Een beveiligingsonderzoeker heeft een lek gevonden in de standaard die wifi-verbindingen beveiligt. Daardoor zijn miljoenen apparaten via wifi gebruik maken van het internet. Het lek werd ontdekt door de Belgische onderzoeker Mathy Vanhoef van de KU Leuven. Hij noemt de kwetsbaarheden ‘Krack’.
De onderzoeker licht met name een kwetsbaarheid in het WPA2-protocol uit. Dit protocol wordt gezien als de moderne standaardbeveiliging op het gebied van wifi-verbindingen. Zowel consumenten als bedrijven gebruiken het om hun wifi-netwerken te beveiligen. Dankzij de kwetsbaarheid kunnen aanvallers wachtwoorden, persoons- en bedrijfsgegevens of andere gevoelige informatie stelen.
Niet alleen computers die draaien op Windows, Linux of macOS zijn vatbaar, maar ook smartphones of tablets die draaien op Android en iOS. Om misbruik te maken van het lek, moeten aanvallers wel fysiek in de buurt zijn van het apparaat.
De aanval werkt grofweg als volgt: zodra een apparaat verbinding maakt met een wifi-netwerk, wordt het apparaat dat verbinding wil maken, geautoriseerd. Tijdens het tot stand komen van de verbinding, wisselen de apparaten onderling vier ‘handdrukken’ uit. De kwetsbaarheid is onderdeel van de derde handdruk, een signaal van het access point naar de smartphone of laptop.
Als het access point na het sturen van dat signaal namelijk geen reactie (de vierde handdruk) krijgt, stuurt hij de derde handdruk nogmaals. Een aanvaller kan die opnieuw gestuurde signalen onderscheppen. Dit onderschepte pakketje kan hij gebruiken om vervolgens het wifi-verkeer af te luisteren.
Maatregelen
Onderzoeker Vanhoef adviseert gebruikers om zo snel mogelijk hun apparaten, zoals computers en smartphones, en de firmware van hun router te updaten, zodra die updates beschikbaar zijn. Een aanvaller kan de kwetsbaarheid niet gebruiken om achter je wifi-wachtwoord komen. Het veranderen van je wifi-wachtwoord is daarom niet per se nodig (hoewel het nooit kwaad kan om dat af en toe ook eens te doen).
De kwetsbaarheid betekent overigens niet dat het hele WPA2-protocol onveilig is. Het protocol is nog altijd de beste optie om je thuis- of bedrijfsnetwerken te beveiligen.
De onderzoeker presenteert zijn bevindingen op 1 november op de Computer and Communications Security-conferentie in de Verenigde Staten.