Onderzoeker vindt kwetsbaarheden die invloed hebben op 'alle wifi-apparaten'

Een Belgische securityonderzoeker heeft een serie kwetsbaarheden gevonden in de 802.11-standaard voor wifi. Deze 'FragAttacks'-kwetsbaarheden zouden volgens de onderzoeker invloed hebben op 'alle wifi-apparaten'.

De collectie kwetsbaarheden werd deze week kenbaar gemaakt onder de naam FragAttacks. Deze kwetsbaarheden werden ontdekt door Mathy Vanhoef, securityonderzoeker bij New York University Abu Dhabi. De kwetsbaarheden betreffen ontwerpfouten in de 802.11-standaard, die door de IEEE wordt ontwikkeld en de basis vormt van wifi.

Volgens de onderzoeker hebben de kwetsbaarheden invloed op alle moderne wifi-beveiligingsprotocollen, van WEP uit 1997 tot en met WPA3, dat onderdeel uitmaakt van Wi-Fi 6. Daarmee zijn vrijwel alle wifi-apparaten kwetsbaar voor één of meerdere van deze ontwerpfouten.

Volgens Vanhoef is het moeilijk om misbruik te maken van de ontwerpfouten zelf, omdat dit interactie van de gebruiker vereist of alleen mogelijk is bij gebruik van 'ongebruikelijke netwerkinstellingen'. "In de praktijk zijn de grootste zorgen dan ook de programmeerfouten in wifi-producten, aangezien verschillende daarvan triviaal zijn om uit te buiten", schrijft de onderzoeker.

Mathy Vanhoef presenteert FragAttacks tijdens Usenix Security 2021

Disclosure van de kwetsbaarheden

Er zijn de afgelopen maanden beveiligingsupdates voorbereid om gebruikers te beschermen, meldt Vanhoef. Dat gebeurde tijdens een disclosure-periode van negen maanden, die onder toezicht stond van de Wi-Fi Alliance en de ICASI. Die laatstgenoemde organisatie schrijft dat verschillende bedrijven, waaronder Cisco, HPE en Microsoft, al advisories en beveiligingsupdates hebben gepubliceerd.

Wanneer er nog geen update beschikbaar is voor het apparaat van een gebruiker, kunnen sommige van de kwetsbaarheden gemitigeerd worden door gebruik te maken van https. Vanhoef heeft een opensource applicatie waarmee gebruikers kunnen testen of hun apparaten kwetsbaar zijn op GitHub geplaatst. In totaal zijn er twaalf CVE-nummers aan de kwetsbaarheden toegewezen, die worden vermeld op de FragAttacks-website.

Diezelfde website geeft aan hoe hackers misbruik zouden kunnen maken van deze kwetsbaarheden. Hackers die zich binnen radiobereik van een slachtoffer bevinden, zouden deze kwetsbaarheden bijvoorbeeld kunnen misbruiken om gegevens te stelen, of om apparaten binnen het thuisnetwerk van het slachtoffer aan te vallen. "Experimenten wijzen uit dat elk wifiproduct door ten minste één kwetsbaarheid wordt getroffen en dat de meeste producten door meerdere kwetsbaarheden getroffen kunnen worden."

Aggregation attacks en andere kwetsbaarheden

Vanhoef legt ook de werking van de verschillende ontwerpfouten uit. De onderzoeker schrijft onder andere over een fout in de frame aggregation-functie van wifi. Die wordt gebruikt om de snelheid en doorvoer van een wifinetwerk te verhogen, door kleine 'frames' te combineren in een groter, samengevoegd frame. Ieder frame bevat daarbij een 'is aggregated'-flag, die aangeeft of het een volledig of een geaggregeerd frame betreft. Deze flag wordt volgens de onderzoeker niet geauthenticeerd en kan daardoor gewijzigd worden door een hacker.

Hackers kunnen dit uitbuiten door slachtoffers verbinding te laten maken met hun server, bijvoorbeeld door ze hun website te laten bezoeken. Vervolgens kunnen kwaadwillenden specifieke IPv4-packets versturen naar het slachtoffer, en vervolgens de 'is aggregated'-flag instellen. De mogelijkheid om dergelijke packets te injecteren maakt het mogelijk om het internetverkeer van een slachtoffer te onderscheppen door het gebruik te laten maken van een eigen DNS-server, zoals Vanhoef demonstreert in een video.

