188滚球网站评论

艾伦·11月10日下午2008点33分

根据我读到的,破坏的是TKIP加密。所以,与现在几乎所有的专家所推荐的相反,没有必要为了WPA2而放弃WPA。相反,你需要从TKIP转移到AES。

请注意,在WPA2下,TKIP仍然是可选的。所以,在承担了从WPA迁移到WPA2的所有成本之后,你可能仍然很脆弱。相反,只要使用AES。

dragonfrog·11月10日2008年17点

@克里斯,克莱顿艾伦

要实现WPA,只有802.11i标准的TKIP部分是强制性的。可能有一些带有WPA标签的设备包含一个AES实现,但没有必要。

要实现WPA2,完整的802.11i标准,包括TKIP及AES,是强制性的。

希德·11月10日2008下午2时24分

上周六,报纸在这里张贴:
http://dl.aircrack-ng.org/breakingwepandwpa.pdf

这篇论文不是关于WPA作为一个整体,但是关于TKIP。这是一个细微的差别,但正如前面所述,AES支持可以在WPA中实现,一些栈允许这种设置。在此CAS(WPA/AES)中,你不脆弱。
WPA2需要资助的。TKIP支持是可选的,但大部分时间都实现了。因此,你可以让WPA2设备使用tkip,他们被暴露了。事实上,我不记得看到过没有tkip支持的单个WPA2实现…
一种非常常见的情况是,您同时为WPA和/或WPA2提供TKIP和AES支持。人们可能认为只有tkip设备会受到这种攻击。这并不完全正确:在这种情况下,团体通讯将使用TKIP加密,因此暴露在外。

所以说“WPA破裂”几乎是真的。建议“切换到WPA2”接近错误。


*Plug*讲法语的读者可以在这里找到我自己的分析:
http://sid.rstack.org/blog/index.php/305-des-fameuses-faiblesse-de-tkip

艾伦(2)·11月10日2008下午2时54分

这一点是没有意义的:如此多的人(和操作系统)仍然使用WEP。

从系统管理员的角度来看,只要人们能够在不需要物理访问的情况下放弃无线业务,即。直到永远。

只是我的2美分…

戴伦·11月10日2008下午3点46分

不,TKIP(可能)被破解了。使用EAP-PEAP的大型企业,飞跃,或类似的TKIP替代品是完全安全的。

拥有允许使用WPA的AES的AP的家庭用户是安全的,尽管他们中的大多数无论如何都应该使用WPA2。

我们还没有看到它真正起作用,也没有看到/评估论文,这只是一个要求。可能是一个真正的主张,但仍然。

埃文·11月10日2008下午3点51分

杰姆斯是对的,查看arstechnica的文章。TKIP键没有被破解,所以你不能导出PSK。您可以在12-15分钟内解密短的单个数据包,并使用QoS缺陷,用修改过的数据重放那些包。你不能破解和查看所有流量,但你可能会做ARP/DNS欺骗/中毒

大卫Ottenheimer·11月10日2008年结束点

@席德

谢谢你的链接。我在报纸上看到的是:
WEP是有缺陷的
2)TKIP(基于和)向后兼容WEP,发现有类似的缺陷
3)因此,如果允许tkip通信,wpa继承WEP缺陷

攻击目前取决于:
1) TKIP用于客户端到AP
2)已知IPv4范围(如192.168.0.X)
3)长重键间隔(例如3600秒)
4)IEEE 802.11e QoS
5)客户端连接到网络

作者提供了一个简短的重新设置密钥的循环作为解决方案,这已经是一个最佳实践。

大卫Ottenheimer·11月10日2008年下午4:59

@艾伦

“问题是没有意义的:这么多人(和操作系统)仍然使用WEP。”

监管机构正在迎头赶上。例如,PCI DSS 1.2不再允许WEP。

“无线将继续是一项糟糕的业务”

