Abo
  • IT-Karriere:

Dragonfly: Neue Sicherheitslücken in Verschlüsselungsstandard WPA3

Wie lange ein kryptografisches Verfahren braucht, kann ungewollt Informationen verraten. Mit einer solchen Schwachstelle konnten Forscher Passwörter bei der WLAN-Verschlüsselung WPA3 knacken.

Artikel veröffentlicht am , Anna Biselli
Dragonblood bei Dragonfly, der Libelle
Dragonblood bei Dragonfly, der Libelle (Bild: Balaji Malliswamy/unsplash.com)

Der WLAN-Verschlüsselungsstandard WPA3 sollte einige Sicherheitsprobleme des alten Standards WPA2 lösen. Dort konnte durch dem sogenannten Krack-Angriff bei manchen Konfigurationen verschlüsselte Kommunikation mitgelesen werden.

Stellenmarkt
  1. Europa-Universität Flensburg, Flensburg
  2. Schöck Bauteile GmbH, Baden-Baden

Doch auch WPA3 ist nicht frei von Fehlern. Im April dieses Jahres veröffentlichten die Sicherheitsforscher Eyal Ronen und Mathy Vanhoef, der auch Krack entdeckte, fünf Schwachstellen in dem Standard. Nun haben sie zwei weitere gefunden.

Diese Fehler befanden sich gerade in jenen Empfehlungen der Hersteller-Vereinigung Wi-Fi Alliance, mit denen die früheren Angriffe unterbunden werden sollten. Sie könnten wie manche der alten Angriffe für kryptografische Operationen ausgenutzt werden, um Informationen über das WLAN-Passwort zu erhalten. Sie tragen daher auch den gleichen Namen: Dragonblood. Das ist eine Anspielung auf WPA3s Schlüsselaustauschmechanismus mit dem Namen Dragonfly - auf Deutsch Libelle.

Die Wiederholungen verraten Informationen

Bei der Passwortverschlüsselung versucht ein Algorithmus, einen Hash-Wert zu finden, der kleiner ist als die Primzahl der zugrunde liegenden elliptischen Kurve. Bei den sogenannten Brainpool-Kurven kann das - je nach Passwort und MAC-Adresse des Clients - mehrere und unterschiedlich viele Versuche benötigen. Aus dieser Anzahl ließen sich Informationen über das Passwort ableiten, schreiben die Forscher. Durch diese Zusatzhinweise hätten sie mit einem praktischen Angriff ein Passwort knacken können. Eine weitere Schwachstelle fanden sie in der EAP-pwd-Implementation von FreeRADIUS, die viele Hersteller zur Authentifizierung nutzen und das in WPA3 weiter unterstützt wird.

Die Forscher kritisierten die Wi-Fi Alliance: "Das zeigt wieder einmal, dass die geschlossene Entwicklung von Sicherheitsempfehlungen und Standards im besten Fall verantwortungslos und im schlimmsten Fall sinnlos ist." Dadurch werde die Open-Source-Community ausgeschlossen und könne nicht helfen, dass Schwachstellen es gar nicht erst in Standards schafften, zitiert ZDNet die Forscher.

Die neuen Sicherheitslücken würden mit einer weiteren, sichereren Protokollversion geschlossen. Rückwärtskompatiblel seien diese Aktualisierungen jedoch nicht. Die Forscher gingen davon aus, dass es einen neuen Standard WPA3.1 geben könnte, berichtet ZDNet.



Anzeige
Top-Angebote
  1. (u. a. D24f FHD/144 Hz für 149€ + Versand statt 193,94€ im Vergleich)
  2. (u. a. Acer KG241QP FHD/144 Hz für 169€ und Samsung GQ55Q70 QLED-TV für 999€)
  3. (u. a. mit Gaming-Monitoren, z. B. Acer ED323QURA Curved/WQHD/144 Hz für 299€ statt 379€ im...
  4. (u. a. Apple iPhone 6s Plus 32 GB für 299€ und 128 GB für 449€ - Bestpreise!)

Wiki-Nger 06. Aug 2019 / Themenstart

Liest man den Artikel auf: https://wpa3.mathyvanhoef.com/#new so kann man sehen...

randya99 06. Aug 2019 / Themenstart

Das ist kein Problem weil es sowieso niemand verwendet. Da es nicht abwärtskompatibel...

brotiger 05. Aug 2019 / Themenstart

Die Mitglieder der WiFi Alliance kontrollieren sämtliche Teile der Standards, von der...

Kommentieren


Folgen Sie uns
       


Raspberry Pi 4B vorgestellt

Nicht jedem dürften die Änderungen gefallen: Denn zwangsläufig wird auch neues Zubehör fällig.

Raspberry Pi 4B vorgestellt Video aufrufen
Arbeit: Hilfe für frustrierte ITler
Arbeit
Hilfe für frustrierte ITler

Viele ITler sind frustriert, weil ihre Führungskraft nichts vom Fach versteht und sie mit Ideen gegen Wände laufen. Doch nicht immer ist an der Situation nur die Führungskraft schuld. Denn oft verkaufen die ITler ihre Ideen einfach nicht gut genug.
Von Robert Meyer

  1. IT-Fachkräftemangel Freie sind gefragt
  2. Sysadmin "Man kommt erst ins Spiel, wenn es brennt"
  3. Verdeckte Leiharbeit Wenn die Firma IT-Spezialisten als Fremdpersonal einsetzt

IT-Arbeitsmarkt: Jobgarantie gibt es nie
IT-Arbeitsmarkt
Jobgarantie gibt es nie

Deutsche Unternehmen stellen weniger ein und entlassen mehr. Es ist zwar Jammern auf hohem Niveau, aber Fakt ist: Die Konjunktur lässt nach, was Arbeitsplätze gefährdet. Auch die von IT-Experten, die überall gesucht werden?
Ein Bericht von Peter Ilg

  1. IT-Standorte Wie kann Leipzig Hypezig bleiben?
  2. IT-Fachkräftemangel Arbeit ohne Ende
  3. IT-Forensikerin Beweise sichern im Faradayschen Käfig

WEG-Gesetz: Bundesländer preschen bei Anspruch auf Ladestellen vor
WEG-Gesetz
Bundesländer preschen bei Anspruch auf Ladestellen vor

Können Elektroauto-Besitzer demnächst den Einbau einer Ladestelle in Tiefgaragen verlangen? Zwei Bundesländer haben entsprechende Ergebnisse einer Arbeitsgruppe schon in einem eigenen Gesetzentwurf aufgegriffen.
Eine Analyse von Friedhelm Greis

  1. Startup Rivian plant elektrochromes Glasdach für seine Elektro-SUVs
  2. Elektroautos Mehr als 7.000 neue Ladepunkte in einem Jahr
  3. Elektroautos GM und Volkswagen verabschieden sich vom klassischen Hybrid

    •  /