De standaardbeveiliging van wifi-verbindingen is gekraakt met een zogeheten codeherinstalleringsaanval (Engelse afko krack). Een Belgische beveiligingsexpert van de KU Leuven ontdekte een ernstige lek in de beveiliging die verregaande gevolgen kan hebben. Miljoenen wifi-apparaten wereldwijd zijn nu kwetsbaar. “Als uw apparaat wifi ondersteunt, is het hoogstwaarschijnlijk kwetsbaar”, schrijft de Belgische onderzoeker Mathy Vanhoef. Door de pas vrijgegeven kwetsbaarheid zou een aanvaller allerlei informatie kunnen onderscheppen en soms zelfs die gegevens kunnen manipuleren.

Gevoelige informatie zoals wachtwoorden, kredietkaartgegevens, vertrouwelijke mails en internetverkeer kan zo op straat liggen als die wordt doorgestuurd via een niet-versleutelde verbinding. De aanvaller moet zich daarvoor overigens wel in de nabijheid van zijn slachtoffer bevinden en over de kennis beschikken om een kraak uit te voeren. Volgens Vanhoef zijn alle moderne beschermde wifi-netwerken kwetsbaar.

De kwetsbaarheid zit ‘m in het WPA2-systeem, de wachtwoordbescherming die bijna alle wifi-netwerken gebruiken. Dat maakt de kwetsbaarheid uniek en verregaand: niet één soort apparaten is kwetsbaar, maar wel alle apparaten die het protocol gebruiken.
Een aanvaller in de buurt van het slachtoffer kan dit lek gebruiken met behulp van een nieuwe techniek, de codeherinstalleringsaanval. Die kan daarmee informatie lezen waarvan de gebruiker denkt dat die versleuteld is.

Afhankelijk van het netwerk is het niet lleen mogelijk informatie te stelen, maar soms ook gegevens te manipuleren. De aanvaller kan zo gijzelwaar op je telefoon of computer zetten, die de telefoon of rekentuig onklaar maakt en er alleen af te halen is tegen betaling van een ‘gering bedrag’ aan de gijzelnemers.

Wifi

Het probleem zit ‘m, zoals gezegd, in de wifi-norm en niet in de producten of toepassingen. Dus ook als je alle noodzakelijke beveiligingsmaatregelen neemt ben je nog kwetsbaar. Het wordt dan ook aangeraden zo snel mogelijk de programmatuur bij te werken

Om hun gelijk te bewijzen hebben de onderzoekers een herinstalleringsaanval uitgevoerd op een Android-telefoon. Het blijkt dat daarmee alle gegevens zijn te ontcijferen die het slachtoffer verstuurd of ontvangt. Bij andere toestellen is dat een stuk lastiger, maar ook daarbij lukte het grotendeels. Ook gebruik maken van HTTPS dat beveiligde webstekken gebruiken, biedt geen soelaas, aangezien dat protocol nog steeds is te omzeilen.

Bron: De Morgen