Wi-Fi Protected Access ( WPA ), Wi-Fi Protected Access 2 ( WPA2 ) и Wi-Fi Protected Access 3 ( WPA3 ) — три программы сертификации безопасности, разработанные после 2000 года Wi-Fi Alliance для защиты беспроводных компьютерных сетей. Альянс определил их в ответ на серьезные недостатки, обнаруженные исследователями в предыдущей системе, Wired Equivalent Privacy (WEP). [1]
Стандарт WPA (иногда называемый стандартом TKIP) стал доступен в 2003 году. Альянс Wi-Fi рассматривал его как промежуточную меру в ожидании появления более безопасного и сложного стандарта WPA2, который стал доступен в 2004 году и является общепринятым сокращением для полного стандарта IEEE 802.11i (или IEEE 802.11i-2004 ).
В январе 2018 года Wi-Fi Alliance объявил о выпуске WPA3, который имеет несколько улучшений безопасности по сравнению с WPA2. [2]
По состоянию на 2023 год большинство компьютеров, подключаемых к беспроводной сети, поддерживают использование WPA, WPA2 или WPA3.
WEP (Wired Equivalent Privacy) был ранним протоколом шифрования для беспроводных сетей, разработанным для защиты соединений WLAN. Он поддерживал 64-битные и 128-битные ключи, объединяя настраиваемые пользователем и заводские биты. WEP использовал алгоритм RC4 для шифрования данных, создавая уникальный ключ для каждого пакета путем объединения нового вектора инициализации (IV) с общим ключом (он имеет 40 бит векторного ключа и 24 бита случайных чисел). Расшифровка включала обратный процесс, используя IV и общий ключ для генерации потока ключей и расшифровки полезной нагрузки. Несмотря на первоначальное использование, значительные уязвимости WEP привели к принятию более безопасных протоколов. [3]
Wi-Fi Alliance рассматривал WPA как промежуточную меру, которая заменит WEP в ожидании доступности полного стандарта IEEE 802.11i . WPA можно было реализовать посредством обновления прошивки на беспроводных сетевых интерфейсных картах, разработанных для WEP, которые начали поставляться еще в 1999 году. Однако, поскольку изменения, требуемые для беспроводных точек доступа (AP), были более обширными, чем те, которые требовались для сетевых карт, большинство AP до 2003 года не могли быть обновлены для поддержки WPA.
Протокол WPA реализует протокол целостности временного ключа (TKIP). WEP использовал 64-битный или 128-битный ключ шифрования, который необходимо вручную вводить на беспроводных точках доступа и устройствах, и который не меняется. TKIP использует ключ на пакет, что означает, что он динамически генерирует новый 128-битный ключ для каждого пакета и, таким образом, предотвращает типы атак, которые скомпрометировали WEP. [4]
WPA также включает проверку целостности сообщения , которая предназначена для предотвращения изменения и повторной отправки пакетов данных злоумышленником. Это заменяет циклическую проверку избыточности (CRC), которая использовалась стандартом WEP. Главным недостатком CRC было то, что она не обеспечивала достаточно надежную гарантию целостности данных для обрабатываемых ею пакетов. [5] Для решения этих проблем существовали хорошо проверенные коды аутентификации сообщений , но они требовали слишком много вычислений для использования на старых сетевых картах. WPA использует алгоритм проверки целостности сообщения, называемый TKIP, для проверки целостности пакетов. TKIP намного сильнее, чем CRC, но не так надежен, как алгоритм, используемый в WPA2. С тех пор исследователи обнаружили недостаток в WPA, который опирался на старые слабости WEP и ограничения хэш-функции кода целостности сообщения, названной Michael , для извлечения ключевого потока из коротких пакетов для использования для повторной инъекции и подмены . [6] [7]
Ратифицированный в 2004 году, WPA2 заменил WPA. WPA2, который требует тестирования и сертификации Wi-Fi Alliance, реализует обязательные элементы IEEE 802.11i. В частности, он включает поддержку CCMP , режима шифрования на основе AES . [8] [9] [10] Сертификация началась в сентябре 2004 года. С 13 марта 2006 года по 30 июня 2020 года сертификация WPA2 была обязательной для всех новых устройств, имеющих торговую марку Wi-Fi. [11] В защищенных WPA2 беспроводных локальных сетях безопасная связь устанавливается с помощью многоэтапного процесса. Первоначально устройства связываются с точкой доступа (AP) через запрос на ассоциацию. За этим следует четырехстороннее рукопожатие — важный шаг, гарантирующий, что и клиент, и AP имеют правильный предварительный общий ключ (PSK) без его фактической передачи. Во время этого рукопожатия генерируется парный переходный ключ (PTK) для безопасного обмена данными. [12]
