Microsoft ostrzega – w Windows Phone, w obszarze Wi-Fi, istnieje dziura
-
- Janusz Chustecki,
- 08.08.2013, godz. 10:04
Microsoft ostrzega, że protokół uwierzytelniający użytkowników Wi-Fi, zaimplementowany w niektórych urządzeniach Windows Phone (7.8 oraz 8), zawiera lukę. Pozwala ona włamywaczom przejmować poufne dane, ale tylko wtedy, gdy urządzenie używa specyficznej metody uwierzytelniania bezprzewodowych użytkowników. To metoda WPA2 wykorzystująca protokół PEAP-MS-CHAPv2.
Pełna nazwa PEAP-MS-CHAPv2 to Protected Extensible Authentication Protocol with Microsoft Challenge Handshake Authentication Protocol version 2. Problem w tym, że to bardzo słaba metoda uwierzytelniania użytkowników. Trudno powiedzieć, ile urządzeń Windows Phone korzysta obecnie z tego protokołu. Został on wprowadzony przez Microsoft do oprogramowania Windows NT 4.0 Service Pack 4 i był szeroko stosowany do uwierzytelniania użytkowników przez protokół PPTP (Point to Point Tunneling Protocol) w sieciach VPN (Virtual Private Network).
Microsoft informuje, że włamywacz może przeprowadzić atak po wcześniejszym spersonifikowaniu znanego punktu dostępowego Wi-Fi. Zaatakowane urządzenie Windows Phone uruchamia automatycznie mechanizm uwierzytelniania użytkownika, a włamywacz może wtedy przechwycić zaszyfrowane poświadczenia domeny, a następnie (wykorzystują fakt, że MS-CHAPv2 jest słabą metodą szyfrowania), rozszyfrowuje je. Mając takie poświadczenia może już bez przeszkód zalogować się do urządzenia Windows Phone jako pełnoprawny użytkownik.
Zobacz również:
- Przeglądarka Chrome będzie jeszcze jakiś czas akceptować pliki cookie
- Microsoft zapowiada nową linię małych modeli językowych AI
Jak bronić się przez takim zagrożeniem? Po pierwsze, można po prostu wyłączyć w urządzeniu Windows Phone układ Wi-Fi. To radykalne rozwiązanie. Można też przekonfigurować urządzenie w taki sposób, aby wymagało certyfikatu, który weryfikuje jeszcze przed rozpoczęciem właściwego procesu uwierzytelniania użytkownika, autentyczność punktu dostępowego Wi-Fi.
Aby to zrobić należy utworzyć "root certificate" (używany do weryfikowania punktu dostępowego) i rozesłać go pocztą e-mail do wszystkich użytkowników. Wtedy użytkownicy powinni wykonać po kolei następujące czynności: usunąć poprzednio skonfigurowane połączenie Wi-Fi; wybrać opcję "Ustawienia, Wi-Fi" i kliknąć "Zaawansowane"; wskazać wybraną sieć Wi-Fi i usunąć ją; utworzyć nowe połączenie i włączyć opcję, która uruchomi procedurę weryfikowania przez serwer autentyczności punktu dostępowego.
