Nederlandse telecomaanbieders en het Nationaal Cyber Security Centrum (NCSC) werken samen aan het zo goed mogelijk verhelpen van de eerder deze week ontdekte kwetsbaarheid in het WPA2-beveiligingsprotocol voor WiFi. Dat stellen onder meer KPN, XS4ALL, Ziggo en Kabelnoord in persberichten. Nederland ICT heeft namens de hele sector een statement naar buiten gebracht.
Alle Nederlandse telecom- en internet service providers zijn op de hoogte van de kwetsbaarheid en onderzoeken samen met het NCSC en andere partijen in de industrie de impact ervan voor het gebruik van WiFi. Zodra hier meer over bekend is volgt er een update. Vanuit haar coördinerende rol op het gebied van cybersecurity heeft het NCSC naar eigen zeggen contact met haar doelgroepen, waaronder de Nederlandse Telecom- Internet Service Providers (aangesloten bij Nederland ICT en Telecom ISAC) over de kwetsbaarheid in het WPA2 veiligheidsprotocol voor WiFi.
Gisteren publiceerden onderzoekers van de KU Leuven een onderzoekspaper met de titel "Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2". In dit paper bespreken ze een categorie aanvalstechnieken die ze 'key reinstallation attacks' hebben genoemd, ook wel 'KRACK attacks'. De onderzoekers stellen dat deze aanvalstechnieken de huidige WiFi-standaard inherent onveilig maken.
Veilig WiFi cruciaal voor samenleving
Veilig WiFi is echter cruciaal voor het goed functioneren van de Nederlandse samenleving, stelt het NCSC. Daarom dienen alle gebruikers van apparatuur die WiFi ondersteunen, zo snel mogelijk de updates te installeren die leveranciers (gaan) uitbrengen om de kwetsbaarheden te verhelpen. Het NCSC raadt aan deze updates zowel op clients (zoals laptops, smartphones en embedded devices) als op accesspoints te installeren.
Het NCSC heeft in het verleden WPA2-PSK op basis van AES-CCMP en WPA2-Enterprise aangeraden als methoden om WiFi-netwerken te beveiligen. Ook na publicatie van de KRACK-aanvalstechnieken zijn dit de veiligste manieren om een WiFi-netwerk te beveiligen. Het NCSC heeft een beveiligingsadvies uitgebracht over de KRACK-aanvalstechnieken en werkt dit bij wanneer leveranciers updates voor hun apparaten uitbrengen.
Over KRACK
De KRACK-aanvalstechnieken richten zich op het doorbreken van de integriteit en vertrouwelijkheid van WiFi-netwerken die met WPA en WPA2 beveiligd zijn. Een aanvaller die in de buurt is van een netwerk dat met WPA of WPA2 beveiligd is, kan de KRACK-aanvalstechnieken gebruiken om de inhoud van versleutelde netwerkpakketten te achterhalen ('decryption'), eerder verzonden pakketten opnieuw in het netwerk te injecteren ('replay') en vervalste pakketten in het netwerk te injecteren ('forgery'). In principe is elk apparaat dat WiFi gebruikt op basis van WPA of WPA2 kwetsbaar voor de aanvalstechnieken.
De mogelijkheid tot misbruik van deze kwetsbaarheid wordt verkleind doordat de aanvaller fysiek in de buurt moet zijn van het netwerk. De aanvalstechnieken zijn daarom lastig op grote schaal efficiënt uit te voeren, aldus het NCSC. Decryptie van het volledige netwerkverkeer met behulp van deze aanvalstechnieken is mogelijk, maar niet waarschijnlijk. Informatie die op een ander netwerkniveau afdoende beveiligd is, bijvoorbeeld met HTTPS of TLS, is niet vatbaar voor deze aanvalstechnieken.
