Kr00k-lek in wifi-chips laat aanvaller wifi-pakketjes ontsleutelen
Een kwetsbaarheid in de wifi-chips van fabrikanten Broadcom en Cypress maakt het mogelijk voor aanvallers om sommige wifi-pakketjes te ontsleutelen. Het beveiligingslek, dat Kr00k wordt genoemd, zorgt ervoor dat kwetsbare apparaten een "all-zero" encryptiesleutel gebruiken om een deel van het wifi-verkeer te versleutelen. Bij een succesvolle aanval zou een aanvaller hierdoor een deel van het wifi-verkeer kunnen ontsleutelen.
Een wifi-apparaat kan zijn verbinding met een wifi-netwerk verliezen, bijvoorbeeld door slecht bereik, en weer opnieuw verbinding maken. Zowel de "association", wanneer de client verbinding maakt, en de "disassociation", wanneer de verbinding is verbroken, worden via ongeauthenticeerde, onversleutelde management frames verzorgd. Een aanvaller kan via een vervalst management frame een disassociation veroorzaken.
Het Kr00k-lek doet zich voor bij disassociation. Zodra een wifi-sessie wordt verbroken zal de sessiesleutel van de wifi-chip naar nul worden gezet. Dit is normaal gedrag, aangezien er geen verdere data na de disassociation zou moeten worden verstuurd. Onderzoekers van ESET ontdekten dat resterende dataframes in de buffer van de wifi-chip met deze "all-zero" sleutel worden versleuteld en alsnog worden verstuurd. Een aanvaller kan deze dataframes onderscheppen en ontsleutelen. Volgens de onderzoekers kan deze data kilobytes aan mogelijk gevoelige informatie bevatten. Een aanvaller hoeft niet met het wifi-netwerk zijn verbonden om de dataframes te onderscheppen.
Het probleem speelt niet alleen bij client-apparaten, zoals de Amazon Echo en Kindle, Apple iPhone, iPad en MacBook, Google Nexus- en Samsung Galaxy-telefoons, maar ook wifi-routers, waaronder die van Asus en Huawei. De onderzoekers informeerden Broadcom en Cypress die inmiddels met beveiligingsupdates zijn gekomen. Gebruikers krijgen dan ook het advies om te controleren of ze de laatste updates geïnstalleerd hebben. Bij chips van Qualcomm, Realtek, Ralink en Mediatek werd het probleem niet aangetroffen.
Ik heb alvast 1 fabrikant van modems gewaarschuwd via een versleutelde (PGP) e-mail.
Ik wacht nog op een antwoord en mocht die binnenkomen, dan laat ik het wel weten welke fabrikant dit betreft en of er actie nodig is (bijvoorbeeld een patch).
Ik heb alvast 1 fabrikant van modems gewaarschuwd via een versleutelde (PGP) e-mail.
Ik wacht nog op een antwoord en mocht die binnenkomen, dan laat ik het wel weten welke fabrikant dit betreft en of er actie nodig is (bijvoorbeeld een patch).
Top man! Ik verwacht dat die ene (waarom heb je maar 1 fabrikant benaderd) bij het zien van jouw PGP mail denkt "WTF is een PGP mail - en waarom?!?". Dan archiveren ze je epistel om eerst te kijken wat de concurrentie doet en of er boeven daadwerkelijk mee aan de haal gaan...
En daar zie je precies het probleem waar security specialisten meestal tegenop lopen. Jij benadert maar 1 van de fabrikanten omdat de rest niet jouw standaard (in dit geval PGP) gebruikt. Je had kunnen bellen, Signal kunnen proberen, zelfs een kaartje kunnen sturen - nee, jouw bericht is zo geheim dat het volledig versleuteld moet worden - want stel je voor!
Overigens hebben de meeste fabrikanten de fix inmiddels uitgerold, oudere modellen daargelaten.
Jodocus Ooievaar
Ja, graag even hier een uitleg waarom een mailtje "hee geliefde fabrikant, weten jullie al van CVE-2019-15126 en wat
kan ik verwachten dat jullie er aan gaan doen?" perse PGP-encrypted moet worden.
Ja, graag even hier een uitleg waarom een mailtje "hee geliefde fabrikant, weten jullie al van CVE-2019-15126 en wat
kan ik verwachten dat jullie er aan gaan doen?" perse PGP-encrypted moet worden.
Omdat hij/zij over-react voor een bepaalde lek waarvan die zelf niet eens bevindingen heeft gedaan.. Daarnaast is begrijpend lezen ook maar een vak :-)
Het gaat volgens mij om bepaalde Broadcom-chips met een bepaalde software configuratie.
Een aantal "known affected software configurations" i.c.m. chip-type worden vermeld in de CVE.
https://nvd.nist.gov/vuln/detail/CVE-2019-15126#vulnConfigurationsArea
Daarnaast kunnen er configuraties bestaan in het veld die dit probleem ook hebben, maar (nog) niet in de CVE zijn genoemd.
Er is per configuratie onderzoek nodig om dit te testen.
Beetje verstandig persoon encrypt al zijn verkeer al op een andere manier. Ik gebruik hiervoor Wireguard. Veel plezier met het lezen van de encrypted data...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
