VPN-verkeer extra voordelig te kraken
De tool waarmee het mogelijk is om Microsoft's PPTP VPN-verkeer te kraken is deze week extra voordelig te gebruiken. Beveiligingsonderzoeker Moxie Marlinspike demonstreerde eind juli twee tools voor het kraken van PPTP (Point-to-Point Tunneling Protocol) en WPA2-Enterprise (Wireless Protected Access) sessies die MS-CHAPv2 voor authenticatie gebruiken.
MS-CHAPv2 is een door Microsoft ontwikkeld authenticatieprotocol dat in Windows NT 4.0 SP4 geïntroduceerd werd. Ondanks de leeftijd is het nog steeds het primaire authenticatiemechanisme voor de meeste PPTP virtual private network (VPN) clients. Het is al sinds 1999 bekend dat MS-CHAPv2 kwetsbaar voor woordenboekaanvallen is.
Voordelig
Er werd echter altijd gedacht dat een sterk wachtwoord voldoende was om de techniek veilig te kunnen gebruiken, maar met de ChapCrack-tool maakt dat niet meer uit, aldus Marlinspike. ChapCrack neemt opgevangen netwerkverkeer met een MS-CHAPv2 network handshake (PPTP VPN of WPA2 Enterprise) en brengt de handshake terug tot een enkele DES (Data Encryption Standard) sleutel. Deze DES-sleutel is vervolgens via de CloudCracker.com te kraken.
Normaliter rekent Marlinspike 160 euro voor het gebruik van de tool, maar deze week is die voor slechts 16 euro beschikbaar. "Dit betekent dat elke PPTP VPN-verbinding of onderschepte MS-CHAPv2 WPA Enterprise inloggegevens voor slechts 16 euro met 100% zekerheid zijn te kraken en ontsleutelen", laat de onderzoeker weten.
Groeten,
Goes
"1) All users and providers of PPTP VPN solutions should immediately start migrating to a different VPN protocol. PPTP traffic should be considered unencrypted.
2) Enterprises who are depending on the mutual authentication properties of MS-CHAPv2 for connection to their WPA2 Radius servers should immediately start migrating to something else."
Mvg,
René
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.