Dragonfly: Neue Sicherheitslücken in Verschlüsselungsstandard WPA3

Wie lange ein kryptografisches Verfahren braucht, kann ungewollt Informationen verraten. Mit einer solchen Schwachstelle konnten Forscher Passwörter bei der WLAN-Verschlüsselung WPA3 knacken.

Artikel veröffentlicht am , Anna Biselli
Dragonblood bei Dragonfly, der Libelle
Dragonblood bei Dragonfly, der Libelle (Bild: Balaji Malliswamy/unsplash.com)

Der WLAN-Verschlüsselungsstandard WPA3 sollte einige Sicherheitsprobleme des alten Standards WPA2 lösen. Dort konnte durch dem sogenannten Krack-Angriff bei manchen Konfigurationen verschlüsselte Kommunikation mitgelesen werden.

Stellenmarkt
  1. Head of User Experience (m/w/d)
    Fressnapf Holding SE, Düsseldorf
  2. BI Data Engineer (m/w/d)
    Vodafone GmbH, Düsseldorf
Detailsuche

Doch auch WPA3 ist nicht frei von Fehlern. Im April dieses Jahres veröffentlichten die Sicherheitsforscher Eyal Ronen und Mathy Vanhoef, der auch Krack entdeckte, fünf Schwachstellen in dem Standard. Nun haben sie zwei weitere gefunden.

Diese Fehler befanden sich gerade in jenen Empfehlungen der Hersteller-Vereinigung Wi-Fi Alliance, mit denen die früheren Angriffe unterbunden werden sollten. Sie könnten wie manche der alten Angriffe für kryptografische Operationen ausgenutzt werden, um Informationen über das WLAN-Passwort zu erhalten. Sie tragen daher auch den gleichen Namen: Dragonblood. Das ist eine Anspielung auf WPA3s Schlüsselaustauschmechanismus mit dem Namen Dragonfly - auf Deutsch Libelle.

Die Wiederholungen verraten Informationen

Bei der Passwortverschlüsselung versucht ein Algorithmus, einen Hash-Wert zu finden, der kleiner ist als die Primzahl der zugrunde liegenden elliptischen Kurve. Bei den sogenannten Brainpool-Kurven kann das - je nach Passwort und MAC-Adresse des Clients - mehrere und unterschiedlich viele Versuche benötigen. Aus dieser Anzahl ließen sich Informationen über das Passwort ableiten, schreiben die Forscher. Durch diese Zusatzhinweise hätten sie mit einem praktischen Angriff ein Passwort knacken können. Eine weitere Schwachstelle fanden sie in der EAP-pwd-Implementation von FreeRADIUS, die viele Hersteller zur Authentifizierung nutzen und das in WPA3 weiter unterstützt wird.

Golem Akademie
  1. Java EE 8 Komplettkurs: virtueller Fünf-Tage-Workshop
    29. November–3. Dezember 2021, virtuell
  2. Ansible Fundamentals: Systemdeployment & -management: virtueller Drei-Tage-Workshop
    6.–8. Dezember 2021, Virtuell
Weitere IT-Trainings

Die Forscher kritisierten die Wi-Fi Alliance: "Das zeigt wieder einmal, dass die geschlossene Entwicklung von Sicherheitsempfehlungen und Standards im besten Fall verantwortungslos und im schlimmsten Fall sinnlos ist." Dadurch werde die Open-Source-Community ausgeschlossen und könne nicht helfen, dass Schwachstellen es gar nicht erst in Standards schafften, zitiert ZDnet die Forscher.

Die neuen Sicherheitslücken würden mit einer weiteren, sichereren Protokollversion geschlossen. Rückwärtskompatiblel seien diese Aktualisierungen jedoch nicht. Die Forscher gingen davon aus, dass es einen neuen Standard WPA3.1 geben könnte, berichtet ZDnet.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Wiki-Nger 06. Aug 2019

Liest man den Artikel auf: https://wpa3.mathyvanhoef.com/#new so kann man sehen...

randya99 06. Aug 2019

Das ist kein Problem weil es sowieso niemand verwendet. Da es nicht abwärtskompatibel...

brotiger 05. Aug 2019

Die Mitglieder der WiFi Alliance kontrollieren sämtliche Teile der Standards, von der...



Aktuell auf der Startseite von Golem.de
Rockstar Games
Neue GTA Trilogy läuft auch auf älterer PC-Hardware

Die Grafik der überarbeiteten GTA Trilogy sieht im Video viel besser aus als im Original. Trotzdem muss es keine ganz neue Hardware sein.

Rockstar Games: Neue GTA Trilogy läuft auch auf älterer PC-Hardware
Artikel
  1. Staatstrojaner: Journalist der New York Times mit Pegasus gehackt
    Staatstrojaner
    Journalist der New York Times mit Pegasus gehackt

    Nach mehreren Versuchen wurde ein Journalist der New York Times mit dem NSO-Trojaner Pegasus infiziert. Schützen konnte er sich nicht.

  2. Kursabsturz: Teamviewer-Chef spricht über schwere hausgemachte Fehler
    Kursabsturz
    Teamviewer-Chef spricht über schwere hausgemachte Fehler

    Die vielen neuen Mitarbeiter seien nicht richtig eingearbeitet worden. Und die Ziele von Teamviewer seien zu hochgesteckt gewesen, sagt Oliver Steil.

  3. Satechi: USB-C-Hub integriert eine externe SSD gleich mit
    Satechi
    USB-C-Hub integriert eine externe SSD gleich mit

    Der Hybrid Multiport Adapter kann per USB-C ein Notebook aufladen und weitere Geräte verbinden. Außerdem ist Platz für eine M.2-SSD.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Speicherprodukte von Sandisk & WD zu Bestpreisen (u. a. Sandisk SSD Plus 2TB 140,99€) • Sapphire Pulse RX 6600 497,88€ • Nintendo Switch OLED 369,99€ • Epos H3 Hybrid Gaming-Headset 144€ • Apple MacBook Pro 2021 ab 2.249€ • EA-Spiele günstiger • Samsung 55" QLED 699€ [Werbung]
    •  /