Loading article…
| 一般的な | |
|---|---|
| デザイナー | Wi-Fiアライアンス |
| 初版 | 2002年10月31日 |
| 由来 | 有線同等のプライバシー |
| 暗号の詳細 | |
| キーサイズ | 128ビット |
| 最高の公開暗号解読 | |
| 非推奨 | |
一時キー整合性プロトコル( TKIP / t iː ˈ k ɪ p / ) は、IEEE 802.11ワイヤレス ネットワーク標準で使用されるセキュリティ プロトコルです。TKIP は、 IEEE 802.11iタスク グループとWi-Fi Allianceによって、従来のハードウェアを交換することなくWEP を置き換える暫定的なソリューションとして設計されました。これは、WEP の破綻により Wi-Fi ネットワークに有効なリンク層セキュリティが残されておらず、すでに導入されているハードウェアに対するソリューションが必要だったため必要でした。ただし、TKIP 自体は安全とは見なされなくなり、802.11 標準の 2012 年改訂版で非推奨になりました。[1]
背景
2002年10月31日、Wi-Fi Allianceは、Wi-Fi Protected Access (WPA)という名前でTKIPを承認しました。[2] IEEEは、2004年7月23日にIEEE 802.11i-2004を発行し、 802.1XやAESベースのCCMP などのより堅牢なソリューションとともにTKIPの最終バージョンを承認しました。 [3] Wi-Fi Allianceは、その後すぐに、マーケティング名WPA2で完全な仕様を採用しました。[4]
TKIPは2009年1月にIEEEによって廃止されることが決議された。[1]
技術的な詳細
TKIP と関連する WPA 標準は、WEP で保護されたネットワークで発生するセキュリティ問題に対処するために、3 つの新しいセキュリティ機能を実装しています。まず、TKIP は、秘密ルート キーを初期化ベクトルと結合してからRC4 暗号初期化に渡すキー混合機能を実装しています。これに対して、WEP は、初期化ベクトルをルート キーに連結し、この値を RC4 ルーチンに渡しただけです。これにより、RC4 ベースの WEP関連キー攻撃の大部分が許可されました。[5]次に、WPA は、リプレイ攻撃から保護するためにシーケンス カウンターを実装しています。順序どおりに受信されなかったパケットは、アクセス ポイントによって拒否されます。最後に、TKIP は 64 ビットのメッセージ整合性チェック (MIC) を実装し、新しいキー (一時キー) が使用されるたびにシーケンス番号を再初期化します。[6]
TKIP は、マイナー アップグレードで従来の WEP ハードウェア上で実行できるように、暗号としてRC4 を使用します。TKIP は、キー再生成メカニズムも提供します。TKIP は、すべてのデータパケットが一意の暗号化キー(中間キー/一時キー + パケット シーケンス カウンター)とともに送信されることを保証します。 [引用が必要]
キーの混合により、攻撃者に 1 つのキーを使用して暗号化されたデータが大幅に少なくなるため、キーのデコードの複雑さが増します。WPA2 では、新しいメッセージ整合性コード MIC も実装されています。メッセージ整合性チェックにより、偽造されたパケットが受け入れられるのを防ぎます。WEP では、たとえ復号化されていなくても、内容がわかっているパケットを変更することができました。
安全
TKIP は WEP と同じ基本メカニズムを使用しているため、多くの類似した攻撃に対して脆弱です。メッセージの整合性チェック、パケットごとのキーハッシュ、ブロードキャスト キー ローテーション、およびシーケンス カウンターにより、多くの攻撃を阻止できます。キー混合機能により、WEP キー回復攻撃も排除されます。
これらの変更にもかかわらず、これらの追加の一部が脆弱なため、範囲は狭まってはいるものの、新たな攻撃が可能になっています。
パケットのスプーフィングと復号化
TKIP はMIC キー回復攻撃に対して脆弱であり、攻撃が成功すると、攻撃者は攻撃対象のネットワーク上で任意のパケットを送信して復号化することができます。[7]現在公開されている TKIP 固有の攻撃では、ペアワイズ マスター キーまたはペアワイズ テンポラル キーは明らかにされません。2008 年 11 月 8 日、Martin Beck と Erik Tews は、MIC キーを回復していくつかのパケットを送信する方法を詳しく説明した論文を発表しました。[8]この攻撃は 2013 年に Mathy Vanhoef と Frank Piessens によって改良され、攻撃者が送信できるパケットの量を増やし、攻撃者が任意のパケットを復号化する方法も示しました。[7]
