E se anche il WPA non fosse infallibile?

[Redazione di Hardware Upg]

Link alla notizia: http://news.hwupgrade.it/13505.html

Le reti wireless sono da sempre nell'occhio del ciclone per quanto riguarda la propria sicurezza, anche il WPA adesso vacilla

Click sul link per visualizzare la notizia.

[nicgalla]

Senz'altro non c'è niente di più sicuro di una rete wired... tutto ciò che è wireless può essere facilmente intercettato, assolutamente da scartare per informazioni confidenziali. Ma non è possibile - domanda da ignorante in materia - usare sistemi di codifica inviolati come quello, geniale, usato da PGP? O il WPA funziona già in questo modo?

[DioBrando]

IMHO è un pò la scoperta dell'acqua calda...

Come scritto nello stesso articolo già un anno fà, o cmq al momento dell'introduzione sul mercato della tecnologia WPA si sapeva che questa non fosse sufficiente a garantire un livello di sicurezza ( non per l'utente home che n se lo fila nessuno) per aziende o sistemi ad alto rischio di perdita di dati sensibili...

Per questo sn in lavorazione da mesi nuovi "standard" .i, .l che integrano nuove tecniche di criptazione dei dati e delle chiavi in particolar modo...

Anche se per ora siamo ben lontani dalle garanzie che offre il "cablato".

[Banus]

E per fortuna WEP stava per "Wired Equivalent Privacy"

All'università abbiamo visto passo passo come è possibile craccarlo con lo sniffing dei pacchetti

[Rottweiler]

imho, ora come ora la scelta migliore è sempre l'autenticazione mediante server radius..

[zhelgadis]

Il punto è che il WPA opera a livello MAC (scheda di rete), mentre il PGP cripta i dati a livello applicazione.
Ergo, con PGP cripti solo quello che vuoi, WEP/WPA critografano *tutti* i pacchetti, quindi nulla ti vieta di usare PGP per le tue email e stare sicuro
Il punto è che - AFAIK - il PGP è abbastanza pesante computazionalmente e su dispositivi come laptop e PDA questo si traduce in una durata inferiore delle batterie... insomma, non è pensabile crittografare tutti i pacchetti così

[Banus]

Originariamente inviato da zhelgadis
Il punto è che - AFAIK - il PGP è abbastanza pesante computazionalmente e su dispositivi come laptop e PDA questo si traduce in una durata inferiore delle batterie... insomma, non è pensabile crittografare tutti i pacchetti così

Il PGP infatti non è proprio adatto a grossi trasferimenti di dati.
Piuttosto non basterebbe una connessione di tipo SSL che richiede un algoritmo asimmetrico solo per lo scambio delle chiavi? Il problema è però il supporto dell'applicazione.
Mi chiedo secondo quali parametri si scelga l'algoritmo di crittazione per il wireless... il WEP era un sistema tanto astruso quanto debole, e infatti il WPA è una specie di "pezza".
Certo che il wireless ha un sacco di problematiche in più, ad esempio non deve essere possibile un "replay attac" sniffando i pacchetti della connessione.

[DevilsAdvocate]

Basta molto meno..... con un algoritmo a rotazione dei byte differenziale a progressione variabile difficilmente qualcuno potrebbe capire qualcosa dei dati.
(A parole sembra una cosa complessa, in realta' si tratta di sfruttare il comando ROT assembler con qualche accorgimento in piu' rispetto ad un ROT puro..
roba che leva l'1% o meno ai cicli di una cpu moderna)

[Banus]

Originariamente inviato da DevilsAdvocate
Basta molto meno..... con un algoritmo a rotazione dei byte differenziale a progressione variabile difficilmente qualcuno potrebbe capire qualcosa dei dati.

che tecnica è?
WEP non era poi tanto stupida, generava uno stream pseudocasuale a partire da una chiave mediante l'algoritmo rc4 (usato dalla RSA prima che qualcuno ne pubblicasse il codice ) e aveva altri accorgimenti, come l'inserimento di Initialization Vector per avere stream sempre diversi.
Però si sono scoperte alcune vulnerabilità di rc4, il CRC come era calcolato in WEP poteva essere riciclato, si sono trovate tecniche per individuare l'IV...
Adesso esistono programmi che esaminando un certo numero di pacchetti (al massimo qualche milione) riescono a rompere il codice.

[Dreadnought]

Mah... a parte che + che craccato il WPA hanno exploitato il PSK, in ogni modo se parlano di chiavi semplici mi sa che è un bruteforcing... quindi vorrei vedere il tempo a craccare una password si 15 lettere.

Idem il WEP, quando non è in open o shared mode voglio vedere quanto si impiega a craccare uno wep a 128bit (ancor di + un 256)

[Azaroth]

Non c'entra il brute force, ci sono metodi per scoprire la chiave diversi dal brute force (crittanalisi differenziale e altre amenità simili).
SSL non si può utilizzare perchè fornisce sicurezza solo a livello trasporto, non a livello fisico.