感想: "WPA1は簡単に破られ,NICも乗っ取られる"っていう某見出しは、少し誇張しすぎなんじゃないでしょうか。
You can attract many people by 'exaggerating things'. But this headline, "WPA1 can easily be cracked. And they also can hijack Network interface cards. by ITpro" might be too much.
ars technicaより (日本語部分は私の試訳です。)
By Glenn Fleishman | Published: November 06, 2008 - 07:25PM CT
Finding a slim vector
Academic researchers have found an exploitable hole in a popular form of wireless networking encryption. The hole is in a part of 802.11i that forms the basis of WiFi Protected Access (WPA), so it could affect routers worldwide. German graduate student Erik Tews will present a paper at next week's PacSec in Tokyo coauthored with fellow student and aircrack-ng team member Martin Beck that reveals how remnants of WPA's predecessor allow them to slip a knife into a crack in the encryption scheme and send bogus data to an unsuspecting WiFi client.
学術的な研究者達が、一般的に使われている無線LANの暗号上のセキュリティーホールを発見した。それは、WiFi802.11i中の、基本部分であるWPA(WiFi Protected Access)部分に関する物だ。ということは、世界中のルーターが影響を受けるかもしれないのだ。ドイツの大学院生であるErik Tews氏が、同僚で共同研究者のMartin Beck氏、および無線LAN解析チームの面々と共に、東京で来週(※記事執筆時点の日時)行われるPacSecで発表を行う。そこで、どのようにWPAのデータ断片にクラック用の細工をし、暗号を解き、偽のデータを、WiFiを安心しきって使っているクライアントに対し、送るのか、手法が示される。
英文の続きは以下リンク
http://arstechnica.com/articles/paedia/wpa-cracked.ars/以下、試訳続けます(概訳で、内容は無保証です)。やたら長いので、いろいろ省略しています。リンク先の原文を参照してください。
ドイツでinterviewした。たくさんの、教授候補が、暗号を研究している。Darmstadtの工学系大学で。Tewsが説明してくれた。 既存のWEP(もっと、WPAの前からある暗号)への、クラック攻撃は、slim vector向けに調整され、任意のデータをTKIP(Temporal Key Integrity Protocol)を使うネットワークに送るものだ。 (Tewsの同僚研究者Beckも学生だ。DresdenにあるTechnical Universityの。Tewsは、 Beck が発見したのだと賞賛する。二人の研究成果をTewsがPacSecで発表する。)
TewsとBeckの手法は、攻撃者が流れるpacketをクンクンと嗅ぎつつ、packetに微妙な変更を加え、checksumに異常が起こるようにする。そして、アクセスポイントにパケットを送り返すことにより、その結果をさらにチェックするというものだ。
「これはkey recovery attackじゃないんだ」Tewsは言う。「単に、個々のパケットの暗号解読ができるようになるだけなんだ」そして、この手法は、短いパケットだけに有効だ。但し、ARP(Address Resolution Protocol)ポイズニングが可能になり、もしかすると、DNS (Domain Name Service) spoofingやポイズニングも可能になるのだという。
IEEEのengineering standard groupが規定した、802.11b の基本的な暗号メカニズム仕様では、シンプルすぎてデータが丸見えになる恐れがあった。
WEP(Wired Equivalent Privacy)の目的は、シンプルだ。そのベースラインは、Ethernet jackを使った場合と同じように強固にすることだった。しかし、そのもくろみは、あっという間に失敗した。2001年にはクラックが始まり、2004年の当初には、きれいさっぱり破られてしまった。あるresearcher達は、主張しているほどだ。実際のネットで使われている、WEPのkeyは、1分以下で破られ、見つけられてしまうと。
