全Wi-Fi機器に影響、脆弱性「FragAttack」悪用した攻撃手法とは？

送出パケットを分割する「Frame Fragmentation」の2つの欠陥

　前回の「Frame Aggregation」に続いて、今回は「Frame Fragmentation」について。

　こちらには2つの欠陥があり、それを悪用しての攻撃が可能だ。このうち1つ目は仕様上の欠陥である。IEEE 802.11では、1つのパケットが複数のFrameへFragmentされる際に、その全てのFrameが同一の鍵で復号化できることを要求していない。つまり、異なる鍵で暗号化されたFrameが混在していても、それを受信側は受け入れてしまう。これが1つ目の欠陥だ。

　2つ目は、暗号化されたFragmentがいつ機器のメモリ（Fragment Cache）から削除されるかに関する規定がないことだ。その結果、例えば暗号化のキーが途中で変更された場合でも、Fragment Cacheの中身がそのまま残るという問題がある。

　例えば、Fragment Cacheに不正なFragmentを外部から注入することで、被害者は（自身では意図せずに）不正なFragmentを注入されたパケットを生成したり、あるいは逆に復元したFragmentを流出させてしまうわけだ。

　2番目については、筋で言えば実装上の問題という話でもあるが、広義にはやはり仕様上の欠陥としていいかと思う。そして、この2つの欠陥は、それぞれ独立して攻撃の対象となり得る。

11axではFragment Frameが送出される機会が増加

　1つ目の欠陥について話す上での前提として、WEP、CCMP（Counter mode with CBC-MAC Protocol）、GCMP（Galois/Counter Mode Protocol）のそれぞれに対して有効な混合鍵攻撃を考えてみよう。CCMPはWPA2、GCMPはWPA3でそれぞれ追加された暗号プロトコルだ。

　この攻撃では、ネットワーク内の1つ以上のデバイスがFragment Frameを送信する必要がある。そもそもFragment Frameが生成されるのは、データサイズがMTUを超えてしまう場合だから（このためFragmentの閾値はMTUと通常は一致している）、干渉などのない環境では実はそう頻度が多くない。

　ただ、干渉やノイズが多い環境ではFragmentの利用が推奨され、さらにIEEE 802.11axではDynamic Fragmentationが採用されている。

　その理由に、従来のFragmentation（Static Fragmentation）では、最後のFragmentを除く全てのFragmentが一定のサイズとなる仕組みだったことがある。例えば、データのサイズが100Bytes、Fragmentの閾値が30であれば、Fragmentのサイズは30/30/30/10となる。ところが、Dynamic Fragmentの場合、30Bytes溜まるまで待たなくても送信できる機会があれば、積極的に送信してしまうことが可能となっている。

　その結果、例えば25/30/20/25といった送り方が許されるようになったわけだ。仕様では、これをサポートによって、オーバーヘッドを削減できるとしていた。こうなると、従来と比べてFragment Frameが送出される機会は非常に多くなる。山奥の一軒家などであればともかく、通常の住宅地やオフィス街などであれば、Fragment Frameが利用される機会はかなり多いと考えざるを得ない。

Frameの断片をつなぎ合わせてパケットを偽造

　さて、混合鍵攻撃を行うためには、機器のSession Keyを定期的に更新し、被害者をだまして悪意を持った（攻撃者が管理している）サーバーへパケットを送信する必要がある。昨今では、デフォルトのSession Keyを定期的に更新する環境はあまりないが、Mathy Vanhoef氏とFrank Piessens氏が2017年に公開した"Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2"という論文において、WPA2環境でSession Keyを頻繁に更新させる手法が議論されており、これが利用できるとしている。

　実際の攻撃手法の骨子は、異なるキーで暗号化されたFrameの断片をつなぎ合わせてパケットを偽造することである。Fragmentでは本来、パケット番号が連続しているはずだ。ただし、Vanhoef氏によれば、この番号が連続しているかを実際に確認している実装はそれほど多くなかったらしい。ただ、一応パケット番号が連続するかたちで偽造を行うようにした（ので、仕様に完全に沿った実装でも今回の脆弱性は内包している）とのことだ。

　その攻撃の手順が以下となる。ここでは、脆弱性を持つアクセスポイントを利用し、Clientから送信されたデータを流出させるという流れだ。

ある意味、気の長い攻撃ではあるが、通信の頻度を考えると、実際の時間としてはそれほど長くはかからずに成立しそうだ。出典は"Fragment and Forge: Breaking Wi-Fi Through Frame Aggregation and Fragmentation"（PDF）

同様の攻撃を繰り返してIDとパスワードを入手

　これが上手く行った場合の例が以下だ。1つ目のパケットは、例えば3.5.1.1に対して「image.png」を取得するという単純な（これだけ見ると害のない）もので、2つ目のパケットはSecureなログインを行うものとなる。

このように上手くFragmentされるかどうか運次第という面はある。出典は"Fragment and Forge: Breaking Wi-Fi Through Frame Aggregation and Fragmentation"（PDF）

　この2つを、Mixed Key Attackによって混ぜることで、3.5.1.1という（Attackerが用意した、悪意のある）ウェブサーバーは、ユーザー名とパスワードを無事入手することができる。

　もちろん、この例だと、本来ログインすべきウェブサーバーのアドレスである39.15.69.7は分からないが、この1つのパケットだけで全ての情報を引き出す必要はなく、同じような攻撃を繰り返すことで、大量のSecureな情報がAttackerのウェブサーバーへ蓄積されていくわけだ。