WPA2 использует расширенный стандарт шифрования AES с 128-битным ключом, повышая безопасность с помощью Counter-Mode/CBC-Mac Protocol CCMP . Этот протокол обеспечивает надежное шифрование и целостность данных, используя различные векторы инициализации (IV) для шифрования и аутентификации. [12]
Четырехстороннее рукопожатие включает в себя:
После рукопожатия установленный PTK используется для шифрования одноадресного трафика, а групповой временный ключ (GTK) используется для широковещательного трафика. Этот всеобъемлющий механизм аутентификации и шифрования делает WPA2 надежным стандартом безопасности для беспроводных сетей. [13]
В январе 2018 года Wi-Fi Alliance объявил WPA3 заменой WPA2. [14] [15] Сертификация началась в июне 2018 года, [16] а поддержка WPA3 стала обязательной для устройств с логотипом «Wi-Fi CERTIFIED™» с июля 2020 года. [17]
Новый стандарт использует эквивалентную 192-битную криптографическую стойкость в режиме WPA3-Enterprise [18] ( AES-256 в режиме GCM с SHA-384 в качестве HMAC ) и по-прежнему предписывает использование CCMP-128 ( AES-128 в режиме CCM ) в качестве минимального алгоритма шифрования в режиме WPA3-Personal. TKIP не допускается в WPA3.
Стандарт WPA3 также заменяет обмен предварительно общими ключами (PSK) на обмен с одновременной аутентификацией равных (SAE), метод, первоначально представленный в IEEE 802.11s , что приводит к более безопасному первоначальному обмену ключами в персональном режиме [19] [20] и прямой секретности . [21] Wi-Fi Alliance также заявляет, что WPA3 смягчит проблемы безопасности, вызванные слабыми паролями, и упростит процесс настройки устройств без интерфейса дисплея. [2] [22] WPA3 также поддерживает оппортунистическое беспроводное шифрование (OWE) для открытых сетей Wi-Fi, не имеющих паролей.
Защита кадров управления, как указано в поправке IEEE 802.11w , также обеспечивается спецификациями WPA3.
WPA был разработан специально для работы с беспроводным оборудованием, произведенным до введения протокола WPA, [23] который обеспечивает недостаточную безопасность через WEP . Некоторые из этих устройств поддерживают WPA только после применения обновлений прошивки, которые недоступны для некоторых устаревших устройств. [23]
Устройства Wi-Fi, сертифицированные с 2006 года, поддерживают протоколы безопасности WPA и WPA2. WPA3 требуется с 1 июля 2020 года. [17]
Различные версии WPA и механизмы защиты можно различать в зависимости от целевого конечного пользователя (например, WEP, WPA, WPA2, WPA3) и метода распределения ключей аутентификации, а также используемого протокола шифрования. По состоянию на июль 2020 года WPA3 является последней версией стандарта WPA, предлагающей улучшенные функции безопасности и устраняющей уязвимости, обнаруженные в WPA2. WPA3 улучшает методы аутентификации и использует более надежные протоколы шифрования, что делает его рекомендуемым выбором для защиты сетей Wi-Fi. [22]
Также называемый режимом WPA-PSK ( предварительно общий ключ ), он предназначен для домашнего, малого офиса и базового использования и не требует сервера аутентификации. [24] Каждое беспроводное сетевое устройство шифрует сетевой трафик, выводя свой 128-битный ключ шифрования из 256-битного общего ключа . Этот ключ может быть введен либо как строка из 64 шестнадцатеричных цифр, либо как парольная фраза из 8-63 печатных символов ASCII . [25] Тем не менее, это сопоставление парольной фразы с PSK не является обязательным, поскольку Приложение J является информативным в последнем стандарте 802.11. [26] Если используются символы ASCII, 256-битный ключ вычисляется путем применения функции вывода ключа PBKDF2 к парольной фразе, используя SSID в качестве соли и 4096 итераций HMAC - SHA1 . [27] Режим WPA-Personal доступен во всех трех версиях WPA.
