KrØØk: vulnerabilidad en algunos equipos WiFi

Ayer, Róbert Lipovský y Štefan Svorenčík, empleados de la compañía de seguridad ESET, presentaron en la RSA Conference 2020 celebrada en San Francisco una sesión formativa con el título "Kr00k: How KRACKing Amazon Echo Exposed a Billion+ Vulnerable WiFi Devices".

En ella desvelaban de forma pública una vulnerabilidad en las comunicaciones por WiFi de algunos de los dispositivos más populares, como el Amazon Echo, Apple iPhone, Google Nexus o Samsung Galaxy.

La vulnerabilidad, a la que han apodado Kr00k, tiene la designación CVE-2019-15126, y se explica con detalle en este whitepaper publicado por el investigador de seguridad Miloš Čermák junto con el resto del Equipo de Detección e Investigación Experimental de ESET.

De forma resumida, la forma de explotar la vulnerabilidad es la siguiente:

• Un usuario está conectado a una red WiFi con la vulnerabilidad (porque el AP o router es vulnerable, o porque el cliente es vulnerable) Kr00k.
• El atacante, envía mensajes de desautenticación/desasociación contra la víctima.
• El dispositivo vulnerable, al desconectarse, usa una clave de cifrado de todo ceros en lugar de la que le corresponde. Al hacer esto, el tráfico que enviase con la clave de todo ceros es equivalente a si el tráfico se enviase en claro, pero como el dispositivo está desconectado de la red, no debería enviar nada hasta la próxima conexión.
• El problema, es que los dispositivos vulnerables vacían el buffer de datos enviando dichos datos con la clave de todo ceros.
• El atacante captura esos datos. Repitiendo el proceso de forma iterativa, iría obteniendo datos (en cantidades del tamaño del buffer del dispositivo).

Afortunadamente ESET, una empresa con muy buena reputación en el sector de la ciberseguridad, ha procedido de forma correcta siguiendo las recomendaciones de "RESPONSIBLE DISCLOSURE":

• Los trabajos de investigación comenzaron a finales de 2018 siguiendo la línea abrierta por las vulnerabilidades KRACK en 2017, y aplicándolo al dispositivo Amazon Echo.
• A lo largo del primer semestre de 2019 fueron avisando a los diferentes fabricantes afectados (Amazon, Cypress, Broadcom, etc.).
• En Agosto obtivieron la asignación del código MITRE CVE.
• Dieron de plazo a los fabricantes para que sacaran los parches adecuados hasta enero de 2020, que lo comunicaron a ICASI.

Por este motivo, la mayoría de los dispositivos ya no son vulnerables, si bien siempre es posible que existan equipos sin actualizar, y algunos que por descatalogación de fabricante nunca se actualicen.

En cualquier caso, la forma más rápida de mitigar posibles ataques que aprovechen esta y otras vulnerabilidades, es configurar en la red WiFi el estándar IEEE 802.11w, también conocido como Protected Management Frames (PMF). De esta forma, el atacante no puede obligar al cliente a desconectarse de la red, que es una parte importante para aprovechar las vulnerabilidades KRACK, Kr00k, y los ataques por diccionario, entre otros.

Por ejemplo, en WPA3 el mecanismo de PMF es obligatorio y por tanto las redes configuradas con este mecanismo de seguridad serían mucho más robustas a este tipo de ataques.

Por último, merce la pena recordar que:

• El buffer de los dispositivos son muy pequeños (normalmente unas decenas o cientos de bytes), y con las desconexiones repetidas, muchas veces se obtendría el mismo tráfico repetido.
• El tráfico cifrado a niveles superiores como el generado por accedar a webs HTTPS, o al usar software VPN no se ve comprometido.
• Sólo se ven comprometidos los dispositivos vulnerables, no todos los que están en la misma red.
• El atacante no consigue acceso a la red.

----

Si te gustó el artículo, seguramente quieras seguir el hashtag #GetLANizate en twitter, o leerme en el blog A un clic de las TIC.