Wi-Fi Alliance-k haririk gabeko ordenagailu-sareak babesteko Wi-Fi Alliance-k sortutako segurtasun-protokoloa betetzen dela adierazteko sortutako ziurtagiri-programa da. Protokolo hau ikertzaileek aurreko sisteman, Wired Equivalent Privacy (WEP), aurkitutako hainbat ahultasun larriei erantzuteko sortu zen.
Protokoloak IEEE 802.11i estandarraren gehiengoa inplementatzen du, eta tarteko neurri bat izan zen WEPren lekua hartzeko 802.11i prestatzen zen bitartean. Zehazki, TKIP (Temporal Key Integrity Protocol) WPAra sartu zen. TKIP 1999. urtera arte bidaltzen hasi ziren WPA aurreko haririk gabeko sare-interfaze txarteletan inplementa liteke firmware-berritzeen bidez. Aldaketek bezeroan haririk gabeko sarbide puntuan baino aldaketa gutxiago behar izan zituztenez, 2003 aurreko AP gehienak ezin izan ziren berritu WPA TKIP-rekin bateratzeko. Geroztik, ikertzaileek TKIP-en akats bat aurkitu dute, ahultasun zaharragoetan oinarritzen zena pakete laburretatik giltza-korrontea berreskuratzeko, berriro injektatzeko eta spoofing egiteko.
Geroago WPA2 ziurtagiri-markak estandar osoa ezartzen duen protokolo aurreratu bat betetzen dela adierazten du. Protokolo aurreratu honek ez du funtzionatuko sare-txartel zahar batzuekin. Protokoloa betetzeko Wi-Fi Alliance-k probak behar bezala amaitu dituzten produktuek WPA ziurtagiri-marka izan dezakete.
WPA2
WPA2-k WPA ordezkatu zuen; WPA bezala, WPA2-k Wi-Fi Alliance-ren probak eta ziurtagiriak behar ditu. WPA2-k 802.11i derrigorrezko elementuak ezartzen ditu. Bereziki, AES-en oinarritutako algoritmo berri bat aurkezten du, CCMP, guztiz segurutzat jotzen dena. Ziurtagiria 2004ko irailean hasi zen; 13ko martxoaren 2006tik aurrera, WPA2 ziurtagiria nahitaezkoa da gailu berri guztiek Wi-Fi marka komertziala izan dezaten.
Segurtasuna aurrez partekatutako gako moduan
Aurrez partekatutako gako modua (PSK, modu pertsonala bezala ere ezaguna) 802.1X autentifikazio zerbitzari baten konplexutasuna behar ez duten etxeko eta bulegoko sare txikietarako diseinatuta dago. Hari gabeko sareko gailu bakoitzak sareko trafikoa enkriptatzen du 256 biteko gako bat erabiliz. Gako hau 64 hamaseitar zifrako kate gisa edo 8 eta 63 ASCII karaktere inprimagarri dituen pasaesaldi gisa sar daiteke. ASCII karaktereak erabiltzen badira, 256 biteko gakoa PBKDF2 hash funtzioa erabiliz kalkulatzen da, pasaesaldia gako gisa eta SSID gako gisa erabiliz.
Partekatutako gako-WPA-k pasahitz hausteko erasoen aurrean kaltegarria da pasaesaldi ahula erabiltzen bada. Indar gordineko eraso baten aurka babesteko, nahikoa izango da ziurrenik ausazko pasaesaldi bat 13 karaktereko (baimendutako 95 karaktereen multzotik hautatua). Wi-Fi Elizak (haririk gabeko segurtasun-ikertalde bat) bilaketa-taulak kalkulatu ditu 1000 SSID nagusietarako[8] milioi bat WPA/WPA2 pasaesaldi ezberdinetarako.[9] Intrusioetatik gehiago babesteko sarearen SSIDak ez luke bat etorri behar 1000 SSID nagusien artean.
2008ko abuztuan, Nvidia-CUDA foroetako argitalpen batek iragarri zuen WPA-PSK-ren aurkako indar gordineko erasoen errendimendua 30 faktore edo gehiago hobetzeko aukera, egungo CPUaren ezarpenarekin alderatuta. PBKDF2-ko kalkulua denbora asko gastatzen duen CPUtik GPU batera deskargatzen da, eta horrek pasahitz asko eta dagozkien aurrez partekatutako gakoak paraleloan konputa ditzake. Pasahitz arrunt bat behar bezala asmatzeko bitartekoa 2-3 egun ingurura murrizten da metodo hau erabiliz. Metodoaren analizatzaileek azkar adierazi zuten konparazioan erabilitako PUZaren inplementazioak paralelizazio-teknika bereko batzuk erabiltzeko gai izango zirela —GPU batera deskargatu gabe— prozesaketa sei faktore batean bizkortzeko.
Ahultasuna TKIP-en
2008ko azaroan Alemaniako bi unibertsitate teknikoetako (TU Dresden eta TU Darmstadt) ikertzaileek Erik Tews eta Martin Beckek aurkitu zuten ahultasun bat, WEP-en aurretik ezagutzen zen akats batean oinarritzen zirenak, WPAn TKIP algoritmorako soilik ustiatu zitekeena. Akatsek gehien ezagutzen duten edukia duten pakete laburrak soilik deszifra ditzakete, hala nola ARP mezuak, eta 802.11e, eta horrek ahots-deietarako eta streaming bidezko multimedia-edukietarako Quality of Service paketeen lehentasuna ematen du. Akatsak ez du gakoen berreskurapena ekartzen, pakete jakin bat enkriptatu duen gako-korrontea baizik, eta zazpi aldiz berrerabil daitekeena hari gabeko bezero bati pakete-luzera bereko datu arbitrarioak injektatzeko. Esaterako, honek ARP pakete faltsuak injektatzeko aukera ematen du eta horrek biktimak paketeak Internet irekira bidaltzen ditu.
Hardware euskarria
Wi-Fi CERTIFIED gailu berrienek goian aipatutako segurtasun-protokoloak onartzen dituzte, lehenik eta behin, 2003ko irailaz geroztik protokolo hau betetzea beharrezkoa baita Wi-Fi ziurtagiria lortzeko.
Wi-Fi Alliance-ren WPA programaren bidez ziurtatutako protokoloa (eta neurri txikiagoan WPA2) berariaz diseinatu zen protokoloa sartu aurretik ekoitzitako haririk gabeko hardwarearekin ere lan egiteko, normalean WEP bidez segurtasun desegokia onartzen zuena. Gailu horietako askok segurtasun-protokoloa onartzen dute firmware-berritu ondoren. Firmwarearen bertsio-berritzeak ez daude erabilgarri antzinako gailu guztietan.
Gainera, kontsumitzaileen Wi-Fi gailuen fabrikatzaile askok pasaesaldi ahulen aukerak kentzeko neurriak hartu dituzte, haririk gabeko egokitzaile edo tresna berri bat sare batera gehitzean gako sendoak automatikoki sortzeko eta banatzeko metodo alternatibo bat sustatuz. Wi-Fi Alliance-k metodo hauek estandarizatu ditu eta estandar horiek betetzen direla ziurtatzen du Wi-Fi Protected Setup izeneko programa baten bidez.
Erreferentziak Wikipedia
