RSSおすすめ記事です

スポンサーリンク

【悲報】Wi-Fiセキュリティ新規格「WPA3」脆弱性発見、登場から1年経たずに

ニュースセキュリティ

wifi

スポンサーリンク

1: 名無しのシステムエンジニアさん 2019/04/11(木) 22:52:20.03 ID:CAP_USER

 Wi-Fiの認証/暗号化技術「WPA3」にセキュリティ上の脆弱性が見つかったとして、WPA2/WPAの脆弱性「KRACKs」の発見者であるMathy Vanhoef氏と、Eyal Ronen氏が論文を公表した。

 個人向けに提供される「WPA3-Personal」では、WPA2-PersonalのPSK(Pre-shared Key)に替わり、“Dragonfly”とも呼ばれるハンドシェイクの方式である「SAE(Simultaneous Authentication of Equals)」を採用している。Wi-Fi Allianceの解説によれば、SAEでは第三者によるパスワード推測に対するユーザー保護を強化しており、辞書攻撃などに対する耐性も持つという。

2018年6月28日付関連記事『Wi-Fiは将来的に「WPA3」必須に、Wi-Fi Allianceが新たな認定制度をスタート』参照
https://internet.watch.impress.co.jp/docs/news/1130066.html

 今回発見された問題では、SAEのパスワードの生成やエンコーディングを行うアルゴリズムなどに脆弱性があり、サイドチャネル情報が漏えいしてしまうことで、パスワードが推測される可能性があるという。

 また、WPA3は、いまだ普及の進んでいない新技術であるため、WPA2との互換性を維持して4-wayハンドシェイクで接続を行う移行モードが追加されている。これにダウングレード攻撃を実行される脆弱性があり、総当たり攻撃を行うことでもパスワードの解析が可能になるという。

 両氏はこの脆弱性について解説したウェブサイトや、「Dragonblood: A Security Analysis of WPA3’s SAE Handshake」というタイトルの研究論文を公開している。また、同ウェブサイトでは脆弱性をテストするためのツールなどが公開されている。

 現在、一般的に使われている暗号化技術WPA2/WPAは、“KRACKs”と呼ばれる脆弱性が存在することが2017年10月に明らかになっている。同脆弱性は、Wi-Fiネットワークが到達可能な距離の範囲内にいる攻撃者が、WPA2で暗号化されたWi-Fiで通信されたデータを復号して通信内容を盗み見たり、改ざんすることが可能になるもの(2017年10月17日付関連記事『WPA2の脆弱性「KRACKs」、Wi-Fi通信での盗聴や内容の改ざんが可能』参照)。
https://internet.watch.impress.co.jp/docs/news/1086486.html
WPA3はこの問題を受けて2018年6月に発表された新たな規格になるが、早くも脆弱性が発見されたことになる。

関連リンク
Dragonblood
https://wpa3.mathyvanhoef.com/
Dragonblood:Analysing WPA3’s Dragonfly Handshake(PDF)
https://papers.mathyvanhoef.com/dragonblood.pdf
Wi-Fiセキュリティ規格 「Wi-Fi CERTIFIED WPA3」(Wi-Fi Alliance)
https://www.wi-fi.org/ja/news-events/newsroom/wi-fi-alliance-wi-fi-wi-fi-certified-wpa3

2019年4月11日 19:37
INTERNET Watch
https://internet.watch.impress.co.jp/docs/news/1179661.html

4: 名無しのシステムエンジニアさん 2019/04/11(木) 23:06:39.60 ID:c4L/U88v
サイドチャネル攻撃って、アルゴリズムでも対策できるけど、ハードウェア側でも対策
できるんじゃないの?

 

5: 名無しのシステムエンジニアさん 2019/04/11(木) 23:15:43.45 ID:nqLNwEMh
サイドチャネルで推測できる「可能性」か…
あんまり実用的な脆弱性じゃないんじゃないか?
KRACKsもそんな感じだった気がする..
WEPみたいに速攻で割れるとかじゃないよね

 

9: 名無しのシステムエンジニアさん 2019/04/12(金) 00:01:55.75 ID:ZYiSEsrL
三ヶ月ごとにパスワード変えろとよ
遅れてるわ、内の会社
10桁くらいのパスワード覚えられるわけ無いわ
おまえの所だけじゃないんだぞ

 

10: 名無しのシステムエンジニアさん 2019/04/12(金) 00:23:22.20 ID:qIz+j6z8
うちまだWPA2だわ

 

11: 名無しのシステムエンジニアさん 2019/04/12(金) 00:55:31.48 ID:EvD22MLs
中身がほとんどSSLになってるから2重暗号という無駄
社内ネットに入り込まれる問題くらいかな

 

14: 名無しのシステムエンジニアさん 2019/04/12(金) 06:53:18.12 ID:/GSIPMGE
ユーザー(使用者)のレベルが低ければどんな素晴らしい技術も無駄。
量子通信(既に状態の再現性の論文があり、危殆化しているが・・)を使っても
不勉強なユーザー側の利便性や設定や復旧経路に弱点が散在している。
論文は面白そうだな。

 

15: 名無しのシステムエンジニアさん 2019/04/12(金) 06:54:56.06 ID:qx985Q8s
あー。俺WEPだわ。よかったぁ。

 

16: 名無しのシステムエンジニアさん 2019/04/12(金) 07:12:31.84 ID:Ycg97OzL
一般的に普及する前に、問題点を叩き潰してくれればいいよ。

 

Posted by flac