Российская компания Elcomsoft выпустила программное обеспечение для проверки на прочность паролей PSK для WPA и WPA2. В панику впадать пока рано, но не мешает, тем не менее, разобраться, чем вызвано такое странное решение и к чему это может привести.
Компания Elcomsoft выпустила Wireless Security Auditor – взломщик идентификационных фраз PSK для шифрования WPA/WPA2. Меня, правда, это не особенно пугает, поскольку стоит приложение очень дорого, а польза от него весьма сомнительная. На это прямо указывают следующие факторы:
• низкая окупаемость – Wireless Security Auditor стоит более 600 долларов; • высокие аппаратные требования – профессиональный ПК с тремя или четырьмя графическими картами (ниже объясню, зачем так много); • низкие требования к PSK – приложение использует технологию подбора паролей по словарю, которая действует только для простых идентификационных фраз PSK.
Первых двух факторов уже достаточно для того, чтобы отпугнуть рядовых покупателей, однако предложение Elcomsoft рассчитано не на них. По мнению разработчиков, их продукт пригодится крупным корпорациям, в которых используются беспроводные сети. Цитата с сайта компании:
Одна маленькая уязвимость ведет к ухудшению безопасности всей корпоративной сетевой среды. Беспроводные сети (Wi-Fi) могут предоставлять достаточный уровень защищенности только в случае, когда они правильно сконфигурированы и когда внедрены адекватные политики создания, хpaнения и замены паролей. Elcomsoft Wireless Security Auditor отображает проблемы в безопасности вашей беспроводной сети так, чтобы сетевые администраторы приняли соответствующие меры и внедрили требуемые политики сетевой безопасности.
И где здесь логика?
Мне трудно понять причины побудившие Elcomsoft выпустить такой продукт. Может, я циник, но извините, я вижу только два возможных объяснения: или специалисты Elcomsoft ничего не понимают в корпоративных беспроводных сетях, или они просто хотят снять с себя всю ответственность за использование своей продукции в незаконных целях. Ну посудите сами – кому может понадобиться подобное приложение?
Корпорациям?
Если корпорация хоть сколько-нибудь обеспокоена безопасностью собственной беспроводной сети, она просто будет пользоваться стандартом 802.11i с элементами 802.1X и уж наверняка обойдется без идентификационных фраз PSK. К тому же, при наличии сотен рабочих компьютеров присваивать одну и ту же идентификационную фразу каждому из них просто нерационально. Так что большинству корпораций Wireless Security Auditor для выявления уязвимостей явно не понадобится.
Малому бизнесу?
Если Wireless Security Auditor не нужен даже крупным корпорациям, то кому же он нужен вообще? Вряд ли мелким фирмам и домашним офисам, в которых 802.11i/802.1X для аутентификации в принципе не используется. К тому же, предприятия малого бизнеса особенно чувствительны к окупаемости продукта. В нынешних экономических условиях они наверняка не захотят тратить деньги на реактивные программные решения, способные пробить огромную брешь в бюджете.
Итак, кто остается?
Даже не знаю, что и предположить. Индивидуальные пользователи и организации, нуждающиеся в подобном приложении, уже наверняка нашли ему замену или научились выявлять уязвимости беспроводных сетей самостоятельно. В конце концов, проблема не нова – она описывается в статье Роберта Московица «Слабые идентификационные фразы в интерфейсе WPA» (Robert Moskowitz, Weakness in Passphrase Choice in WPA Interface), которая была опубликована еще в ноябре 2003 года.
Единственный повод купить
Приходится признать: разработчикам Elcomsoft почти удалось избавиться от главного недостатка подбора паролей по словарю. Обычно это занимает так много времени, что терпения воспользоваться таким приемом хватает лишь у самых упорных хакеров. Но Elcomsoft поступил хитро: для обработки данных используются ресурсы сразу нескольких высокопроизводительных видеокарт. Компания даже решила запатентовать свое гениальное изобретение, которое сами разработчики называют «графическим ускорением». Цитата с сайта Elcomsoft:
Компания ElcomSoft внедрила немало инноваций, призванных облегчить восстановление паролей, защищающих различные виды ресурсов. Внедрение запатентованной технологии аппаратного ускорения ElcomSoft в программу для восстановления паролей в беспроводных сетях позволило в сотни раз сократить время, необходимое на восстановление паролей Wi-Fi. Поддерживая до четырех графических ускорителей NVIDIA (GeForce 8, 9, 200 и выше) или ATI (RADEON HD 3000 Series и выше), Elcomsoft Wireless Security Auditor позволяет при минимальных вложениях создавать сервера, по производительности сравнимые с суперкомпьютерами.
И что теперь?
Теперь, когда наконец понятно, о чем идет речь, хотелось бы поделиться своими сомнениями по этому поводу. Совершенно очевидно, что если такое приложение попадет не в те руки, оно сможет причинить людям немало неприятностей. Разумеется, высокая цена – фактор немаловажный, но не стоит забывать о способах нелегального распространения программного обеспечения. Кто может гарантировать, что через пару месяцев Wireless Security Auditor не появится на торрентах?
А когда это произойдет, остается только пожалеть ничего не подозревающих рядовых пользователей, которые до сих пор не придумали себе надежного пароля или вообще пользуются идентификационными фразами, предусмотренными в оборудовании для беспроводных сетей по умолчанию. Уже слышу возмущенные голоса: «Мне обещали, что WPA/WPA2 гарантирует надежную защиту беспроводной сети, а теперь вы хотите сказать, что мне еще надо выдумать сложный пароль, который я все равно никогда не смогу запомнить?!»
Знакомая картина, да? Мне тоже не по вкусу такое положение дел, но от нас здесь практически ничего не зависит – остается только проявлять бдительность и помогать друг другу.
В заключение
Я вовсе не предлагаю сразу же впадать в панику – в конце концов, особых причин для беспокойства пока нет. Просто постарайтесь использовать сложные идентификационные фразы, чтобы нейтрализовать потенциальную угрозу. В следующей статье я расскажу о том, как можно облегчить запоминание сложных паролей, а пока жду ваших советов на этот счет!