Этот корпоративный режим использует сервер 802.1X для аутентификации, предлагая более высокий уровень контроля безопасности путем замены уязвимого WEP на более продвинутое шифрование TKIP. TKIP обеспечивает постоянное обновление ключей шифрования, снижая риски безопасности. Аутентификация проводится через сервер RADIUS , обеспечивая надежную безопасность, особенно важную в корпоративных настройках. Эта настройка позволяет интегрировать процессы входа в Windows и поддерживает различные методы аутентификации, такие как Extensible Authentication Protocol , который использует сертификаты для безопасной аутентификации, и PEAP, создавая защищенную среду для аутентификации без необходимости клиентских сертификатов. [28]
Первоначально Wi-Fi Alliance сертифицировал только EAP-TLS ( Extensible Authentication Protocol - Transport Layer Security ). В апреле 2010 года Wi-Fi Alliance объявил о включении дополнительных типов EAP [30] в свои программы сертификации WPA- и WPA2-Enterprise. [31] Это было сделано для того, чтобы гарантировать, что сертифицированные WPA-Enterprise продукты могут взаимодействовать друг с другом.
По состоянию на 2010 год [обновлять]программа сертификации включает следующие типы EAP:
Клиенты и серверы 802.1X, разработанные определенными фирмами, могут поддерживать другие типы EAP. Эта сертификация является попыткой взаимодействия популярных типов EAP; их неспособность сделать это по состоянию на 2013 год [обновлять]является одной из основных проблем, препятствующих развертыванию 802.1X в гетерогенных сетях.
Коммерческие серверы 802.1X включают Microsoft Network Policy Server и Juniper Networks Steelbelted RADIUS, а также сервер Aradial Radius. [33] FreeRADIUS — это сервер 802.1X с открытым исходным кодом.
WPA-Personal и WPA2-Personal остаются уязвимыми для атак взлома паролей , если пользователи полагаются на слабый пароль или парольную фразу . Хэши парольных фраз WPA формируются из имени SSID и его длины; существуют радужные таблицы для 1000 самых популярных сетевых SSID и множества распространенных паролей, требующих лишь быстрого поиска для ускорения взлома WPA-PSK. [34]
Можно попытаться взломать простые пароли методом перебора с помощью Aircrack Suite , начав с четырехстороннего рукопожатия аутентификации, которым обмениваются во время ассоциации или периодической повторной аутентификации. [35] [36] [37] [38] [39]
WPA3 заменяет криптографические протоколы, восприимчивые к офлайн-анализу, протоколами, требующими взаимодействия с инфраструктурой для каждого угаданного пароля, предположительно накладывая временные ограничения на количество попыток. [14] Однако недостатки конструкции WPA3 позволяют злоумышленникам вполне правдоподобно запускать атаки методом подбора (
).WPA и WPA2 не обеспечивают прямую секретность , то есть как только злоумышленник обнаружит предварительно предоставленный ключ, он может потенциально расшифровать все пакеты, зашифрованные с использованием этого PSK, переданные в будущем и даже в прошлом, которые могут быть пассивно и молчаливо собраны злоумышленником. Это также означает, что злоумышленник может молча перехватывать и расшифровывать пакеты других, если защищенная WPA точка доступа предоставляется бесплатно в общественном месте, поскольку ее пароль обычно предоставляется любому в этом месте. Другими словами, WPA защищает только от злоумышленников, у которых нет доступа к паролю. Из-за этого безопаснее использовать Transport Layer Security (TLS) или что-то подобное для передачи любых конфиденциальных данных. Однако, начиная с WPA3, эта проблема была решена. [21]
В 2013 году Мэти Ванхоф и Фрэнк Писсенс [40] значительно улучшили атаки WPA-TKIP Эрика Тьюса и Мартина Бека. [41] [42] Они продемонстрировали, как внедрить произвольное количество пакетов, каждый из которых содержал не более 112 байт полезной нагрузки. Это было продемонстрировано путем внедрения сканера портов , который может быть запущен против любого клиента, использующего WPA-TKIP . Кроме того, они показали, как расшифровать произвольные пакеты, отправленные клиенту. Они упомянули, что это можно использовать для перехвата TCP-соединения , что позволяет злоумышленнику внедрить вредоносный JavaScript , когда жертва посещает веб-сайт. Напротив, атака Бека-Тьюса могла расшифровывать только короткие пакеты с в основном известным содержимым, таким как сообщения ARP , и допускала инъекцию только от 3 до 7 пакетов не более 28 байт. Атака Бека-Тьюса также требует включения качества обслуживания (как определено в 802.11e ), тогда как атака Ванхуфа-Писсенса не требует. Ни одна из атак не приводит к восстановлению общего сеансового ключа между клиентом и точкой доступа . Авторы утверждают, что использование короткого интервала смены ключа может предотвратить некоторые атаки, но не все, и настоятельно рекомендуют перейти с TKIP на CCMP на основе AES .
