WPA3 уязвим настолько, что может раскрыть пароль от сети Wi-Fi

WPA3 уязвим настолько, что может раскрыть пароль от сети Wi-Fi

Исследователи в области безопасности обнаружили уязвимости в протоколе WPA3, которые позволяют получить пароли Wi-Fi, используя утечки временных отрезков и кеша по сторонним каналам.

Одним из основных преимуществ WPA3 является практически полная защищенность пароля сети от взлома, так как этот протокол использует хендшейк Dragonfly. По словам экспертов, даже в случае использования WPA3 злоумышленник, находящийся рядом с жертвой, может получить пароль от сети Wi-Fi.

Специалисты Мэти Ванхоф и Эяль Ронен нашли в общей сложности пять дыр в Dragonblood: две DoS-проблемы, две даунгрейд-атаки и два варианта утечки по сторонним каналам.

DoS-атака не представляет серьезной опасности — она может привести только к сбою в работе сетевых точек, работающих с WPA3. А вот другие четыре атакующий как раз может использовать для извлечения пароля.

Используя даунгрейд-атаки, злоумышленник может заставить совместимые с WPA3 точки Wi-Fi использовать старые и менее безопасные системы обмена паролями. Это как раз и позволяет атакующему эксплуатировать старые уязвимости.

Атака по сторонним каналам в этом случае приведет к тому, что устройства будут использовать более слабые алгоритмы, которые сливают небольшое количество информации о пароле сети.

При упорном повторении таких атак злоумышленник вполне может восстановить весь пароль. Эксперты проверили состоятельность своей схемы эксплуатации на вышедшем недавно смартфоне Samsung Galaxy S10.

Мэти Ванхоф даже создал специальный сайт, посвященный обнаруженным уязвимостям. На этом ресурсе можно ознакомиться со всеми техническими подробностями этих проблем безопасности.

В январе прошлого года Wi-Fi Alliance, альянс крупнейших производителей компьютерной техники и беспроводных устройств Wi-Fi, опубликовал первые сведения о внедрении протокола WPA3.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

GitHub улучшил систему двухфакторной аутентификации с помощью WebAuthn

GitHub отныне официально поддерживает веб-стандарт WebAuthn (Web Authentication). По замыслу разработчиков, новые меры помогут усовершенствовать процесс аутентификации и лучше защитят учетные записи пользователей платформы.

До этого GitHub уже поддерживал двухфакторную аутентификацию (2FA), в процессе которой пользователю приходило SMS-сообщение с кодом. Это не самая безопасная практика, так как киберпространство уже знает множество случаев, когда злоумышленники перехватывали SMS со вторым фактором.

Помимо этого, на платформе GitHub можно было использовать приложения для одноразовых кодов и ключи безопасности U2F (Universal Second Factor). При этом U2F — уже довольно старый стандарт.

Внедрение поддержки WebAuthn поможет GitHub поддерживать работу физических ключей безопасности вкупе с браузерами Firefox и Chrome в системах Windows, macOS, Linux и Android. Пользователи iOS смогут воспользоваться браузером Brave и ключом YubiKey 5Ci.

Более того, если вы используете площадку GitHub, у вас теперь есть возможность задействовать ноутбук или телефон в качестве ключа безопасности — с помощью Windows Hello, Touch ID на macOS или сканера отпечатка пальца на Android..

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru