Dragonblood.

Dragonblood wurde im April 2019 von Mathy Vanhoef (KU Leuven) und Eyal Ronen (Universitat Tel Aviv / KU Leuven) veroffentlicht, dem Forscher hinter KRACK. Er zielt auf den von WPA3-Personal verwendeten Simultaneous-Authentication-of-Equals-Handshake (SAE, auch Dragonfly), der WLAN-Passworter immun gegen Offline-Worterbuchangriffe machen sollte.

Das Kernproblem ist die "Hunt-and-Peck"-Ableitung des Passwortelements (PWE). Deren Iterationszahl und Cache-Zugriffsmuster hangen vom Passwort ab, sodass ein naher Angreifer, der wiederholte Handshakes erzwingt, das Timing messen (CVE-2019-9494) oder die Cache-Nutzung beobachten (CVE-2019-9495) und genug Information gewinnen kann, um offline eine Password-Partitioning-Attacke auszufuhren, die den Pre-Shared-Key rekonstruiert. Verwandte Fehler sind ein Reflection-/Denial-of-Service-Problem und fehlende Zustandsvalidierung im SAE-Confirm-Austausch (CVE-2019-9496). Da zudem die meisten Access Points den WPA3-Transition-Modus fahren, kann ein Angreifer einen Rogue-AP betreiben, der nur WPA2 anbietet, ein Downgrade erzwingen und ein klassisches PMKID zum Offline-Cracking abgreifen — womit WPA3 vollstandig ausgehebelt wird.

Die Wi-Fi Alliance und die hostapd/wpa_supplicant-Maintainer schrieben daraufhin die konstant-zeitige Methode Hash-to-Element (H2E) fur die PWE-Ableitung vor, die die passwortabhangige Verzweigung entfernt. Eine spatere Studie zeigte, dass selbst gepatchte Brainpool-Kurven-Implementierungen weiter Timing leaken konnten. Abwehr: H2E erzwingen, Transition-Modus wo moglich deaktivieren, Client- und AP-Firmware patchen und lange Passphrasen mit hoher Entropie nutzen.

flowchart TD
  A[Angreifer nahe WPA3-Netz] --> B{Angriffspfad}
  B -->|Seitenkanal| C[Wiederholte SAE-Handshakes erzwingen]
  C --> D[Timing / Cache der<br/>Hunt-and-Peck-PWE-Ableitung messen]
  D --> E[Offline-Password-Partitioning]
  B -->|Downgrade| F[Rogue-AP bietet nur WPA2]
  F --> G[Client fallt zuruck<br/>WPA3-Transition-Modus]
  G --> H[PMKID abgreifen]
  E --> I[WLAN-Passphrase rekonstruieren]
  H --> I
  I --> J[Fix: Hash-to-Element H2E,<br/>Transition deaktivieren, Firmware patchen]