WEP

Το WEP (Wired Equivalent Privacy) είναι ένας αλγόριθμος ασφάλειας για τα ασύρματα δίκτυα IEEE 802.11. Η εισαγωγή του έγινε το Σεπτέμβριο του 1999, σαν μέρος του αρχικού προτύπου. Η πρόθεσή του ήταν, όπως δηλώνει και το όνομά του, να παρέχει εμπιστευτικότητα δεδομένων συγκρίσιμη με τα παραδοσιακά ενσύρματα δίκτυα.

Παραλλαγές

Υπάρχουν δύο παραλλαγές:

Το πρότυπο 64 bit WEP (γνωστό και σαν WEP -40). Χρησιμοποιεί κλειδί 40 bit, το οποίο το δίνουμε συνήθως σαν 10 δεκαεξαδικά ψηφία (0-9 και A-F), το κάθε ένα από τα οποία παριστάνεται με 4-bit. Με αυτά ενώνεται και το διάνυσμα αρχικοποίησης (Initialization Vector, IV) μήκους 24 bit του αλγόριθμου κρυπτογράφησης RC4, ώστε να παραχθεί το πλήρες κλειδί των 64 bit (10 ψηφία 4 bits × + 24 bits IV = 64 bit WEP κλειδί). Οι περισσότερες συσκευές επιτρέπουν επίσης να εισαχθούν 5 ASCII χαρακτήρες (0-9, a-z, A-Z), κάθε ένας από τους οποίους αντικαθίσταται από τα 8 bit που αναπαριστούν τον χαρακτήρα στον κώδικα ASCII, δημιουργώντας έτσι το κλειδί των 64 bit (5 χαρακτήρες x 8 bits + 24 bits IV = 64 bit WEP κλειδί). Αυτό όμως περιορίζει τις επιλογές μας μόνο στους εκτυπώσιμους χαρακτήρες ASCII, οι οποίοι είναι ένα μικρό μέρος των δυνατών τιμών Byte, περιορίζοντας έτσι σημαντικά το πλήθος των δυνατών κλειδιών.
Το 128 bit WEP (γνωστό και σαν WEP -104) το οποίο χρησιμοποιεί κλειδί 104 bit. Το δίνουμε συνήθως σαν 26 δεκαεξαδικά ψηφία (0-9 και A-F). Με αυτά ενώνεται και το διάνυσμα αρχικοποίησης (Initialization Vector, IV) μήκους 24 bit του αλγόριθμου κρυπτoγράφησης RC4, ώστε να παραχθεί το πλήρες κλειδί των 128 bit (26 ψηφία x 4 bits + 24 bits IV = 128 bit WEP κλειδί). Οι περισσότερες συσκευές επιτρέπουν επίσης να εισαχθούν 13 ASCII χαρακτήρες (0-9, a-z, A-Z), κάθε ένας από τους οποίους αντικαθίσταται από τα 8 bit που αναπαριστούν τον χαρακτήρα στον κώδικά ASCII, δημιουργώντας έτσι το κλειδί των 128 bit (13 χαρακτήρες x 8 bits + 24 bits IV = 128 bit WEP κλειδί). Και σε αυτήν την περίπτωση έχουμε τα μειονεκτήματα που αναφέραμε παραπάνω.

Μερικοί κατασκευαστές παρέχουν συστήματα WEP των 152-bit και 256-bit.

Πιστοποίηση

Με το WEP μπορούν να χρησιμοποιηθούν δύο μέθοδοι πιστοποίησης:

Πιστοποίηση Ανοικτού Συστήματος (Open System authentication) και
Πιστοποίηση Διαμοιραζόμενου Κλειδιού (Shared Key authentication).

Στην Πιστοποίηση Ανοικτού Συστήματος, δεν απαιτείται ο πελάτης του Ασύρματου Δικτύου (WLAN) να παράσχει διαπιστευτήρια στο AP κατά την διάρκεια της πιστοποίησης. Δηλ. στην πραγματικότητα δεν γίνεται καμία πιστοποίηση κατά την σύνδεση. Στη συνέχεια όμως πρέπει να χρησιμοποιηθούν τα κλειδιά για την κρυπτογράφηση των πλαισίων και επομένως ο πελάτης πρέπει να έχει τα σωστά κλειδιά.

Στην Πιστοποίηση Διαμοιραζόμενου Κλειδιού, χρησιμοποιείται το κλειδί WEP σε μία διαδικασία χειραψίας πρόσκλησης- απόκρισης τεσσάρων βημάτων:

Ο πελάτης στέλνει μία αίτηση πιστοποίησης στο Σημείο Πρόσβασης (Access Point).
Το Access Point απαντά με μία πρόσκληση Απλού Κειμένου (μη κρυπτογραφημένου)
Ο πελάτης κρυπτογραφεί το κείμενο της πρόσκλησης με το κλειδί WEP και το στέλνει πίσω.
Το Access Point αποκρυπτογραφεί την απόκριση. Εάν το κείμενο ταιριάζει με το κείμενο της πρόσκλησης, τότε το Access Point στέλνει πίσω μία θετική απόκριση.