In een presentatie meldt hij dat dit in de praktijk moeilijk uit te buiten is, doordat gebruikers verbinding moeten maken met een server van een hacker, terwijl de hacker binnen radiobereik van het slachtoffer is. De onderzoeker plaatst ook uitleg bij verschillende andere ontwerpfouten, waaronder zogeheten mixed key-aanvallen en aanvallen op fragment cache. In een researchpaper gaat hij bovendien dieper in op alle verschillende kwetsbaarheden.

Mathy Vanhoef demonstreert een aggregation-aanval

Reacties (34)

[asing]

Moeilijk uit te buiten... Ik denk het niet met een rogue access point.

[The Zep Man]

Moeilijk uit te buiten... Ik denk het niet met een rogue access point.

Een rogue access point is een gerichte aanval. Dat kost veel, inclusief risico's, en zal in de praktijk niet willekeurig uitgevoerd worden.

Met elke standaard voor draadloze beveiliging is wel eens iets mis gebleken. De beste oplossing is altijd nog een permanente VPN waar al het verkeer overheen gaat, inclusief internetverkeer. Geen VPN? Geen verkeer (buiten pogingen van de VPN client om de server te bereiken). Dan maakt het je niet uit of het een rogue access point is of iets anders, zolang je maar je server kan bereiken (waarvan de identiteit geverifieerd wordt). Dan heb je ook meteen beveiliging geregeld voor het gebruik van internetcafés, publieke hotspots, ...

[Reactie gewijzigd door The Zep Man op 23 juli 2024 05:04]

[mcyh]

Beveiliging op hogere lagen oke, een vpn kan dan zeker helpen.
Waar ik dan van begin te huiveren is de doorsnee gebruiker die toch ook wel wat van de voordelen van ‘vpn’ wil gebruiken, en de eerste de beste ‘gratis’ vpn dienst omarmt en dan denkt veiliger te zijn…helemaal al als die ‘dienst’ ook nog proxy speelt! 😱

Een VPN naar een serieuze partij, of je werk / thuisnetwerk is natuurlijk wel zinvol.

[Raymond Deen]

Het zou je sieren als je ook even uitlegt waarom juist die combinatie zo erg is, want daar ben ik het mee eens.
Ik neem tenminste aan dat jij een mitm attack bedoelt die met zo'n proxy uitgevoerd kan worden?

[Joolee]

Absoluut. Je zou een VPN gebruiken om jezelf te beschermen tegen de kleine kans dat je slachtoffer bent van een MITM aanval. Juist door het opzetten van een VPN naar een onbetrouwbare partij (een grote naam maakt een partij niet ineens betrouwbaar, alleen heel rijk) activeer je een MITM aanval. Als zij ook nog eens proxy gaan spelen (want 'wij blokkeren alle ads, slechte websites en hackers!!!1') zet je helemaal de deur wagenwijd open. Daarmee geef je gewoon al je netwerkverkeer weg.

[poor Leno]

Maar hoe moet je dat dan 'goed' doen als je een VPN wil gebruiken voor enkel bijvoorbeeld Netflix uit een ander land te kijken?

Of met je mobiele telefoon zonder gedoe van advertenties en trackers e.d. wil internetten? (Zowel thuis als onderweg)

[Joolee]

Wat hierboven ook al aangegeven wordt, zet zelf het endpoint op voor je vpn. Het is uiteindelijk een kwestie van vertrouwen. Ik vertrouw mijn ISP thuis meer dan dat ik een willekeurige VPN of VPS provider vertrouw, mijn thuisverkeer gaat dan ook niet via een VPN het internet op.
Mobiel echter, vertrouw ik geen willekeurige internetprovider in binnen en buitenland, al mij mobiele verkeer gaat dan ook over een VPN naar mijn huis of mijn VPS (bij een relatief betrouwbare Nederlandse hostingprovider.) Met Pi-Hole in zowel mijn thuisnetwerk als op m'n VPS houdt ik advertenties buiten de deur.

Als je doel is om bijv. Netflix te bekijken via een VPN dan kun je zelf een VPS huren in het buitenland, je kunt ook gewoon gebruik maken van een VPN provider. In beide gevallen zou ik alleen wel de moeite nemen om ervoor te zorgen dat alleen je Netflixverkeer daardoorheen gaat.