Халворсен и другие показывают, как модифицировать атаку Бека-Тьюса, чтобы разрешить инъекцию от 3 до 7 пакетов размером не более 596 байт. [43] Недостатком является то, что их атака требует существенно больше времени для выполнения: приблизительно 18 минут и 25 секунд. В другой работе Ванхуф и Писсенс показали, что при использовании WPA для шифрования широковещательных пакетов их исходная атака также может быть выполнена. [44] Это важное расширение, поскольку значительно больше сетей используют WPA для защиты широковещательных пакетов , чем для защиты одноадресных пакетов . Время выполнения этой атаки в среднем составляет около 7 минут по сравнению с 14 минутами исходной атаки Ванхуфа-Писсенса и Бека-Тьюса.
Уязвимости TKIP существенны, поскольку WPA-TKIP ранее считался чрезвычайно безопасной комбинацией; действительно, WPA-TKIP по-прежнему является опцией конфигурации для широкого спектра беспроводных маршрутизаторов, предоставляемых многими поставщиками оборудования. Опрос, проведенный в 2013 году, показал, что 71% по-прежнему разрешают использование TKIP, а 19% поддерживают исключительно TKIP. [40]
Более серьезная уязвимость безопасности была обнаружена в декабре 2011 года Стефаном Фибеком, который влияет на беспроводные маршрутизаторы с функцией Wi-Fi Protected Setup (WPS), независимо от того, какой метод шифрования они используют. Большинство последних моделей имеют эту функцию и включают ее по умолчанию. Многие производители потребительских устройств Wi-Fi предприняли шаги для устранения возможности выбора слабых паролей, продвигая альтернативные методы автоматической генерации и распространения надежных ключей, когда пользователи добавляют новый беспроводной адаптер или устройство в сеть. Эти методы включают нажатие кнопок на устройствах или ввод 8-значного PIN-кода .
Wi-Fi Alliance стандартизировал эти методы как Wi-Fi Protected Setup; однако, функция PIN, как широко внедренная, внесла новый серьезный недостаток безопасности. Уязвимость позволяет удаленному злоумышленнику восстановить WPS PIN и, вместе с ним, пароль WPA/WPA2 маршрутизатора в течение нескольких часов. [45] Пользователям настоятельно рекомендуется отключить функцию WPS, [46] хотя это может быть невозможно на некоторых моделях маршрутизаторов. Кроме того, PIN-код написан на этикетке на большинстве маршрутизаторов Wi-Fi с WPS, который нельзя изменить в случае взлома.
В 2018 году Wi-Fi Alliance представил Wi-Fi Easy Connect [47] как новую альтернативу для настройки устройств, не имеющих достаточных возможностей пользовательского интерфейса, позволяя близлежащим устройствам служить адекватным пользовательским интерфейсом для целей сетевой подготовки, тем самым уменьшая необходимость в WPS. [48]
В MS-CHAPv 2 было обнаружено несколько уязвимостей , некоторые из которых значительно снижают сложность атак методом подбора, делая их осуществимыми с помощью современного оборудования. В 2012 году сложность взлома MS-CHAPv2 была снижена до сложности взлома одного ключа DES (работа Мокси Марлинспайка и Марша Рэя). Мокси посоветовал: «Предприятия, которые зависят от свойств взаимной аутентификации MS-CHAPv2 для подключения к своим серверам WPA2 Radius, должны немедленно начать миграцию на что-то другое». [49]
Методы туннелирования EAP с использованием TTLS или PEAP, которые шифруют обмен MSCHAPv2, широко используются для защиты от эксплуатации этой уязвимости. Однако распространенные реализации клиентов WPA2 в начале 2000-х годов были склонны к неправильной настройке конечными пользователями или, в некоторых случаях (например, Android ), не имели какого-либо доступного пользователю способа правильной настройки проверки CN-сертификатов AAA-сервера. Это расширило значимость исходной уязвимости MSCHAPv2 в сценариях атак MiTM . [50] В соответствии с более строгими тестами на соответствие для WPA2, объявленными вместе с WPA3, сертифицированное клиентское программное обеспечение должно будет соответствовать определенным поведениям, связанным с проверкой сертификата AAA. [14]
Hole196 — это уязвимость в протоколе WPA2, которая злоупотребляет общим групповым временным ключом (GTK). Его можно использовать для проведения атак типа «человек посередине» и атак типа «отказ в обслуживании» . Однако предполагается, что злоумышленник уже аутентифицирован в точке доступа и, таким образом, владеет GTK. [51] [52]
