WPA3'de Güvenlik Açığı

İki siber güvenlik araştırmacısı, WiFi Alliance'ın yakın zamanda duyurduğu WPA3 Wi-Fi güvenlik ve kimlik doğrulama standardını etkileyen, Dragonblood olarak adlandırılan birkaç güvenlik açığının ayrıntılarını açıkladı.

Dragonblood Zafiyetleri: Toplamda, beş güvenlik açığından meydana gelmekte bunlar; "bir denial-of-service saldırısı, iki downgrade saldırısı ve iki side-channel info sızıntısı" olarak belirtilmekte.

Denial-of-service saldırısı, sadece WPA3 uyumlu erişim noktalarının çökmesine yol açtığı için önemsiz olmakla birlikte, diğer dört kullanıcı şifresini kurtarmak için kullanılabilecek olanlardır.

Hem downgrade saldırısı hem de side-channel sızıntısı, WPA3 standardının Dragonfly adı verilen anahtar değişim sistemindeki tasarım hatalarından yararlanır; Dragonfly, kullanıcıların bir WPA3 router veya access pointte kimlik doğrulamalarını sağlayan mekanizmadır.

Downgrade saldırısında, WiFi WPA3 özelliğine sahip ağlar, daha eski ve güvenli olmayan bir parola değiştirme sistemi kullanılmasına zorlanabilir; bu sorun, saldırganların eski açıkları kullanarak ağ parolalarını ele geçirmelerine izin verebilir.

Bu güvenlik açıklarıyla ilgili daha ayrıntılı açıklamalar için "Dragonblood: A Security Analysis of WPA3's SAE Handshake" başlıklı akademik makalesine veya Dragonblood güvenlik açıkları için oluşturulmuş internet sitesine bakılabilir.

WPA3'ün yanı sıra, araştırmacılar Dragonblood güvenlik açıklarının önceki WPA ve WPA2 WiFi kimlik doğrulama standartlarında desteklenen EAP-pwd'yi de etkilediğini belirtti. Araştırmacılar “Biz […] EAP-pwd'yi kullanan birçok üründe ciddi sorunlar keşfettik” dedi.

İki araştırmacı, Dragonblood zafiyetlerinin EAP-pwd'yi nasıl etkilediğine dair detayları açıklamadı. Bununla birlikte, WPA3 özellikli cihazların temel Dragonblood zafiyetlerinden herhangi birine karşı hassas olup olmadığını keşfetmek için kullanılabilecek çeşitli araçlar yayınladılar.

WiFi Alliance, Vanhoef ve Ronen'in Dragonblood kusurlarını kamuya açıklamasının ardından WPA3 standardı için bir güvenlik güncellemesi yaptığını duyurdu.

WiFi Alliance bir basın bülteninde, "Bu sorunların tümü, cihazların çalışabilmelerini etkilemeden yazılım güncellemeleriyle azaltılabilir." dedi. WiFi ürünlerinin satıcıları yapılan bu değişiklikleri yazılım güncellemeleriyle ürünlerine entegre etmek zorunda kalacaklar.

Kaynak: ZDNet