[GekkePrutser]

Een rogue access point is een gerichte aanval. Dat kost veel, inclusief risico's, en zal in de praktijk niet willekeurig uitgevoerd worden.

Bij ons op het werk wordt het regelmatig gezien hoor (multinational, wereldwijd). Meerdere keren per jaar. Het is niet zo risicovol omdat je het van een naburig pand kan doen. Een raspberry pi zero (W) is al genoeg op zich (met een goede externe antenne eraan gesoldeerd)

Het is alleen niet zo succesvol als je WPA2 Enterprise gebruikt met de juiste signing van de RADIUS server. Dan wordt de rogue gewoon niet vertrouwd door je endpoints. En bijna elke zakelijke AP kan dit herkennen en een waarschuwing geven. Daarom weten we het ook, het is niet dat we er zelf actief naar op zoek gaan.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 05:04]

[Bor]

Bij ons op het werk wordt het regelmatig gezien hoor (multinational, wereldwijd). Meerdere keren per jaar. Het is niet zo risicovol omdat je het van een naburig pand kan doen. Een raspberry pi zero (W) is al genoeg op zich (met een goede externe antenne eraan gesoldeerd)

Precies. Een van de nadelen aan deze aanval is dat hij weinig resources kost en dat de pakkans behoorlijk laag is. Het komt vaker voor dan sommige mensen denken.

[goarilla]

Wat met interne traffiek ... wifi vlan naar wired vlan bijvoorbeeld. Zou jij dat ook tunnelen ? Enige inzichten/tips hoe ?

[OruBLMsFrl]

Kan wel, apart VLAN dat enkel wifi doet. VPN server op ander VLAN waar je naar kunt verbinden. Alleen vanaf het VLAN waar de VPN server op zit verkeer naar internet en andere interne zaken (best op nog weer ander VLAN) toestaan. Dit kun je met OpenVPN gratis opbouwen, wel een managed switch met iets van ACL of VLAN security nodig, danwel een router/firewall die dat kan.

Heb je zulke netwerkapparatuur niet, dan kun je daarvoor in de plaats ook nog een oude PC met een veelal linux gebaseerde software router/firewall USB/installatie gebruiken.

[Bor]

Een rogue access point is een gerichte aanval. Dat kost veel, inclusief risico's, en zal in de praktijk niet willekeurig uitgevoerd worden.

Een rogue access point opzetten is relatief simpel en kost niet heel erg veel. Dat kan met kant en klare producten rond de 100 dollar maar ook op basis van dv een raspberry pi of bv een linux distributie als Kali Linux. En ja, dat wordt in de praktijk ook min of meer willekeurig uitgevoerd, bijvoorbeeld in de buurt van 'gratis wifi'.

[Reactie gewijzigd door Bor op 23 juli 2024 05:04]

[The Zep Man]

Een rogue access point opzetten is relatief simpel en kost niet heel erg veel.

Kans dat de aanvaller of diens apparatuur gepakt worden, dat er iets ergens op camera staat, ...

Heb de theorie ook wel eens zelf gedaan, met al zoiets kleins als een TP-Link TL-703n. Ja, het is te doen, maar daarmee ga je geen WPA3 kraken en het soort aanvallen doen als waar in het artikel over gepraat wordt.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 05:04]

[Bor]

Ik denk dat je de pakkans schromelijk overschat. Uitgaande van bv de kant en klare apparatuur; deze is ontzettend klein, dat past makkelijk in een jaszak of rugzak. Camera bewaking is in veel gevallen sowieso al een overschat iets, zeker op openbare plekken. Doordat een rogue access point doorgaans niet snel opvalt is er vaak al geen reden om camerabeelden te bekijken. Ook kan een aanval zoals deze bv vanuit een voertuig of een gebouw dicht in de buurt worden uitgevoerd. Je hebt alleen voldoende bereik nodig.

[Reactie gewijzigd door Bor op 23 juli 2024 05:04]

[Mel33]

En je wifi ssid verborgen maken, heeft dat zin?

[keejoz]

Nee. Wanneer je laptop openklapt en je OS wordt wakker gaat ie zelf zoeken naar z'n netwerk "hallo is wifi XYZ hier?" De rogue kan dit oppikken en zichzelf zo aanbieden.