この攻撃のベースは、 WEPチョップチョップ攻撃の拡張です。WEP は暗号的に安全でないチェックサム メカニズム ( CRC32 ) を使用するため、攻撃者はパケットの個々のバイトを推測でき、ワイヤレス アクセス ポイントは推測が正しいかどうかを確認または否定します。推測が正しければ、攻撃者は推測が正しいことを検出し、パケットの他のバイトを推測し続けることができます。ただし、WEP ネットワークに対するチョップチョップ攻撃とは異なり、攻撃者は間違った推測 (CRC32 メカニズムの回避に成功) の後、攻撃を続行する前に少なくとも 60 秒待つ必要があります。これは、TKIP は CRC32 チェックサム メカニズムを使用し続けますが、Michael という追加の MIC コードを実装しているためです。60 秒以内に 2 つの誤った Michael MIC コードを受信すると、アクセス ポイントは対策を実装します。つまり、TKIP セッション キーを再キー化して、将来のキー ストリームを変更します。したがって、TKIP に対する攻撃は、これらの対策を回避するために適切な時間待機します。ARPパケットはサイズによって簡単に識別でき、このパケットの内容の大部分は攻撃者に知られているため、上記の方法を使用して攻撃者が推測しなければならないバイト数はかなり少なくなります（約14バイト）。 BeckとTewsは、一般的なネットワークでは約12分で12バイトの回復が可能であると推定しており、これにより攻撃者は最大28バイトのパケットを3～7個送信できるようになります。 [8] VanhoefとPiessensは、フラグメンテーションを利用することでこの手法を改良し、攻撃者が最大112バイトのサイズのパケットを任意の数送信できるようにしました。[7] Vanhoef-Piessens攻撃は、攻撃者が選択した任意のパケットを復号化するためにも使用できます。
攻撃者は、すでに暗号文パケット全体にアクセスできます。同じパケットの平文全体を取得すると、攻撃者はパケットのキーストリームとセッションの MIC コードにアクセスできます。この情報を使用して、攻撃者は新しいパケットを作成し、ネットワークに送信できます。WPA に実装されたリプレイ保護を回避するために、攻撃者はQoSチャネルを使用して、これらの新しく作成されたパケットを送信します。これらのパケットを送信できる攻撃者は、ネットワークに関連付けられていなくても、 ARP ポイズニング攻撃、サービス拒否、その他の同様の攻撃など、さまざまな攻撃を実行できる可能性があります。
ロイヤル・ホロウェイ襲撃
ロンドン大学ロイヤル・ホロウェイ校の情報セキュリティ・グループのセキュリティ研究者グループは、基礎となるRC4暗号化メカニズムを悪用したTKIPに対する理論的な攻撃を報告した。TKIPはWEPと同様のキー構造を使用し、シーケンス・カウンターの下位16ビット値（リプレイ攻撃の防止に使用）が24ビットの「IV」に拡張され、このシーケンス・カウンターは新しいパケットごとに常に増加する。攻撃者はこのキー構造を使用して、RC4に対する既存の攻撃を改良することができる。特に、同じデータが複数回暗号化されている場合、攻撃者はわずか2 24の接続からこの情報を知ることができる。[9] [10] [11]彼らはこの攻撃が実用化寸前であると主張しているが、実行されたのはシミュレーションのみであり、実際に攻撃が実証されたことはない。
ノーモア攻撃
2015年、ルーヴェン・カトリック大学のセキュリティ研究者は、TLSとWPA-TKIPの両方でRC4に対する新しい攻撃を発表しました。これは、Numerous Occurrence MOnitoring & Recovery Exploit (NOMORE)攻撃と呼ばれ、実際に実証された初めての攻撃です。WPA-TKIPに対する攻撃は1時間以内に完了し、攻撃者は任意のパケットを復号して挿入することができます。[12]
遺産
ZDNetは2010年6月18日に、WEPとTKIPがWi-FiアライアンスによってWi-Fiデバイスで間もなく禁止されると報じた。 [13]しかし、2013年の調査では、WEPとTKIPは 依然として広く使用されていることが示された。[7]
IEEE 802.11n規格では、Wi-Fi暗号としてTKIPを使用する場合、データレートが54Mbpsを超えることを禁止しています。[14]
参照
参考文献
- ^ ab "802.11mb Issues List v12" (excel) . 2009年1月20日. p. CID 98.