(この対策として、殆どの会社は、VPN(virtual private network)接続を併用することで、強固なfirewallの外側にあるaccess pointから、WiFiの使用を ネットワークを危険にさらすことなく、行っている。)
802.11iのtask groupは、 何かこう、もっとずっと強力な物にWEPを置き換えるべく、 努力し、2つの別々なsolutionを見つけた。
1つは、振り返るもので、もう1つは先に行ってしまうものだった。振り返るものは、802.11i で包み込むのだ。つまり、今まで発売され、売られたWiFi device全部をどうにかするってのは、つまり、かなり昔である1999年から売られていたもの全部に対応することが必要で、それができるのがTKIPだ。
TKIP は、古い昔のカードまで含めて、改造すれば対応できる。firmware更新と driver updateだけでいけるのだ。最初は、そのTKIPでどうにかすることが行われた。そしてその、元のやつと新しいのを合体させた規格は、WiFi認証品のお墨付きを与える共同団体であるWi-Fi Allianceから、WPAと呼ばれた。 (あなただって、802.11機器を、牛が家に帰ってくるまででも、勝手に作り、売り続けることは出来るが、その共同団体のメンバーになって、認証費用を払いテストに合格しないと、WiFi認証品のお墨付きラベルを貼って売ることは出来ない。)
WEP: もう、さほどセキュアではないもの
802.11i group は、さらにAES(Advanced Encryption System)もサポートするようになった。AES-128flavor だ。これは、なんと、落ち着いて聞いてくれ、こんな仕様を使っているんだ。Counter Mode をCBC-MAC (Cipher Block Chaining Message Authentication Code) Protocol、ひとまとめに略して CCMP と併用しているんだ。このAES追加風味は、データを暗号化し、また全体を確固たるものにする。今回Tewsと Beckが見つけた抜け穴も、このAESに対しては効果がない。
802.11iのセキュアさが怪しくなって来始めた時、Wi-Fi Allianceは、 WPA を WPA2にupdateした。 WPA は、暗号化手法として、TKIPのみをサポートしている。WPA2 は、TKIP と AES両方をサポートすることが求められた規格だ。2002年の後半から出荷された殆どの無線カードとかの機器は、 AES対応にupgradが可能なはずだ。すべての802.11g関連メーカーは、AES対応が必須になるのが判っていた。そして、Wi-Fi Alliance は、2006年3月からWiFi certified 機器に、WPA2 のsupportを義務づけた。
前を振り返ってサポートする802.11i において、実は問題があった。Tews と Beckの リサーチによると、WPA のアルゴリズムを、破られたWEPを使っていた旧来ハードウェア上で動かすための互換性のために、つけ込める問題点ー小さな穴があったのだ。
WEPをクラックしよう: チョップ, チョップ!
TKIP内の問題点は、 checksumに関するものだ。チェックサムとは、dataの正確性を確保するために使われるものだ。Checksumとは転送されるいくつかの文字列を取って、作成される短いデータで、転送データに付け加えられる。
おおざっぱにチェックサムを説明すると例えば、ISBN(国際標準図書番号)の場合は 978で始まる、13桁 の長さで、そのうち12桁は特定の本の固有ナンバーになっている。13桁目のチェックデジット(チェックサム)は、0から9の数字で、連続する12桁を交互に1、3、1、3と掛け算して生成された和の1桁目を、10から引き算して算出する。あなたが図書館でISBN番号を少し間違って入力しても、システムがチェックサムから再計算して、たいていは求める本を提示してくれる、それと同じようなものだ。
無線送信の場合、データが一部なくなってしまったり、間違って伝わるオッズは、相対的には高くなる。そのためにチェックサムも、伝わったパケットに、エラーが無いこと及び全体的に欠けがないことを確認できるようなしくみのものが使われている。データ本体が変化してしまっても、チェックサムが変わっていなければ、受信者は、パケットに異常が起きたことを確認できるのだ。
WEPが失敗したのは、checksumがあまりにも弱い仕組みだったために、データを改ざんして、その改ざんデータ用のchecksumを新しく付け加える技術が開発されてしまったからだ。Tewsは、chopchopというツールに関して言及した。WEP keyをクラックしなくとも、個別のpacket1つ1つを解読することができるようになるツールだ。そのprogramが、今回のクラックをたやすく行うための足がかりとなる。
A fragmentation attack 断片化アタック
Chopchopの動作はこんな感じだ。まず、ちょっとずつデータを"ぷちぷちと切り取る"。そして、同時に、データを別のと取っ替えてしまい、改ざん後のデータ用の(当たる可能性のある)チェックサムも計算しつつ、付け加える。アクセスポイントは、解読したチェックサムが違っていれば、そのデータを拒否する。しかし、この調子でえんえんと無限にテストされても、WEPは、flood controlとか、それ以外の方法を使うとかの、防衛手段を持っていない。