[borbit]

Ik zou denken dat je gewoon een auto in de buurt zet en dan een paar dagen wacht. In een beetje druk gebied is het dan lastig terug te leiden naar de auto zou ik denken. (vanaf de camera bewaking bedoel ik dan he)

[xbeam]

Daar heb je kali Linux niet voor nodig. Gewoon Windows en Ubuntu beschikken over de zelfde tooltjes als kali. alleen moet zelf via apt install installeren.

[Reactie gewijzigd door xbeam op 23 juli 2024 05:04]

[TheVivaldi]

Daarom schreef Bor ook “bijv. een Linux-distributie als”. Daarmee gaf 'ie al aan dat er meerdere wegen naar Rome leiden.

[harrydg]

Gesteld dat je je verkeer bij de VPN provider kan vertrouwen...

[xbeam]

Ik mag hopen dat jij je zelf vertrouwd
En net zo als de meeste tweakers deze VPN binnen je eigen security perimeter opzet. En geen gebruik maken een externe VPN providers

[The Zep Man]

Gesteld dat je je verkeer bij de VPN provider kan vertrouwen...

Een beetje tweaker of professionele organisatie heeft zijn eigen infrastructuur met eigen VPN server.

[nero355]

Een VPN lost het probleem maar deels op helaas : https://www.fragattacks.com/#vpn

Ik vind het ontzettend slecht dat men tijdens het ontwikkelen van 802.11ax dit soort flaws niet heeft opgemerkt en preventief heeft opgelost!
Nieuwe WiFi standaard... nieuwe encryptie standaard WPA3... en dan meteen na de release een security issue... handig!

Om over de vele apparaten die nooit meer een nieuwe firmware zullen zien/krijgen maar te zwijgen...

[lenwar]

Tsja, VPN is natuurlijk leuk voor een pc, telefoon of tablet, maar al dat ‘slimme spul’ in je netwerk dat met WiFi loopt heeft daar niet zo veel aan. En als dat dus misbruikt wordt heb je effectief een springplank naar de rest.

[Videopac]

WPA3 staat los van 802.11ax (tegenwoordig simpelweg wifi 6 genoemd).

[dion_b]

Ja en nee. Support voor WPA3 is verplicht in 802.11ax, terwijl het nog niet vermeld is in 802.11ac of 802.11-2016, dus ondanks dat het vrij staat voor fabrikanten om WPA3 op WiFi-ac en ouder te implementeren ga je het in praktijk alleen terugzien bij 802.11ax.

[Bundin]

Mwah, mijn niet-ax TP-link router en Sony telefoon babbelen vrolijk met WPA3 over een ac verbinding, die optie is toegevoegd via een firmware update. Ik denk dat de grotere merken die optie wel toevoegen of dat al hebben gedaan aan de recente ac-modellen. Uiteindelijk is veiligheid voor diegenen die actief een router op specs uitzoeken een van de manieren waarop je je kan onderscheiden van de rest (in positieve of negatieve zin).

[7ven]

Terug naar de kabel allemaal. Wanneer wordt er nou eindelijk een smartphone uitgebracht met niet alleen een 3,5mm jack maar ook een rj45 poort

[lenwar]

Er zijn dongels met usb-c naar ethernet. Ook voor Apple van lightning naar ethernet, ik heb ze nooit gezien met ook nog een 3.5mm jack maar allicht dat die bestaan

[Exception]

Ik denk niet dat dat gaat werken. Een 3,5mm jack heeft geen 8 (of 4) aderparen

[R4gnax]

De mogelijkheid om dergelijke packets te injecteren maakt het mogelijk om het internetverkeer van een slachtoffer te onderscheppen door het gebruik te laten maken van een eigen DNS-server, zoals Vanhoef demonstreert in een video.

Dus: koren op de molen voor DNSSec en soortgelijke initiatieven om alles, maar dan ook alles, over protocol-level beveiligde verbindingen te laten lopen. Veel plezier daar via lagere netwerkniveau's data in te injecteren; dan zul je toch echt ook TLS moeten gaan kraken.

[Goderic]

Inderdaad, het netwerk tussen jou in de server moet je sowieso niet vertrouwen, wifi of niet.

[Raan7]

Dit was toch al bekend? Of vergis ik me nu? Komt dit er bovenop?


DeAuther methode

[Mathijs1]

Dat is ook een kwetsbaarheid in de WiFi standaard, maar heeft weinig te maken met deze nieuwe kwetsbaarheden.