Dragonblood: анализ рукопожатия Dragonfly в WPA3 и EAP-pwd

Сертификация WPA3 предназначена для защиты домашних сетей, тогда как EAP-pwd используется некоторыми корпоративными сетями Wi-Fi для аутентификации пользователей. В обоих случаях применяется рукопожатие Dragonfly, обеспечивающее прямую секретность и устойчивость к словарным атакам. В этой работе мы систематически оцениваем безопасность Dragonfly. Сначала мы проводим аудит реализаций и выявляем утечки по времени выполнения, а также обходы аутентификации в демонах EAP-pwd и WPA3. Затем мы изучаем конструкцию Dragonfly и рассматриваем атаки понижения уровня и атаки типа «отказ в обслуживании». Следующий и основной результат нашей работы — атаки по побочным каналам на метод кодирования пароля в Dragonfly (например, hash-to-curve). Мы считаем, что эти утечки по побочным каналам являются неотъемлемым свойством Dragonfly. Например, после первоначального раскрытия информации исправленное программное обеспечение по-прежнему оказалось уязвимым к новой утечке по побочному каналу. Мы также анализируем сложность перебора пароля с использованием утекшей информации. В частности, перебор словаря размером 10^10 требует менее 1 доллара США на экземплярах Amazon EC2. Эти результаты представляют общий интерес также в связи с продолжающимися работами по стандартизации Dragonfly в качестве рукопожатия TLS, протоколов аутентифицированного обмена ключами по паролю (PAKE) и hash-to-curve. Наконец, мы рассматриваем защиты, совместимые с обратной совместимостью, и предлагаем исправления протокола, предотвращающие атаки. Результатом нашей работы стал новый проект протоколов, включающий предложенные нами изменения конструкции.