Uma falha de segurança encontrada nos protocolos de segurança WPA e WPA2 pode permitir que alguém descubra certas senhas de Wi-Fi e comprometa o roteador. A falha foi encontrada, acidentalmente, pelo pesquisador de segurança alemão Jens Steube, durante testes do próximo protocolo de segurança, o WPA3. Steube é conhecido na comunidade de segurança por ser o desenvolvedor do software de recuperação de senhas Hashcat. O WPA3 será muito mais difícil de atacar por causa do uso de autenticação simultânea de iguais (Simultaneous Authentication of Equals), que substituirá o a troca de chaves pré-compartilhadas (Pre-Shared Key ou PSK).
A falha acontece em certas condições: o roteador deve estar com recursos de roaming ativos, e com o PMKID (Pairwise Master Key Identifier). Primeiro, o hacker solicita o PMKID do roteador, que pode salvar por exemplo como um arquivo .png. Em seguida, converte esse arquivo .png em um formato de hash compatível com o Hashcat. Finalmente, usa o Hashcat para recuperar a senha a partir desse hash. Depois disso, ele já pode acessar o roteador.
Parece, mas não é tão fácil.
O evangelista de segurança Luis Corrons, da Avast, esclarece que “esta é uma nova abordagem para atacar o WPA2”, mas que entanto, não devemos entrar em pânico. Não vamos esquecer que, primeiro, o invasor precisa estar fisicamente perto do roteador para estar no intervalo de Wi-Fi. Além disso, só obtém um hash. Isso significa que ele ou ela tem que tentar adivinhar a senha usando um ataque de força bruta. Se a sua senha de Wi-Fi for curta, você tem um problema. Mas se você tiver uma senha longa, levaria muito mais tempo para decifrá-la. Aqueles com uma senha curta de Wi-Fi devem mudar isso agora”, recomenda.
Para evitar uma invasão com esse tipo de ataque, ele recomenda:
- Mudar a senha – “Mesmo que você ache que é boa e complexa, leve-a para outro nível de complexidade. Você pode criar uma senha que não possa ser corrigida ou, melhor ainda, usar o Avast Random Password Generator. Você pode controlar o limite de caracteres e quais caracteres são incluídos (maiúsculas, minúsculas, números e caracteres especiais). Ele também classifica automaticamente sua senha com base na força dela.
- Atualizar para o WPA3 – “Nos próximos cinco anos, todos os dispositivos sem fio conectados serão atualizados para o WPA3, mas você não precisa esperar tanto tempo. O novo protocolo de segurança começará a ser lançado no final de 2018 / início de 2019, e teremos a opção de atualizar os dispositivos compatíveis com WPA3 por conta própria.”
