=12, S 3 : In S 4 ist S[3] = 15 S[3] wurde mit S[15] vertauscht:

15 Cracking WEP (4) j 3 = j + S[i] + K[i] = 12 + S[3] + K[3] = K[3] = 15 K[3] = 2 Somit ist das erste Byte des geheimen Schlüssels bekannt! WEPCrack oder AirSnort verwenden dieses Verfahren: Benötig werden etwa 7 GB Daten Dann dauert es nur noch Sekunden

16 Angriffe Brute-Force-Attack Dictionary-Attack: triviale Schlüssel Replay-Angriffe Known-Plaintext-Attack Related Key-Attack: IV

17 Schwächen IV Zu kurz IV-Reuse Schwache Schlüssel CRC32: leicht zu manipulieren Triviale geheime Schlüssel, die selten geändert werden

18 WPA (Wi-Fi Protected Access) Als Ersatz für WEP, der dessen Schwächen beheben soll, bis WPA2 kommt Soft Upgrade: Wechsel zu WPA soll ohne Austauschen der Hardware möglich sein Basiert weiterhin auf RC4

19 WPA WEP-Schwächen behoben IV: 48 Bit statt 24 Bit Wiederverwendung eines IVs praktisch unmöglich Kontrolle der IVs (keine schwachen IVs) Neues PW alle Pakete Michael statt CRC32(keine Replay- Attacken)

20 WPA - Aufbau WPA-Enterprise (Radius-Server) WPA-Personal (PSK) 802.1X(bessere Authentifizierung) und TKIP (bessere Verschlüsselung) TKIP: Temporäre Schlüssel werden automatisch nach gewisser Zeit geändert Michael: verwendet u.a. MAC-Adresse zur Generation der Checksumme

21 Schlüsselerzeugung Aus PSK und SSID wird mittels Hash-Funktion (hash) der Pairwise Master Key (PMK) berechnet PMK wird zur Authentifizierung und zur temporären Schlüsselerzeugung verwendet Aus PMK wird mittels Pseudozufallszahlen-Funktion der Pairwise Transient Key (PTK) berechnet PTK hat zeitlich begrenzte Gültigkeit

22 WPA - Schwächen Michael: Schutz vor Angriff: 2 ungültige Pakete Übertragung wird für 1 min gestoppt und Schlüssel werden neu vergeben ermöglicht denial-of-service-attack cowpatty: Wörterbuchangriff

23 WPA2 Nicht kompatibel mit alten Geräten Verschlüsselung: AES statt RC4 AES: Blockchiffre (128bit-Blöcke) Jeder Block wird in Tabelle geschrieben und verschiedenen Transformationen unterzogen. Dabei werden nacheinander Teile des Schlüssels angewendet. Spalten der Tabelle werden dann gemischt, jede Zelle wird mit einer Konstante multipliziert und dann XORverknüpft. Wurde mehrfach auf Schwächen getestet Wird bspw. auch bei IPSec und SSH verwendet

24 Zusammenfassung WEP ist nicht sicher! Es gibt viele Möglichkeiten es zu knacken Bei WPA hat man aus den Fehlern von WEP gelernt, macht aber neue WPA2 gilt bisher dank AES als sicher. Bisher nur Wörterbuchangriffe bekannt

25 Sicheres Funknetz Verschlüsselung verwenden (am bestem WPA2) wenn möglich RADIUS-Server sicheres Passwort VPN Hardware nur über Kabel konfigurieren Reichweite reduzieren...

26 Vielen Dank für die Aufmerksamkeit! FRAGEN?

27 Referenzen S. Fluhrer, I. Mantin, and A. Shamir. Weaknesses in the key scheduling algorithm of RC4. In Eighth AnnualWorkshop on Selected Areas in Cryptography, Toronto, Canada, Aug A. Stubblefield, J. Ioannidis, A. Rubin, "Using the Fluhrer, Mantin, and Shamir Attack to Break WEP", ATT Labs Technical Report, TD4ZCPZZ, Revision 2, August 21, Fogie, Seth: Cracking WEP (Mai 2006) Fogie, Seth: Cracking WPA (Mai 2006) Laverty, Dennis: Why is WEP crackable? (Mai 2006 Roos, Andrew: Weak Keys in RC4 (Mai 2006