Evite que o wpa_supplicant use protocolos de criptografia WPA-TKIP ou GCMP

Question

Após ler sobre o ataque do KRACK contra WPA2 , vejo isto:

If the victim uses either the WPA-TKIP or GCMP encryption protocol, instead of AES-CCMP, the impact is especially catastrophic. Against these encryption protocols, nonce reuse enables an adversary to not only decrypt, but also to forge and inject packets.

Só de olhar para a página de manual wpa_supplicant , acho que posso forçar o uso de apenas CCMP por adicionando isto a wpa_supplicant.conf :

network = {
    ssid="[REDACTED]"
    pairwise=CCMP
    group=CCMP
}

No entanto, quando eu reiniciar a rede, esta mensagem de log de /var/log/messages parece indicar que o TKIP ainda está sendo usado:

Oct 20 17:27:51 localhost wpa_supplicant[1055]: wlp0s18f2u3: WPA: Key negotiation completed with fc:51:a4:4a:43:d3 [PTK=CCMP GTK=TKIP]

Um rápido ps -eaf | grep wpa mostra que wpa_supplicant está usando o arquivo conf editado, e as mensagens wpa_supplicant log mostram que ele está se conectando ao mesmo SSID que no arquivo conf.

Então, estou fazendo algo errado ou o que eu quero é impossível?

EDIT : Estou usando o Fedora 26 com o NetworkManager.

    

Answer 1

O CCMP é o protocolo de integridade de dados obrigatório no WPA2 (mecanismo de criptografia baseado no strong algoritmo criptográfico AES). Seu ponto de acesso deve ser protegido com o modo WPA2 (AES) -PSK. Para verificar, execute:

wpa_cli
scan
scan_result

Você deve ver [WPA2-PSK-CCMP] em seu ponto de acesso.

O pesquisador de segurança postou um script para testar seu ponto de acesso para o ataque de reinstalação de chave, conhecido como ataque de krack teste de krackattacks -ap-ft .

O patch para wpa_supplicant e hostapd está disponível e é aplicado através da atualização regular.

Atualize para o hostapd / wpa_supplicant v2.7 ou mais recente, uma vez disponível.