В 2016 году было показано, что стандарты WPA и WPA2 содержат небезопасный описательный генератор случайных чисел (RNG). Исследователи показали, что если поставщики реализуют предлагаемый RNG, злоумышленник может предсказать групповой ключ (GTK), который, как предполагается, будет случайным образом сгенерирован точкой доступа (AP). Кроме того, они показали, что обладание GTK позволяет злоумышленнику внедрять любой трафик в сеть и позволяет злоумышленнику расшифровывать одноадресный интернет-трафик, передаваемый по беспроводной сети. Они продемонстрировали свою атаку на маршрутизатор Asus RT-AC51U, который использует драйверы MediaTek out-of-tree, которые сами генерируют GTK, и показали, что GTK можно восстановить в течение двух минут или меньше. Аналогичным образом они продемонстрировали, что ключи, сгенерированные демонами доступа Broadcom, работающими на VxWorks 5 и более поздних версиях, можно восстановить в течение четырех минут или меньше, что влияет, например, на определенные версии Linksys WRT54G и определенные модели Apple AirPort Extreme. Поставщики могут защититься от этой атаки, используя безопасный RNG. Благодаря этому Hostapd , работающий на ядрах Linux, не уязвим для этой атаки, и, следовательно, маршрутизаторы, работающие под управлением типичных установок OpenWrt или LEDE , не проявляют этой проблемы. [53]
В октябре 2017 года были опубликованы подробности атаки KRACK (Key Reinstallation Attack) на WPA2. [54] [55] Считается, что атака KRACK затрагивает все варианты WPA и WPA2; однако последствия для безопасности различаются между реализациями в зависимости от того, как отдельные разработчики интерпретируют плохо определенную часть стандарта. Программные исправления могут устранить уязвимость, но они доступны не для всех устройств. [56] KRACK использует уязвимость в 4-стороннем рукопожатии WPA2, критическом процессе генерации ключей шифрования. Злоумышленники могут принудительно выполнять несколько рукопожатий, манипулируя сбросами ключей. Перехватывая рукопожатие, они могут расшифровать сетевой трафик без прямого взлома шифрования. Это представляет риск, особенно при передаче конфиденциальных данных. [57]
Производители выпустили исправления в ответ, но не все устройства получили обновления. Пользователям рекомендуется обновлять свои устройства, чтобы снизить такие риски безопасности. Регулярные обновления имеют решающее значение для поддержания сетевой безопасности против развивающихся угроз. [57]
Атаки Dragonblood выявили существенные уязвимости в протоколе рукопожатия Dragonfly, используемом в WPA3 и EAP-pwd. Они включали атаки по сторонним каналам, потенциально раскрывающие конфиденциальную информацию пользователя, и слабые стороны реализации в EAP-pwd и SAE. Также были высказаны опасения по поводу недостаточной безопасности в переходных режимах, поддерживающих как WPA2, так и WPA3. В ответ на это обновления безопасности и изменения протоколов интегрируются в WPA3 и EAP-pwd для устранения этих уязвимостей и повышения общей безопасности Wi-Fi. [58]
11 мая 2021 года были обнаружены FragAttacks, набор новых уязвимостей безопасности, влияющих на устройства Wi-Fi и позволяющих злоумышленникам в пределах досягаемости красть информацию или целевые устройства. К ним относятся недостатки конструкции в стандарте Wi-Fi, влияющие на большинство устройств, и ошибки программирования в продуктах Wi-Fi, делающие уязвимыми почти все продукты Wi-Fi. Уязвимости влияют на все протоколы безопасности Wi-Fi, включая WPA3 и WEP. Эксплуатация этих недостатков сложна, но ошибки программирования в продуктах Wi-Fi использовать легче. Несмотря на улучшения в безопасности Wi-Fi, эти результаты подчеркивают необходимость постоянного анализа безопасности и обновлений. В ответ были разработаны исправления безопасности, и пользователям рекомендуется использовать HTTPS и устанавливать доступные обновления для защиты. [59]
WPA совместим как с прямыми, так и с обратными версиями и предназначен для работы на существующих устройствах Wi-Fi в качестве загружаемого программного обеспечения.