Hole 196 - brechas de segurança no WPA2

O indiano Sohail Ahmad um expert em segurança wireless que trabalha para a AirTight, apresentou no Defcon18 - considerado um dos maiores eventos sobre segurança - o que chamou de “Hole 196”. Segundo Sohail este nome foi dado porque a idéia para descobrir e explorar esta falha de segurança veio do próprio documento de especificação da IEEE, que na página 196 descreve a incapacidade de uma das chaves de detectar determinado ataque.

 Figura tirada da apresentação do Sohail

A apresentação não trata de como ganhar acesso a uma rede sem fio que usa WPA2 por um usuário não autorizado e nem de como quebrar uma chave WPA2. Através desta descoberta Sohail mostra que é possível um usuário autorizado (autenticado) sniffar a rede e capturar dados dos outros usuários sem ser detectado por IDS/IPS da rede cabeada. A técnica explora uma vulnerabilidade na chave GTK (Group Temporal Key) que é usado para proteger os pacotes broadcast da rede.

Foram demonstrados três ataques com essa técnica:

1. Stealth ARP Poisoning

Onde o atacante injeta pacotes ARP Request falsos na rede, com isso fazendo com que a vítima pense que ele é o novo gateway da rede.

2. IP level targeted

Onde no campo “Encapsulated  Data Payload” do pacote pode ser injetado payloads maliciosos que irão atuar na camada de IP. Podemos usar isso para: port scanning, buffer overflow exploit, malware injection etc.

3. WDoS on broadcast

Com esta técnica é possível gerar um ataque DoS na rede sem fio que afetará todos os clientes da rede, com isso diminuindo drasticamente o link de cada máquina.

Sohail modificou dois open source software para implementar seu trabalho (PoC), wpa_supplicant (0.7.0) e madwifi (0.9.4).

Para realizar o ataque conhecido como MITM (man-in-the-middle) você poderá utilizar uma das várias ferramentas já conhecida pela comunidade, como: Cain & Abel, Ettercap, Delegated/DNSSpoof, SSLSniff, SSLStrip etc.

Na apresentação Sohail mostra algumas soluções esperadas para resolver este problema, onde uma das soluções seria a instalação de programas como DecaffeinatID e ARP Watcher nas máquinas cliente da rede, porém esta solução ficaria inviável em um ambiente com muitas máquinas. Porém esta solução não resolveria a brecha na implementação do GTK.

Para maiores informações acesse o site da DEFCON18 e baixe os slides:
http://www.defcon.org/html/links/dc-archives/dc-18-archive.html#Ahmad

By Osvaldo