TKIPの使用は非推奨です。TKIPアルゴリズムは、この標準の目的には適していません。
- ^ 「Wi-Fi Alliance、WEP に代わる標準ベースのセキュリティ ソリューションを発表」Wi-Fi Alliance 2002-10-31。2008-01-03 にオリジナルからアーカイブ。2007-12-21に取得。
- ^ 「IEEE 802.11i-2004: Amendment 6: Medium Access Control (MAC) Security Enhancements」(PDF)。IEEE標準。2004-07-23。2005年 5 月 17 日時点のオリジナル(PDF)からアーカイブ。2007 年12 月 21 日に取得。
- ^ 「Wi-Fi Alliance が次世代の Wi-Fi セキュリティを発表」Wi-Fi Alliance 2004-09-01。2008-01-03 にオリジナルからアーカイブ。2007-12-21に取得。
- ^ Edney, Jon; Arbaugh, William A. (2003-07-15).本当の 802.11 セキュリティ: Wi-Fi 保護アクセスと 802.11i . Addison Wesley Professional . ISBN 978-0-321-13620-6。
- ^ IEEE-SA 標準委員会。ワイヤレス LAN メディア アクセス制御 (MAC) および物理層 (PHY) 仕様。Communications Magazine、IEEE、2007 年。
- ^ abcd Vanhoef, Mathy; Piessens, Frank (2013 年 5 月)。「WPA-TKIP の脆弱性の実際的な検証」。情報、コンピューター、通信セキュリティに関する第 8 回 ACM SIGSAC シンポジウムの議事録( PDF)。ASIA CCS '13。pp. 427–436。doi : 10.1145 /2484313.2484368。ISBN 9781450317672.S2CID 7639081 。
- ^ ab Martin Beck & Erik Tews、「WEPとWPAに対する実践的な攻撃」、[1]で入手可能。
- ^ AlFardan; et al. (2013-07-08). 「TLS および WPA における RC4 のセキュリティについて」(PDF) 。情報セキュリティ グループ、ロイヤル ホロウェイ、ロンドン大学。2013-09-22のオリジナル(PDF)からアーカイブ。2015-01-04に取得。
- ^ Paterson; et al. (2014-03-01). 「WPA/TKIP に対するプレーンテキスト回復攻撃」(PDF)。情報セキュリティ グループ、ロイヤル ホロウェイ、ロンドン大学。
- ^ Paterson; et al. (2014-03-01). 「アマゾニアにおけるビッグバイアスハンティング: RC4 バイアスの大規模計算と活用 (招待論文)」。Advances in Cryptology – ASIACRYPT 2014 。コンピュータサイエンスの講義ノート。第 8874巻。情報セキュリティグループ、ロイヤルホロウェイ、ロンドン大学。pp. 398–419。doi : 10.1007 /978-3-662-45611-8_21。ISBN 978-3-662-45607-1。
- ^ “RC4 NOMORE”. www.rc4nomore.com . 2019年5月21日閲覧。
- ^ Wi-Fi Alliance が WEP と TKIP を廃止へ…まだ早すぎる
- ^ 「WEP または TKIP 暗号化の場合、データ レートは 54 MBPS を超えません」。