WPA2 war für mehr als 10 Jahre der vorherrschende Standard, wenn es um die Sicherung von drahtlosen Netzwerken ging. Ab dem 1. September 2004 wurden nach diesem Standard die ersten Geräte durch die WiFi-Alliance zertifiziert. Im Jahr 2006 wurde die Unterstützung von WPA2 Pflicht, damit neue Geräte eine Zertifizierung durch die Allianz erhalten konnten/können.
Anfang dieses Jahres (2018), genau genommen am 8. Januar, wurde in einem Statement der WiFi-Alliance nun angekündigt, dass für WPA3 offiziell auch Zertifizierungen ausgesprochen werden. Diese ist zunächst freiwillig, es ist aber davon auszugehen, dass sie in einigen Jahren aber verpflichtend sein wird. WPA2 gilt formal noch als sicher – zeigte kürzlich die ersten signifikaten Schwächen. Angesichts der jüngsten Sicherheitslücken in dem Bereich, insbesondere den als KRACK (Key Reinstallation Attack) bezeichneten Angriffsvektor, scheint das Vorgehen der WiFi-Alliance sinnvoll zu sein.
Doch was bringt WPA3 an neuen Features? – Leider wurden bisher kaum genaue technische Details veröffentlicht, aber Experten, wie etwa der Finder der KRACK-Lücke (Mathy Vanhoef), gehen davon aus, dass insbesondere im Bereich der sogenannten Key Exchange Protokolle Veränderungen zu erwarten sind. So ist etwa ein Wechsel auf Protokolle wie Simultaneous Authentication of Equals (SAE) oder Dragonfly (RFC 7664) möglich. Durch diese Änderung wären WLANs besser gegen Bruteforce-Angriffe gesichert, die letztlich auch zur von Durchführung von KRACK geführt haben.
Eine weitere Verbesserung wird es vermutlich rund um „offenen WLAN“ geben. In unserem Buch „WLAN Hacking“ haben wir zahlreiche Szenarien skizziert, welche es aktuell ermöglichen Clients in WLAN-Netze zu „zwingen“ und so weitere Angriffe durchzuführen. Durch die sogenannte „Opportunistic Wireless Encryption“, welche im RFC 8110 beschrieben wird, soll ein solches Vorgehen erschwert werden, da einzelne Sessions der Nutzer verschlüsselt werden. Dadurch wäre erstmals auch die Privatsphäre der Nutzer in einem offenen WLAN gewährleistet, selbst wenn diese kein VPN oder verschlüsselte Verbindungen (wie HTTPs) nutzen. Ob sich ein solches Vorgehen in der Praxis behaupten kann, das gilt es noch etwas abzuwarten.
Neben den genannten Änderungen wird WPA3 leichter als seine Vorgänger auf Geräten zu konfigurieren sein, welche kein LCD-Display haben, bislang waren zur Konfiguration oft Drittgeräte (etwa Smartphones) von Nöten.
Sicher ist, dass der Übergang zwischen den Standards einige Jahre in Anspruch nehmen wird. Laut den Daten von wigle.net wurde WEP beispielsweise erst circa Mitte 2012 von WPA2 vom ersten Platz der Verschlüsselungensstandards im Bereich WLAN verdrängt (WPA hatte sich zuvor nie richtig durchsetzen können und war zunächst auch als temporärer Standard gedacht – bis WPA2 veröffentlicht wurde).
Wir werden auf diesem Blog laufend darüber berichten wie sich WPA3 entwickelt und dessen Neuerungen vorstellen.
Sollte es Fragen oder Themenvorschläge geben, nehmen wir diese gern unter der Adresse autoren[a/t]wlan-hacking.de entgegen.