Nieuwe Wi-Fi-beveiliging lekt

Robert Moskowitz, technisch directeur van ICSA Labs, concludeert uit eigen onderzoek dat WPA zwakke plekken kent. Moskowitz heeft zelf meegewerkt aan de ontwikkeling van Wi-Fi en WPA. Het belangrijkste probleem houdt verband met het gebruik van zogenaamde pre-shared keys (PSK’s), een voorziening die vooral is bedoeld voor thuisgebruikers en kleine bedrijven. Zij kunnen zich daarmee op een Wi-Fi-netwerk aanmelden zonder dat een aparte authenticatieserver nodig is. Voor het genereren van de PSK wordt een wachtwoord van 8 tot 63 tekens gebruikt. Kwaadwillenden kunnen volgens Moskowitz door het afluisteren van de aanmeldprocedure tussen een Wi-Fi-toestel en een basisstation proberen de geheime sleutel te raden. Het onderscheppen van slechts vier specifieke datapakketjes biedt voldoende informatie om het wachtwoord te kunnen ontcijferen, aldus Moskowitz. Dit in tegenstelling tot bestaande standaarden als WEP en LEAP van Cisco, waar een aanvaller eerst grote hoeveelheden dataverkeer moet afluisteren. Mocht de hacker de vier cruciale pakketjes mislopen, dan kan hij alsnog het basisstation uitlokken tot heruitzending door een nieuwe inlogprocedure te starten. Speciale software kan de PSK raden door een ‘woordenboek’ van mogelijke combinaties af te lopen. Zeker wachtwoorden tot twintig tekens zijn waarschijnlijk niet bestand tegen zo’n ‘dictionary attack’. Moskowitz adviseert bij gebruik van PSK lange, sterke wachtwoorden te kiezen of liever nog lukraak wachtwoorden te genereren.