Het beveiligingslek in WiFi Protected Setup (WPS) dat in veel routers en access points aanwezig is, zal voorlopig niet worden opgelost. Wi-Fi Protected Setup (WPS) is een manier waardoor gebruikers zonder veel kennis over netwerkbeveiliging toch WPA als encryptie kunnen instellen. Hiervoor moet de gebruiker een pincode invoeren, die zich op de router of access point bevindt.

In 2011 werd een ontwerpfout in de WPS specificatie voor de PIN authenticatie ontdekt, waardoor het eenvoudig is om binnen een paar uur via een brute force-aanval de pincode te achterhalen. Het laat de aanvaller namelijk weten wanneer de eerste helft van de achtcijferige code correct is.

Begin dit jaar sloeg ook de Consumentenbond over het WPS-lek alarm. Een groot aantal routers van KPN, Ziggo en UPC bleken nog steeds kwetsbaar te zijn. Inmiddels zouden KPN zou het probleem in alle modems voor klanten hebben opgelost.

UPC stelt dat de modems van de provider zijn beveiligd. Wat betreft gebruikte routers verwijst de provider naar de fabrikant. In dit geval gaat het om Sitecom. Die zou voor een aantal routers firmware hebben uitgebracht, maar een aantal modellen wacht nog op een update.

Ziggo zegt dat het aan een update werkt, die automatisch onder klanten zal worden uitgerold.

Firmware
"De meeste routers zijn nog steeds kwetsbaar voor deze aanval, omdat er geen eenvoudige manier is om WPS in de router uit te schakelen", zegt Mark Wuergler van beveiligingsbedrijf Immunity. "Een doorsnee gebruiker zal geen moeite doen om firmware aan te passen, en veel mensen en organisaties zijn niet goed in het controleren en updaten van firmware."

Daarnaast zouden veel mensen die een WiFi-router gebruiken of beheren niet weten dat het WPS-probleem bestaat. "Daardoor wordt het niet uitgeschakeld, ook al zouden ze het wel kunnen."

Onlangs ontdekte Wuergler dat netwerkfabrikant Netgear nieuwe firmware had uitgebracht waarin het probleem wordt opgelost. Daardoor kunnen gebruikers instellen dat het gebruik van een pincode na een bepaald aantal foute pogingen wordt uitgeschakeld. Dit zorgt er aan de andere kant voor dat aanvallers eenvoudig WPS op de router aanschakelen, merkt Wuergler op.

"Het WPS-lek en bijbehorende aanval zullen voorlopig blijven bestaan", aldus de beveiligingsexpert. Hij hoopt dat de acties van fabrikanten zoals Netgear ervoor zorgen dat het probleem uiteindelijk zal verdwijnen.

Update 16:23 - status providers toegevoegd