Gönderen bu wiki sayfasından :

WPA ve WPA2, trafiği şifrelemek için EAPOL el sıkışmasından türetilen anahtarlar kullanır. Sürece dört el sıkışma paketleri sen decrypt çalışıyoruz oturumu için mevcut, Wireshark trafiğini şifresini çözmek mümkün olmayacaktır. Yakalama işleminizde EAPOL paketlerini bulmak için ekran filtresi eapol'ü kullanabilirsiniz.

Şifre çözmenin (1, 2, 4) ile de çalıştığını, ancak (1, 2, 3) ile çalışmadığını fark ettim. Bildiğim kadarıyla ilk iki paket yeterli, en azından tek noktaya yayın trafiğini ilgilendiren şey için. Birisi, Wireshark'ın bununla nasıl başa çıktığını lütfen açıklayabilir mi, başka bir deyişle, dördüncü paketin sadece bir onay olduğu düşünüldüğünde, neden sadece eski sıra çalışır? Ayrıca, (1, 2, 3, 4) çalışırken (1, 2, 4) her zaman çalışacağı garanti edilir mi?

Test durumu

Bu gzip'lenmiş el sıkışma (1, 2, 4) ve şifreli bir olan ARPpaket (: SSID SSID: şifre passwordolarak) base64kodlayan

H4sICEarjU8AA2hhbmRzaGFrZS5jYXAAu3J400ImBhYGGPj / n4GhHkhfXNHr37KQgWEqAwQzMAgx
6HkAKbFWzgUMhxgZGDiYrjIwKGUqcW5g4Ldd3rcFQn5IXbWKGaiso4 + RmSH + H0MngwLUZMarj4Rn
S8vInf5yfO7mgrMyr9g / Jpa9XVbRdaxH58v1fO3vDCQDkCNv7mFgWMsAwXBHMoEceQ3kSMZbDFDn
ITk1gBnJkeX / GDkRjmyccfus4BKl75HC2cnW1eXrjExNf66uYz + VGLl + snrF7j2EnHQy3JjDKPb9
3fOd9zT0TmofYZC4K8YQ8IkR6JaAT0zIJMjxtWaMmCEMdvwNnI5PYEYJYSTHM5EegqhggYbFhgsJ
9gJXy42PMx9JzYKEcFkcG0MJULYE2ZEGrZwHIMnASwc1GSw4mmH1JCCNQYEF7C7tjasVT + 0 / J3LP
gie59HFL + 5RDIdmZ8rGMEldN5s668eb / tp8vQ + 7OrT9jPj / B7425QIGJI3Pft72dLxav8BefvcGU
7 + kfABxJX + SjAgAA

Şununla kod çöz:

$ base64 -d | gunzip > handshake.cap

Paketin tsharkşifresini çözüp çözmediğini görmek için çalıştırın ARP:

$ tshark -r handshake.cap -o wlan.enable_decryption:TRUE -o wlan.wep_key1:wpa-pwd:password:SSID

Yazdırmalıdır:

  1 0.000000 D-Link_a7: 8e: b4 -> HonHaiPr_22: 09: b0 EAPOL Anahtarı
  2 0.006997 HonHaiPr_22: 09: b0 -> D-Link_a7: 8e: b4 EAPOL Anahtarı
  3 0.038137 HonHaiPr_22: 09: b0 -> D-Link_a7: 8e: b4 EAPOL Anahtarı
  4 0.376050 ZyxelCom_68: 3a: e4 -> HonHaiPr_22: 09: b0 ARP 192.168.1.1 00: a0: c5: 68: 3a: e4'te

EAPOL değişimleri geçici anahtarları yenilemek için de kullanılır. Yeni anahtarlar İstemciye 4/4 gönderdikten sonra ve Kimlik Doğrulayıcıya 4/4 aldığında yüklenir [1]. Wireshark yeniden anahtarlamayı doğru bir şekilde ele alması gerekiyorsa, anahtarları yalnızca çerçevedeki 4/4 paketini okuduktan sonra kullanmalıdır, çünkü yeniden anahtarlama sırasında paketler hala akıyor olabilir (arabellekleme nedeniyle olmamalı olsalar bile)

İlk 4WHS için, 4/4 beklemek mümkün değildir, ancak bunu uygulamak için tembel oldukları kesinlikle anlaşılabilir. Grup anahtarları içerdiğinden 3/4 hala gereklidir (bunlarla ilgilenmiyorsanız bile, ancak AP'den veya 4WHS'sinin hiçbir parçası olmayan bir istemciden ARP isteklerini görmeyeceğinizi bilin) ​​ve yönetim anahtarları. 3/4'ü de atlayabilirsiniz, ancak daha sonra exchange'in başarılı olduğuna dair bir onayınız yoktur, çünkü Authenticator'ın PMK'yı bildiğini doğrulamak için 3/4 kullanılır.

[1] Mevcut şemada, 4/4 mesajı kaybolursa, istek sahibinin yeni anahtarı kullanmaya başladığını ve kimlik doğrulayıcının hala eski anahtarı kullandığını ve eski anahtarla şifrelenmiş 3/4 göndermenin yardımcı olmayacağını unutmayın. . Bu sorun, WPA2'li diğerlerinin yanı sıra, en son 802.11 2012 standardında iki anahtarı paralel tutarak giderilmiştir.

PTK'yı oluşturmak için gerekli tüm bilgiler 1 ve 2 adımlarında değiştirilir. Bu, tek noktaya yayın trafiğinin şifresini çözmek için yeterli olmalıdır.

3. adım olmadan GTK'nız olmaz, bu nedenle çok noktaya yayın / yayının şifresini çözmek mümkün olmaz.

Adım 4, yakalama trafiğinin şifresini çözmek için gerçekten gerekli değildir, ancak 4. adım yoksa, istemci / AP şifreleme kullanmaya başlamaz. Wireshark, verilerin şifresini çözmeye çalışmadan önce bunu kapatabilir.

Açıkçası, WireShark belgeleri yanlış. :-)

Buradaki dokümantasyonun kapatılması :

• EAPOL 1 ve 2'den sonra her iki taraf da trafiğin şifresini çözmek için kullanılacak geçici anahtarı bilir.
• Üçüncü mesaj, her iki tarafın geçici anahtarı bildiğinin kanıtıdır ve Kimlik Kanıtlayıcının (baz istasyonu) geçici anahtarı kullanmaya hazır olduğunu gösterir.
• Dördüncü mesaj, EAPOL'dan önceki PMK'dan EAPOL'de türetilen geçici anahtara geçişi tetikler

Böylece, mantıklı. WireShark'ın hiçbir şey için mesaj 3'e ihtiyacı yoktur. Mesaj 1 ve 2'den sonraki anahtarları bilir, ancak mesaj 4'ü alana kadar trafiğin şifresini çözmek için kullanmaya başlamayı bekler.

Hayatta hiçbir şey, özellikle özgür yazılımın davranışı için hiçbir garanti yoktur, ancak WireShark'ın oturumun şifresini çözmesi için mesaj 3'ün mevcut olması gerekmeyeceği makul bir bahisdir.

Bu nedenini açıklamaz, ancak yine de airdecap-ng belgelerinden alıntı yaparak ,

WPA/WPA2 Requirements

The capture file must contain a valid four-way handshake. For this purpose having (packets 2 and 3) or (packets 3 and 4) will work correctly. In fact, you don't truly need all four handshake packets.