Esta não é uma grande notícia sobre uma nova falha de segurança. Pelo contrário, esta é a maneira como o WPA2-PSK sempre foi implementado. Mas é algo que a maioria das pessoas não conhece.
Redes Wi-Fi Abertas vs. Redes Wi-Fi Criptografadas
Você não deve hospedar uma rede Wi-Fi aberta em casa, mas pode se encontrar usando uma em público - por exemplo, em um café, ao passar por um aeroporto ou em um hotel. As redes Wi-Fi abertas não têm criptografia, o que significa que tudo que é enviado pelo ar está "desimpedido". As pessoas podem monitorar sua atividade de navegação e qualquer atividade da Web que não esteja protegida com a própria criptografia pode ser rastreada. Sim, isso é verdade mesmo se você precisar “fazer login” com um nome de usuário e senha em uma página da web depois de entrar na rede Wi-Fi aberta.
Criptografia - como a criptografia WPA2-PSK que recomendamos usar em casa - corrige isso um pouco. Alguém próximo não pode simplesmente capturar seu tráfego e espionar você. Eles vão receber um monte de tráfego criptografado. Isso significa que uma rede Wi-Fi criptografada protege seu tráfego privado contra invasões.
Isso é meio que verdade - mas há uma grande fraqueza aqui.
WPA2-PSK usa uma chave compartilhada
O problema com o WPA2-PSK é que ele usa uma “chave pré-compartilhada”. Essa chave é a senha, ou senha, que você precisa digitar para se conectar à rede Wi-Fi. Todos que se conectam usam a mesma frase secreta.
É muito fácil para alguém monitorar esse tráfego criptografado. Tudo o que eles precisam é:
- A frase secreta: Todos com permissão para se conectar à rede Wi-Fi terão isso.
- O tráfego de associação para um novo clienteSe alguém está capturando os pacotes enviados entre o roteador e um dispositivo quando ele se conecta, eles têm tudo o que precisam para decifrar o tráfego (supondo que eles também tenham a frase secreta, é claro). Também é trivial obter esse tráfego por meio de ataques "deauth" que forçam a desconexão de um dispositivo de uma rede Wi_Fi e forçam a reconexão, fazendo com que o processo de associação ocorra novamente.
Realmente, não podemos enfatizar como isso é simples. O Wireshark tem uma opção interna para descriptografar automaticamente o tráfego WPA2-PSK, desde que você tenha a chave pré-compartilhada e tenha capturado o tráfego para o processo de associação.
O que isso realmente significa
O que isso realmente significa é que o WPA2-PSK não é muito mais seguro contra interceptação se você não confiar em todos na rede. Em casa, você deve estar seguro porque sua frase secreta de Wi-Fi é um segredo.
No entanto, se você for a um café e usar o WPA2-PSK em vez de uma rede Wi-FI aberta, poderá se sentir muito mais seguro em sua privacidade. Mas você não deveria - qualquer pessoa com a frase de acesso Wi-Fi da cafeteria pode monitorar seu tráfego de navegação. Outras pessoas na rede, ou apenas outras pessoas com a frase secreta, podem bisbilhotar seu tráfego se quiserem.
Certifique-se de levar isso em conta. O WPA2-PSK impede que pessoas sem acesso à rede fiquem espionadas. No entanto, depois de terem a senha da rede, todas as apostas serão desativadas.
Por que o WPA2-PSK não tenta impedir isso?
O WPA2-PSK realmente tenta impedir isso através do uso de uma “chave transitória de pares” (PTK). Cada cliente sem fio tem um PTK exclusivo. No entanto, isso não ajuda muito, porque a única chave por cliente é sempre derivada da chave pré-compartilhada (a senha de acesso Wi-Fi). É por isso que é trivial capturar a chave exclusiva de um cliente contanto que você tenha o Wi-Fi. Senha do Fi e pode capturar o tráfego enviado por meio do processo de associação.
A WPA2-Enterprise resolve isso… para grandes redes
Para grandes organizações que exigem redes Wi-Fi seguras, essa fraqueza de segurança pode ser evitada com o uso do authantication EAP com um servidor RADIUS - às vezes chamado de WPA2-Enterprise. Com este sistema, cada cliente de Wi-Fi recebe uma chave verdadeiramente única. Nenhum cliente Wi-Fi tem informações suficientes para começar a bisbilhotar outro cliente, o que proporciona segurança muito maior. Grandes escritórios corporativos ou agências governamentais devem usar o WPA2-Enteprise por esse motivo.
Mas isso é muito complicado e complexo para a grande maioria das pessoas - ou mesmo para a maioria dos geeks - usar em casa. Em vez de uma frase de acesso Wi-FI, você precisa inserir os dispositivos que deseja conectar. Você precisa gerenciar um servidor RADIUS que lida com o gerenciamento de chaves e autenticação. Isso é muito mais complicado para os usuários domésticos configurarem.
Na verdade, nem vale a pena se você confia em todos na sua rede Wi-Fi ou em todos que têm acesso à sua frase de acesso Wi-Fi. Isso só é necessário se você estiver conectado a uma rede Wi-Fi criptografada WPA2-PSK em um local público - cafeteria, aeroporto, hotel ou até mesmo em um escritório maior - onde outras pessoas em quem você não confia também têm acesso Wi-Fi. Senha da rede FI.
Então, o céu está caindo? Não, claro que não. Mas lembre-se: quando você está conectado a uma rede WPA2-PSK, outras pessoas com acesso a essa rede podem facilmente bisbilhotar seu tráfego.Apesar do que a maioria das pessoas acredita, essa criptografia não oferece proteção contra outras pessoas com acesso à rede.
Se você precisar acessar sites confidenciais em uma rede Wi-Fi pública, especialmente em sites que não usam criptografia HTTPS, considere fazer isso por meio de uma VPN ou até mesmo de um túnel SSH. A criptografia WPA2-PSK em redes públicas não é boa o suficiente.
