蘋果裝置被曝存在PEAP認證漏洞研究人員對官方修復方案存疑

研究人員發現蘋果裝置在PEAP認證上存在缺陷，攻擊者可強迫蘋果裝置接入惡意熱點。研究人員稱，即使身份驗證伺服器（RADIUS）也不能證明密碼的真實性，該錯誤依然允許攻擊者強制任何Apple裝置（iOS，macOS或tvOS）與惡意接入點關聯。

初遇CVE-2019-6203

報告撰寫者dominic稱，去年我們在準備Defcon的演講時，邁克爾（另一位研究人員）和我正嘗試實施hostapd-wpe的EAP攻擊試驗。在此次攻擊中，身份驗證伺服器將接受任何使用者名稱，之後的動作並非將證明密碼內容返回到工作站的步驟（因為它不知道密碼），而是將EAP成功訊息傳送回工作站。

“對於邁克爾的執著，我拒絕了很長一段時間。因為我覺得這種攻擊方案不會奏效。因為在MSCHAPv2中，驗證伺服器實際上證明了密碼內容回到決策端的過程，即使不能，我認為決策段也會拒絕繼續執行，畢竟這就是保障安全的重點。”

令dominic出乎意料的是，在唯一的一次測試中hostapd-wpe的EAP攻擊試驗竟然成功了，幾乎全部接受實驗的Apple裝置（iPad，iPhone，MacBook）都成功連線到惡意接入點。由於WPE是由Brad Antoniewicz編寫的，我只得向他詢問問題所在：

蘋果裝置被曝存在PEAP認證漏洞研究人員對官方修復方案存疑

在這之後，dominic針對此次發現進行了大量研究，並在4月份嘗試進行了CVE-2019-6203漏洞攻擊的再現實驗。

復現Apple漏洞

復現攻擊的第一步，是找出漏洞的所在之處。通常來說，PEAP-MSCHAP v2的認證過程分為兩個階段：

1、驗證伺服器身份和建立TLS隧道。服務端將向客戶端傳送服務端的證書資訊，通過後建立TLS隧道保護傳輸的資料。

2、在TLS隧道內通過MSCHAP v2進行雙向認證。

在Frame 4、Frame 5中，驗證者和客戶端的Response都是通過雙方的Challenge + passwordHash + Username計算得出的，併發向對方進行身份驗證。

那麼，如何復現Apple漏洞攻擊呢？

蘋果裝置被曝存在PEAP認證漏洞研究人員對官方修復方案存疑

2008年，安全研究員Joshua Wright編寫了一個名為FreeRADIUS 的補丁。Wright的WPE攻擊試驗同樣使用了繞過PEAP-MSCHAP v2的方式，最終，它可以通過建立虛假PEAP-MSCHAPv2熱點得到個人使用者請求，並在第二階段獲取Challenge、NTResponse 和 Username。

“與之類似的原理，同樣可以應用在此次研究中。”dominic稱，我用同樣的方式復現了PEAP認證上的漏洞攻擊CVE-2019-6203。

具體方法如下：

安裝：

hostapd-wpehttps://github.com/OpenSecurityResearch/hostapd-wpe/blob/master/hostapd-wpe.patch 這是在Kali中使用“apt-get install hostapd-wpe”完成的，以下假定該方法。

使用-e開關執行它以啟用“EAP Success”

https://github.com/OpenSecurityResearch/hostapd-wpe/blob/master/README#L135

在iOS裝置上，在Wifi下，連線到“hostapd-wpe”網路。選擇信任證書。可以使用任何憑據。

裝置將連線，執行dnsmasq以分發DHCP將顯示裝置獲取IP。

使用以下示例配置嘗試使用wpa_supplicant進行相同的客戶端連線將不起作用：

network = {

ssid =“hostapd-

wpe ” key_mgmt = WPA-EAP

eap = PEAP

phase2 =“auth = MSCHAPV2”

identity =“test”

password =“password”

ca_cert =“/ etc / hostapd-wpe / certs / ca.pem “

}

如此一來，將看到請求者將拒絕最終的訊息驗證者並斷開連線。

修復問題及解決方案

復現試驗中，未打補丁的Apple裝置跳過傳送驗證器響應並且僅按照第7幀傳送MSCHAPv2成功幀。這導致易受攻擊的Apple裝置輕鬆在其狀態機制中跳過。隨後它會傳送一個PEAP響應——hostapd-wpe向其傳送EAP-Success。

dominic稱，這意味著如果Apple裝置連線到未知使用者密碼的惡意AP，它不僅會獲得NetNTLMv1質詢響應，裝置也將連線到網路。由於EAP的網路通常是企業網路，Apple裝置會認為它與之相關（沒有使用者互動），此時也可以進行響應式攻擊。

該缺陷影響2019年3月25日前的iOS、macOS、tvOS版本，包含MacBook、iPhone、iPad、Apple TV等多種蘋果裝置。但令dominic感到困惑的是，已修補的裝置在PEAP，MSCHAPv2和WPA2級別上表現出完全相同的行為，即裝置仍然連線到網路，在某些情況下甚至會請求DHCP。這是一個例子：

蘋果裝置被曝存在PEAP認證漏洞研究人員對官方修復方案存疑