任何事情你都可以这么说。即使是有线安全也有缺陷。商业中的安全酒吧,然而,至少应该高于FUBAR。

垫子·11月10日2008下午5点05分

我想强调一点,只支持WPA/TKIP的设备是非常老的设备,不支持QOS(因为当时还不存在)。

还有这个slashdot帖子(http://it.slashdot.org/comments.p188滚球网站l)?sid=1021733&cid=25682065)很有趣(摘自IEEE 802.11i的作者)

dragonfrog·11月10日2008下午5点08分

达伦,你似乎混淆了WPA的两个不同部分(2)

TKIP vs CCMP (AES)是在用户连接后对通道进行加密的方式。你必须选一个。

预共享密钥或EAP风格(PEAP,EAP-TLS,)是当用户最初尝试连接时,用户和网络如何相互验证。您还必须选择其中一个。

一个过度的物理安全比喻,因为我们都喜欢这些——身份验证机制(EAP或预共享密钥)类似于门上的锁。信道加密机制(tkip或ccmp/aes)类似于门和铰链。

所以,这里我们有一个攻击空心内门(给门一个良好的靴子,你的脚通过权利)。你选择的锁不会影响你对攻击的脆弱性,只安装了门。

约翰内斯伯格·11月10日2008年下午几点

这里唯一的好主意是使用tid来促进攻击,除此之外,它以一种相当不重要的方式攻击了TKIP,这是一种微不足道的防御方式,我认为,如果人们真的关心安全性,那么使用WEP/TKIP的人就不多了。AES-CCMP的硬件加速已上市至少6或7年。

地狱火·11月10日2008点8:13

一些想法-
1。我并不惊慌,因为有那么多人声称裂缝是虚无的。(Elcomsoft使用GPU破解WPA要快100倍)。这似乎更加合法,因为他们似乎在遵循正确的渠道,等待发表一篇论文,而不是胡乱断言。

2。希望这次硬件能更快地升级。我仍然发现不支持WPA的东西,更不用说WPA2了。

三。Aircrack Ng很快就得到了这些东西。

比利·11月11日,2008年1:04我

布鲁斯

如果你还没看过报纸,你应该知道不要大肆宣传。你的声音太有分量了,不能随便用。

艾伦(2)·11月11日,2008年是4点

@Davi Ottenheimer

“任何事情你都可以这么说。”

太真实了,甚至是关于你的典型用户。:-)但黑客需要物理访问使他/她更难,并且更容易证明未经授权的访问,例如在法庭上。

如上所述,我还看到许多旧的硬件仍在使用,但仅限于第一个版本的WPA甚至WEP。

艾伦·11月11日,2008年29点

@比利:布鲁斯没有发表意见。事实上,他还附上了他没有读过报纸的免责声明。但是,开始这一对话已经澄清了一些流传的错误信息。

·11月11日,2008上午11时36分

http://arstechnica.com/articles/paedia/wpa-cracked.ars/2

引用==tews说。"你只需要一个短数据包,希望没有那么多未知字节"比如TCP/IP SYN数据包或某些DNS查询。==Quote

大多数用于802.11访问的AP仍然允许在客户端进行身份验证之前进行DNS查询。例如。当您试图将您的笔记本电脑与机场AP关联时,当你看到问候页时,通常已经授予您DNS访问权限。

使用授予的DNS访问,您可以生成一些已知的DNS查询。

这会给你一些已知的DNS数据包。我想这会大大缩短900分钟的休息时间。


dragonfrog·11月12日,2008上午10时45分

朔-你其实在想别的事情。

大多数机场接入点实际上根本没有加密。您不需要破解任何东西来欺骗DNS在这些网络上-只是注入您的响应。

这些网络使用一个“捕获门户”网页,只将MAC地址添加到允许的列表中。它很容易绕过窥探成功浏览的计算机的MAC地址,然后将无线网卡的MAC地址更改为同一个地址。只要两台计算机都设置了防火墙来简单地忽略意外的数据包,而不是发送将重置对话的错误消息,甚至不应该有任何干扰。

根据网络的管辖范围和细节,当然,这可能是违法的,在任何情况下,你母亲都不会赞成。碘醛

留下评论188滚球网站

允许的HTML: · · · ·

布鲁斯·施耐尔的照片。188滚球网站

188滚球网站施耐尔的安全是一个个人网站。表达的意见不一定是IBM有弹性.