Aviso Redes WPA2 Wi-Fi criptografadas ainda são vulneráveis a espionagem

Atualmente, a maioria das pessoas sabe que uma rede Wi-Fi aberta permite que as pessoas espionem seu tráfego. A criptografia padrão WPA2-PSK deve impedir que isso aconteça - mas não é tão infalível quanto você imagina.

Isso não é uma grande notícia sobre uma nova falha de segurança. Pelo contrário, esta é a forma como o WPA2-PSK sempre foi implementado. Mas é algo que a maioria das pessoas não sabe.

Redes Wi-Fi Abertas vs. Redes Wi-Fi Criptografadas

Você não deve hospedar uma rede Wi-Fi aberta em casa, mas pode se encontrar usando uma em público - por exemplo, em um café, ao passar por um aeroporto ou em um hotel. As redes Wi-Fi abertas não têm criptografia, o que significa que tudo que é enviado pelo ar está "desimpedido". As pessoas podem monitorar sua atividade de navegação e qualquer atividade da Web que não esteja protegida com a própria criptografia pode ser rastreada. Sim, isso é verdade mesmo se você precisar “fazer login” com um nome de usuário e senha em uma página da web depois de entrar na rede Wi-Fi aberta..

Criptografia - como a criptografia WPA2-PSK que recomendamos usar em casa - corrige isso um pouco. Alguém próximo não pode simplesmente capturar seu tráfego e bisbilhotar você. Eles receberão um monte de tráfego criptografado. Isso significa que uma rede Wi-Fi criptografada protege seu tráfego privado de ser rastreado.

Isso é meio que verdade - mas há uma grande fraqueza aqui.

WPA2-PSK usa uma chave compartilhada

O problema com o WPA2-PSK é que ele usa uma “chave pré-compartilhada”. Essa é a senha, ou senha, que você precisa digitar para se conectar à rede Wi-Fi. Todos que se conectam usam a mesma frase secreta.

É muito fácil para alguém monitorar esse tráfego criptografado. Tudo o que eles precisam é:

A frase secreta: Todos com permissão para se conectar à rede Wi-Fi terão esse.
O tráfego de associação para um novo clienteSe alguém está capturando os pacotes enviados entre o roteador e um dispositivo quando ele se conecta, eles têm tudo o que precisam para decifrar o tráfego (supondo que eles também tenham a frase secreta, é claro). Também é trivial obter esse tráfego por meio de ataques “deauth” que forçam a desconexão de um dispositivo de uma rede Wi_Fi e forçam a reconexão, fazendo com que o processo de associação ocorra novamente.

Realmente, não podemos enfatizar o quão simples isso é. O Wireshark tem uma opção embutida para descriptografar automaticamente o tráfego WPA2-PSK, desde que você tenha a chave pré-compartilhada e tenha capturado o tráfego para o processo de associação..

O que isso realmente significa

O que isso realmente significa é que o WPA2-PSK não é muito mais seguro contra interceptação se você não confiar em todos na rede. Em casa, você deve estar seguro porque sua senha Wi-Fi é um segredo.

No entanto, se você for a um café e usar o WPA2-PSK em vez de uma rede Wi-FI aberta, poderá se sentir muito mais seguro em sua privacidade. Mas você não deveria - qualquer um com a frase-senha Wi-Fi da cafeteria poderia monitorar seu tráfego de navegação. Outras pessoas na rede, ou apenas outras pessoas com a frase secreta, podem bisbilhotar seu tráfego se quiserem.

Certifique-se de levar isso em conta. O WPA2-PSK impede que pessoas sem acesso à rede fiquem espionadas. No entanto, uma vez que tenham a senha da rede, todas as apostas estão desativadas.

Por que o WPA2-PSK não tenta parar com isso??

O WPA2-PSK realmente tenta impedir isso através do uso de uma “chave transitória de pares” (PTK). Cada cliente sem fio tem um PTK exclusivo. No entanto, isso não ajuda muito, porque a única chave por cliente é sempre derivada da chave pré-compartilhada (a senha de acesso Wi-Fi). É por isso que é fácil capturar a chave exclusiva de um cliente contanto que você tenha o Wi-Fi. Senha do Fi e pode capturar o tráfego enviado pelo processo de associação.

WPA2-Enterprise resolve isso… para grandes redes

Para grandes organizações que exigem redes Wi-Fi seguras, essa fraqueza de segurança pode ser evitada com o uso do authantication EAP com um servidor RADIUS - às vezes chamado de WPA2-Enterprise. Com este sistema, cada cliente de Wi-Fi recebe uma chave verdadeiramente única. Nenhum cliente Wi-Fi tem informações suficientes para começar a bisbilhotar outro cliente, o que proporciona uma segurança muito maior. Grandes escritórios corporativos ou agências governamentais devem usar o WPA2-Enteprise por esse motivo.

Mas isso é muito complicado e complexo para a grande maioria das pessoas - ou mesmo para a maioria dos geeks - usar em casa. Em vez de uma senha Wi-FI, você precisa entrar em dispositivos que deseja conectar, você teria que gerenciar um servidor RADIUS que lida com o gerenciamento de chaves e autenticação. Isso é muito mais complicado para os usuários domésticos configurarem.

Na verdade, nem vale a pena se você confia em todos na sua rede Wi-Fi ou em todos que têm acesso à sua senha Wi-Fi. Isso só é necessário se você estiver conectado a uma rede Wi-Fi criptografada WPA2-PSK em um local público - cafeteria, aeroporto, hotel ou até mesmo em um escritório maior - onde outras pessoas em quem você não confia também têm acesso Wi-Fi. Senha da rede FI.

Então, o céu está caindo? Não, claro que não. Mas lembre-se: quando você está conectado a uma rede WPA2-PSK, outras pessoas com acesso a essa rede podem facilmente bisbilhotar seu tráfego. Apesar do que a maioria das pessoas acredita, a criptografia não oferece proteção contra outras pessoas com acesso à rede..

Se você precisar acessar sites confidenciais em uma rede Wi-Fi pública, especialmente em sites que não usam criptografia HTTPS, considere fazer isso por meio de uma VPN ou até mesmo de um túnel SSH. A criptografia WPA2-PSK em redes públicas não é boa o suficiente.