El ataque chop-chop a TKIP

A finales del año pasado saltó a la palestra un ataque realizado en una de esas famosas conferencias dónde los investigadores sorprenden al mundo con sus últimos descubrimientos. El trabajo presentado se llamaba “Gone in 900 Seconds, Some Crypto Issues with WPA” en el que se crackeaba un paquete TKIP en menos de 15 minutos. La idea del trabajo consiste en realizar un intento de inyectar paquetes sin conocer la clave y esperar a obtener la respuesta del punto de acceso para descifrar el resultado.

El objetivo del ataque era conseguir descifrar la respuesta de una petición ARP mediante un ataque chop-chop y así conocer la clave con que se ha cifrado ese paquete y reutilizarla para poder inyectar nuevos paquetes en la red.

Aunque es un avance en la inseguridad de redes Wifi el ataque sigue siendo cuando menos difícil de efectuar y difícil de sacar partido. El sistema TKIP utiliza el protocolo RC4 al igual que el sistema WEP pero con dos variaciones. La primera es que las claves de cifrado son derivadas de los valores snoce y anonce, luego son distintas a las claves de autenticación. La segunda es que el cifrado de un paquete no se realiza sólo con una clave más el vector de inicialización sino que se utiliza un vector de inicialización extendido, es decir el IV más un valor conocido como TSC [TKIP Sequence Counter]. Este valor de 48 bits varía al mismo tiempo que varía el IV haciendo que no se reutilice un IV+TSC en un canal en años.

Si se consigue conocer la clave con que se ha cifrado un paquete, ésta no podría ser reutilizada a no ser que se incremente el TSC. Si el TSC se incrementa, entonces la clave de cifrado del paquete queda invalidada. Para poder reutilizar la clave de un paquete éste ataque hace uso de las extensiones de calidad de servicio de los canales multimedia. Es necesario por tanto que el punto de acceso soporte las funcionalidades del IEEE 802.11e QoS (Calidad de Servicio) llamadas WMM (Wifi Multimedia) o WME (Wireless Multimedia Extensions) y que son parte de la certificación de la Wifi-Alliance para el estándar IEEE 802.11e. Estas extensiones dividen el ancho de banda en ocho canales con distinta prioridad en cada uno de ellos.


Imagen: WMM en routers Wifi
En el entorno del ataque si se descubre la clave con que se ha cifrado un paquete para un canal concreto, con un IV y un TSC concreto se podrá reutilizar esta clave para enviar un paquete por otro canal distinto. Luego con esta prueba de concepto se podrían llegar a inyectar hasta 7 paquetes válidos.

Para la realización de este ataque, los investigadores realizaron un ataque de fuerza bruta a la clave de cifrado de un paquete para una petición de respuesta ARP por un canal concreto. Lógicamente ese paquete lleva un IV y un TSC conocidos. Cuando la clave funciona el punto de acceso contesta con la respuesta a la petición ARP. A partir de ese momento, con ese IV, ese TSC, por otro canal y durante el tiempo que las claves TKIP no se renegocien se pueden inyectar 7 paquetes a la red suponiendo que el TSC de los otros canales sea superior a los utilizados allí. Lógicamente este ataque abre muchas posibilidades de futuro y es probable que TKIP vuelva a ser golpeado, pero no es ni mucho menos definitivo todavía.

Saludos Malignos!