Under Defconmässan, som arrangeras i Las Vegas, har säkerhetsforskare släppt två nya verktyg som innebär en stor säkerhetsrisk för många företag. Med verktygen har man möjlighet att dekryptera både PPTP-kryptering, som ofta används för att kryptera vpn-tunnlar, och nätverk som säkras av WPA2-Enterprise. I bägge fallen är det Microsofts krypteringsprotokoll MS-CHAPv2 som är boven i dramat.

MS-CHAPv2 är ett protokoll för autentisering som först introducerades i Windows NT 4.0 SP4. Trots sin ålder används protokollet fortfarande som standard i PPTP-baserade vpn-tunnlar. Det har länge varit känt att protokollet är sårbart för ordlistebaserade brute force-attacker efter att krypteringsexperten Bruce Schneier gjort en analys av protkollet.

Många som använder protokollet tror att det är säkert så länge man väljer ett starkt lösenord, men nu visar det sig att det inte spelar någon roll alls.

– Vi har visat att det inte spelar någon roll alls. Det finns ingenting man kan göra, säger Moxie Marlinspike, som har utvecklat ett av de nya verktygen, till IDG News.

Chapcrack, som verktyget heter, kan använda nätverkstrafik som innehåller en MS-CHAPv2-"handskakning" och reducera den till en enda DES-nyckel (Data Encryption Standard). Nyckeln kan sedan laddas upp till ett kommersiellt, molnbaserat verktyg som syftar till att hacka fram lösenord. Där kan nyckeln dekrypteras på mindre än en dag. Resultatet från molntjänsten kan sedan användas för att dekryptera en hel session som använder sig av MS-CHAPv2, både PPTP- och WPA2-Enterprisesäkrad.

PPTP används i stor utsträckning i små och medelstora företag samt av vpn-leverantörer riktade mot privatkunder. Moxie Marlinspike nämner till exempel IPredator, som grundats Pirate Bays upphovspersoner och marknadsförs som ett sätt att ta sig runt blockering från internetleverantören, men tjänsten har endast stöd för PPTP. Moxie Marlin råder nu alla som använder sig av Microsofts krypteringsprotokoll att byta till en annan lösning, som IPSec eller OpenVPN. Även de som använder MS-CHAPv2-baserad WPA2-Enterprise bör söka en annan lösning.

IDG News