TKIPは2つめの整合性layerを、MIC(Message Integrity Code/通称Michaelミカエル)を通して送る。
Michaelは、より高度にデザインされ、なおかつ暗号化もされたchecksumを使う。chopchopのようなタイプの、シンプルなアタックを防ぐため、60秒以内に2つの悪い Michael checksumを受け取ると、clientは対抗処置をとる。
どうするかというと、60秒間シャットダウンする。そしてAPへ、新しいkey exchangeを要求する。また、同様の事態が起きると、再度60秒間シャットダウンする。そして、全クライアントのkeyが新しいものへと交換される。(802.11i は許可するようになっている。状況に応じた、新しいmaster keyの生成を。その動作は、starting passphraseやnetwork keyの変更をしなくても可能なのだ。)
以下が、Tewsの言ったこと。同僚のBeckを評して。 彼は、むっちゃ賢い: なぜなら、WEP と TKIP の両メカニズムは、続いて使われるようになったものだ。そして、Michael code は、より弱く弱点であるWEP手法のチェックサム型のpacketをも含む、ということだ。 だから、packetのクラックをするなら、まずはchopchopを使ってそこを突き、Michael の反撃を喰らわないようにすればいいんだ。
Michaelは天使じゃなかった: ARPは壊された
Tewsは述べた。非常に短いpacket、例えば、ARP broadcastを含むようなやつ、EthernetのMAC address(Media Access Control address)用のIP addressを含むようなやつだ。それなら、類推しなければならないことはあまりたくさんはない。
Tewsは言う。ARP packetといっしょに、実データの全部の詳細情報が(IP address分の2 byte以外は)、そして、つまり、判明していない残りの部分はたった12個だけだ。結論として、Michael codeの8バイトとWEP checksumの4バイトがそれだ。softwareが、MichaelとWEPをchopchopでクラックできれば、つまりその2つの不明データを、1セットを60秒未満のみにして、繰り返しテストし続けるなら、シャットダウンとキーが変わってしまうのを防いだまま、解析を続けることができるようになる(※60秒以上だとMichaelにバレルから)。平均的には、この手順を使うと、たったの12分 〜15分で答えを見つけることができた。
我々は既にBeckが賢いことを確認したけれど、彼はここでさらに1ステップ先に行ったんだ。その手法は、そのkeystream(つまりprocessの一部で、dataを暗号化してpacketにする部分)を取得することだ。でもTKIPには、再利用を制限する機構が組み込まれている。「リプレイ防止用のカウンターがあるのさ」Tewsは言う。「それがあれば、普通はパケットの再送信や、keystreamの再利用を防止できるんだ」
だが、Beckは発見したのだ。別の802.11 standardである、802.11eには、keystreamを再利用する方法があることを。それにより、異なるデータを混入させた上でのpacket再転送が、7回から15回以上もより多く、追加で可能になった。パケットの優先順位を付けるために使われる、QoS(Quality of service), 802.11eが、 task groupの研究で、ついに陥落した。WiFiには、別のqueueの混入を許して、優先する仕組みが、もともと組み込まれてあったのだ。それは、例えば、もやもやとしたプレーンなデータ上に、音声packetを串刺しにして、書き加えるなどということに使われる。
これらのqueueを関連づけることで、リプレイ防止カウンターを起動させることなく、他のqueueと同一のkeystreamを引っ張ってきて使うことが可能になった。Tews は言う。802.11eは、4つのqueueしかないと考えられていたけれど、実は、基本パターンとして、8つあると。 そしてさらに、パケットにマークを付けるために、どうにかしてあと8つ使うことが可能であることを突き止めた。彼らは、これにより、引用してきた各パケットあたり、7から15のリプレイが可能になると考えている。
(そのcrackは、aircrack-ngツールの追加機能、tkiptun-ngとして実装される予定のものを使って行うのだという)
これで、いくつかの違った種類のパケットも扱えるようになるという。Tewsは言う。「短いパケットが必要なんだ。願わくば、あんまり不明な部分が多くないものがね。」例えば、TCP/IP SYN packet や certain DNS querie がそれにあたるのだという。
また、この抽出は、1方向にしか働かない。なぜなら、使用中のTKIP keyや、その他のkeyが判明するわけではないからだ。AP から、clientへ送られるはずの、あくまで、packetだけに注入が可能になる。だが、「ARP poisoning はできちゃうよね」Tewsは指摘する。つまり、IPアドレスをごまかして、別の、異なるネットワークカードや、無線アダプターへと、データを送ってしまうことが可能だということだ。
