研究者がiOSの個人用ホットスポットパスワードをクラック

iPhoneでPersonal Hotspotを使用してワイヤレスアクセスポイントを設定する場合は、自動生成されたパスフレーズに依存するのではなく、独自のパスフレーズを生成することを忘れないでください。

ドイツのエルランゲン大学のコンピューター科学者チームは、今月発表された「テクニカルレポート」によると、組み込みのパスフレーズジェネレーターによって自動的に作成されたパスワードを1分以内に解読することができました。 紙によると、4枚のかなり強力なグラフィックスカードを備えた強力なセットアップを使用して、パスフレーズを解読する実際の時間はわずか24秒でした。

3GをサポートするiOSデバイスで利用可能な機能であるパー​​ソナルホットスポットにより、ユーザーは他のデバイスが接続するためのWi-Fiアクセスポイントをセットアップできます。 会議中、会議中、または喫茶店にいて、安全なネットワーク上のラップトップでオンラインにする必要があるとしましょう。 WPAパスフレーズでパーソナルホットスポットを有効にして、他のデバイスが接続できるセキュリティで保護されたワイヤレスネットワークを作成できます。 研究者は、自動生成されたパスフレーズをクラックする方法を見つけました。

「最適化を考慮すると、攻撃者が数秒以内に任意のiOSホットスポットユーザーのデフォルトパスワードを明らかにすることが可能であることを示すことができるようになりました」とAndreas Kurtz、Felix Freiling、およびDaniel Metzは彼らの論文で書いています。

研究の意味

科学者は、ワイヤレス対応デバイスがWPA2（Wi-Fi Protected Access 2）ネットワークに正常に接続するたびにネゴシエートされる4方向ハンドシェイクをキャプチャするのに潜在的な攻撃者がかかる時間を考慮しました。 「攻撃者が必要とするのは、WPA2認証ハンドシェイクをキャプチャし、最適化された辞書を使用して事前共有キーを解読することだけです」とKurtz、Freiling、およびMetzは書いています。

iPhoneおよびiPadでホットスポット機能を使用して、モバイルインターネット接続を他のワイヤレス対応デバイスと共有する場合は、注意してください。 パスフレーズの全体的なポイントは、ネットワークの範囲内にいる潜在的な攻撃者をネットワークから保護することです。 ただし、キーを特定できる場合、ホットポストに接続して（そして帯域幅を使い果たし）、ネットワークアクティビティを監視したり、接続されたデバイスとネットワークデータが通過するときにさまざまな中間者攻撃を開始したりできます。 iPhone。

ソフォスのセキュリティ専門家であるPaul Ducklinは、Naked Securityブログで「自宅の固定回線Wi-Fiルーターに選択したパスフレーズと同じくらい重要な、パーソナルホットスポットのパスフレーズの選択」を書いています。

それほどランダムではないパスフレーズ

Appleは4〜6文字の「発音可能な」文字列を生成し、文字列の最後にランダムな4桁の数字を追加してホットスポットパスフレーズを作成する、と研究者は述べています。 研究の過程で生成されたすべての単語は、オープンソースのスクラブルゲームで使用されている単語リストにも含まれていることがわかりました。 研究者は、この単語リストを使用して、考えられるすべてのパスフレーズの組み合わせを循環するために、1枚のグラフィックカードを搭載したラップトップで49分しかかかりませんでした。

パーソナルホットスポットによって生成されたパスワードを約250, 000のインスタンスでカタログ化した後、研究者はAppleがパスフレーズを作成するためのベース文字列として1, 842個の異なる単語のみを使用していると判断しました。 この論文によると、検索できるパスフレーズの組み合わせは1850万未満でした。

「iOSの自動パスフレーズジェネレーターは「発音可能なランダム性」の印象を与えるかもしれませんが、実際にはあまりにも予測しやすいため、誤った安心感を与えます」とDucklinは書いています。

自分のパスフレーズを選ぶ

真にランダムなパスワードは、平均的なユーザーが定期的に対処するのが難しい場合がありますが、Appleがパスフレーズジェネレーターに特殊文字とともに大文字と小文字を入れた場合、結果の文字列はより多くの時間とリソースを必要とします研究者によると、現在生成されているものよりも亀裂が多い。

「iOSのパーソナルホットスポットを使用する場合は、独自のパスフレーズを選択して適切なパスフレーズにします」とDucklin氏は推奨します。

とは言っても、弱いパスフレーズの問題はiOSデバイスだけに限らない、と研究者たちは警告した。 MicrosoftのWindows Phone 8は、デフォルトのパスワードとして8桁の数字を生成します。また、携帯電話会社によっては、一部のAndroidハンドセットでもクラックしやすいパスフレーズを生成する場合があります。

また、Personal Hotspotを使用すると、iPhoneの所有者は実際にネットワークに接続している人数を監視できます。そのため、ランダムな訪問者を実際にメモしておくことをお勧めします。 また、独自のホットスポットを設定するときは、常に独自のパスフレーズを選択し、強力なパスフレーズにします。

研究者は、「suave」、「subbed」、「headed」を含む10の単語を特定しました。これらは、他の文書よりもパスフレーズに選択される可能性が10倍高いとのことです。