Ekspert: Ro på – intet nyt i WPA2-sårbarhed

Version2 skrev tirsdag om et sikkerhedshul i WPA2-protokollen, som forskere fra universiteter i England og Grækenland havde offentliggjort en akademisk artikel om.

Her lød advarslen fra forskerne, at et nyt sikkerhedshul gjorde det muligt for hackere at bryde den ellers stærke kryptering i WPA2. Det bedste ville være en helt ny protokol, lød anbefalingen i forskningsartiklen, der blev gengivet af en stribe it-medier verden rundt.

Men der er ingen grund til at skrotte WPA2 og forsøge lynhurtigt at finde på en ny protokol til at beskytte den trådløse kommunikation mellem routeren og de tilkoblede enheder, siger Andrey Bogdanov, adjunkt på DTU Compute med speciale i kryptering.

»Det er en sårbarhed, der har været kendt i mindst fem år. I en helt sikker protokol ville den ikke være der, men det er i praksis mere et teknisk spørgsmål end et sikkerhedsspørgsmål. Så længe du har et stærkt password, er du sikker,« siger han til Version2.

Angrebet mod WPA2, som bliver beskrevet i artiklen i det akademiske tidsskrift ’International Journal of Information and Computer Security’, gør det muligt for en hacker at forsøge et brute-force-angreb, hvor passwordet til netværket bliver knækket ved at afprøve alverdens forskellige kombinationer.

Det er muligt, fordi man udefra kan tvinge en re-autentifikation igennem, altså en ny godkendelse af en enheds adgang til netværket.

»Man bruger en svaghed i protokollen til at sende en falsk re-autentifikations-besked, som skaber en ny re-autentifikation mellem access-point og klient. Så observerer angriberne denne re-autentifikation, der indeholder data, der kan bruges til deres ordbogsangreb,« siger Andrey Bogdanov.

Bruger man et dårligt password, vil hackere med gode ordbøger, altså lister over mulige passwords, hurtigt kunne gætte sig frem og få adgang. Det vigtigste er derfor at sørge for at bruge tilfældige tegn i sit password.

»Hvis det er helt tilfældigt, og det er langt nok, er det ok, og du er sikker. Men hvis der er meget struktur og lav entropi i passwordet, for eksempel en kombination af populære ord, kan det være i hackernes ordbøger,« siger Andrey Bogdanov.

Da WPA2 tillader passwords på op til 63 ASCII-tegn eller 64 hexadecimale tegn, er en anden sikker mulighed at bruge en sætning – bare ikke en kendt sætning – hvis man så når op på 50 eller 60 tegn. Det er nemmere at huske end helt tilfældige tal og bogstaver.

Har du tilmeldt dig Version2s daglige nyhedsbrev? Gør det her.