Tewsはまた、こうも信じている。この手法を使えば、(Internet から LAN側へ)入ってくる方向の部分しかブロックしていないfirewallは、偽のクライアントが、'ネットワーク内から'出した、と信じこませたARP requestは、フリーパスで素通りさせてしまう可能性がある。
Don't hyperventilate yet; you're (mostly) safe 心配しすぎて、倒れるのはまだ早い。あなたは、(たいがいは)安全だ。
ちょっとゆっくり見てみよう。このクラックは、当初、TKIP keyが破られたのだと思われていた。だが、そうではなかったのだ。「我々が得たのは、keystream1つだけです。つまり、keystreamを発生させている、暗号化のキーそのものを回収できたわけではないのです。」Tews は言う。
このアタックを簡潔に説明すると、TKIPを使っている無線LANのシステム上で、暗号解読と任意データ注入を行い、改ざんしたデータの再暗号化に成功し、短いパケットデータをネット上に再注入できた、ということだ。
この違いは、とてもとても大きい。これだって深刻な攻撃には違いない(TKIPに初めて穴が見つかって、そこを突けたわけでもあるし)が、これはまだ、本番のキークラックへ至るためのサブセットでしかない。
Tewsは指摘する。「あなたが、あなたの無線LAN機器を勝手に使われたくないと思って、ちゃんと(WPAで)そのためのセキュリティ設定をしているのなら、その点に関しては、完全に問題ない」普通の家庭のユーザーや企業なら、心配はこれだけだろう。この攻撃手法では、何者かが勝手にぶち破って入ってきて、家や企業のネットに侵入したり、通過するデータ全部を解読しちゃったりはできない。
無線LANのネットがAESを使っているのなら、このattackは全く効果がない。そして、たいがいの企業や、セキュリティに気を使うネットなら、前からの規格に後ろ髪を引きずられるTKIPを使うのを止めて、数年前から AES のシステムに切り替えているのではないだろうか。
アクセスポイントのキーを 定期的に変更する無線LANネットワークでも、この攻撃の脅威レベルは下がる。そういう設定が、企業のAPで可能かどうかはわからないが、ネットワークの管理者は、その設定をすることを今から考えた方が良いと思う。
Tewsはこうも言う。パケットでいつも混雑しているnetworkでも、このアタックはあまり効果がないかもしれないと。どのアクセスポイントでも、一定のトラフィックが通過するとキーの変更が早まるかは、わからないというが、「トラフィックが混雑していると、早めにキーが変更されることが多いから、この攻撃が効きにくくなるね」という。
Tewsは言う、network securityの基本は、まだちゃんとしていて大丈夫なのだとも。 WPA対応の無線LANを TKIP か AESで、 network keyは長めにして、たぶん、20桁以上は欲しい。それもちゃんと、ランダムな文字列でね。そうすれば、(今回のを含めた)既存の brute-force key cracking 手法は全部防げるという。
ということで WPA は破られてはいない。ということが判った。TKIPは、まだ、だいたいは、しっかりしている。
だが、この 完全性とchecksumを使ったexploit攻撃は、もっと早めの、必ずAESを使うWiFi(WPA2) networkへの移行議論を促進するだろう。企業なら、この調子で進む攻撃手法研究に対抗するセキュアな機器を、すぐに入れておきたいところだ。Tews と Beck も、もう次の研究に取りかかっている。2人は、ドアを開けてしまった。WPAは、確実に、これからの研究課題になる。この分野に興味を持って研究する、何千人もが、さらに精密な調査を続けるに違いない。その研究者達が、邪悪な黒い帽子をかぶっているか、グレーで微妙な帽子をかぶっているか、正義の白い帽子をかぶっているか、にかかわらず。
感想(続き):
It was a long article. I English version read 3 or 4 times. I thought I understand most of them. But after try to translate it into Japanese, I found I didn't understand it so much.
長い記事でした。英語の文章を3,4回読んで、だいたい理解したつもりだったのですが、日本語にしようとしてみると、あまり理解していないことがわかりました。
Well, at least we should stop using old WEP system. But what about Nintendo DS?
ええと、とにかく、少なくとも、古いWEPを使う無線LANはもう使うのを止めた方がいいようです。でもニンテンドーDSを持っている人はどうすればいいんでしょうかね?
ランキング参加中。↓クリックお願いします!

Please click here for this blog's ranking challenge!
※古くなった記事等へのリンクは、リンク切れになる場合があります。
テーマ : 英語 - ジャンル : 学問・文化・芸術