Μετά την πιστοποίηση και τη σύνδεση, το WEP κλειδί χρησιμοποιείται για την κρυπτογράφηση των πλαισίων χρησιμοποιώντας τον αλγόριθμο κρυπτογράφησης RC4. Από πρώτη ματιά, φαίνεται ότι η πιστοποίηση Διαμοιραζόμενου Κλειδιού είναι πιο ασφαλής από την πιστοποίηση Ανοικτού Συστήματος, επειδή η δεύτερη δεν κάνει καμιά πιστοποίηση κατά την σύνδεση. Στην πραγματικότητα όμως συμβαίνει το αντίθετο. Υποκλέπτοντας τα πλαίσια απόκρισης κατά την διάρκεια της χειραψίας στην πιστοποίηση διαμοιραζόμενου κλειδιού, είναι δυνατόν να παραχθεί η ακολουθία του κλειδιού. Γι’ αυτό είναι πιο εύκολο να αποκρυπτογραφηθούν τα δεδομένα με την πιστοποίηση διαμοιραζόμενου κλειδιού, απ’ ότι στην πιστοποίηση ανοικτού συστήματος. Έτσι αν είναι σημαντική η ιδιωτικότητα, συνίσταται η χρήση πιστοποίησης ανοικτού συστήματος, και όχι η πιστοποίηση διαμοιραζόμενου κλειδιού. Αυτό όμως σημαίνει ότι στο WLAN μπορεί να συνδεθεί οποιoσδήποτε πελάτης.

Λεπτομέρειες Ασφάλειας

Επειδή ο RC4 είναι κρυπτογράφος ροής (stream cipher), δεν πρέπει ποτέ να χρησιμοποιηθεί το ίδιο κλειδί κυκλοφορίας για δεύτερη φορά. Ο σκοπός του διανύσματος αρχικοποίησης (IV), το οποίο στέλνεται σαν απλό κείμενο είναι να εμποδίσει τις επαναλήψεις. Το μήκος όμως του κλειδιού (24 bit), δεν είναι αρκετό ώστε να εξασφαλίσει ότι σε ένα δίκτυο με μεγάλη κίνηση δεν θα χρησιμοποιηθεί ξανά το ίδιο IV. Με μήκος IV 24-bit, υπάρχει πιθανότητα 50% να επαναληφθεί το ίδιο IV μετά από 5000 πακέτα. Ανάλογα με τον όγκο κυκλοφορίας στο δίκτυο και επομένως τον αριθμό των πακέτων που είναι διαθέσιμα προς εξέταση από τον επιτιθέμενο, μπορεί να γίνει ανακάλυψη του κλειδιού μέχρι και σε ένα λεπτό. Εάν δεν υπάρχει ικανοποιητικός αριθμός πακέτων προς εξέταση, υπάρχουν τρόποι ο επιτιθέμενος να στείλει πακέτα και να πάρει πακέτα απάντησης, τα οποία μπορεί να τα εξετάσει και να βρει το κλειδί. Υπάρχει αυτοματοποιημένο software για αυτήν τη δουλειά. Έτσι είναι δυνατό με έναν προσωπικό υπολογιστή και το ελεύθερα διαθέσιμο πρόγραμμα aircrack-ng, να σπάσει οποιοδήποτε WEP κλειδί σε μερικά λεπτά.

Διορθωτικές κινήσεις

Η χρήση κρυπτογραφημένων πρωτοκόλλων σήραγγας (π.χ. του IPSec, Secure Shell), μπορεί να εξασφαλίσει ασφαλή μετάδοση δεδομένων πάνω σε μη ασφαλές δίκτυο. Όμως έχουν αναπτυχθεί αντικαταστάτες του WEP, με στόχο ειδικά την ασφάλεια των ασυρμάτων δικτύων.

802.11i (WPA and WPA2)

Η συνιστώμενη λύση στα προβλήματα ασφάλειας του WEP είναι η μετάβαση στο WPA2. Το WPA ήταν μία ενδιάμεση λύση για hardware το οποίο δεν μπορούσε να υποστηρίξει το WPA2. Και το WPA και το WPA2, είναι πολύ ασφαλέστερα από WEP. Τα παλαιότερα Access Point για να υποστηρίξουν το WPA ή το WPA2 ή πρέπει να γίνει αναβάθμιση του firmware τους ή όταν αυτό δεν είναι δυνατόν, πρέπει να αντικατασταθούν. Όμως το Πρωτόκολλο Ασφάλειας TKIP (το οποίο είναι η βάση του WPA) έχει φτάσει στο τέλος του χρόνου ζωής για τον οποίο σχεδιάστηκε, έχει εν μέρει παραβιαστεί και έχει επίσημα αποσυρθεί με την ανακοίνωση του προτύπου 802.11-2012.