WPS-Angriff.

Wi-Fi Protected Setup (WPS) sollte den Beitritt zu einem Heimnetz per achtstelliger PIN vereinfachen. Im Dezember 2011 offenbarten Stefan Viehbock und unabhangig Craig Heffner einen fatalen Designfehler, dokumentiert in US-CERT VU#723755 und gefuhrt als CVE-2011-5053. Wenn die Methode des externen Registrars die PIN prufe, validiert der Access Point sie in zwei Halften und sendet ein EAP-NACK, das anzeigt, ob die erste Halfte korrekt war, bevor die zweite gepruft wird. Da die achte Ziffer nur eine Prufsumme der ersten sieben ist, sinkt der Suchraum von 10^8 (100 Millionen) auf 10^4 + 10^3 ≈ 11.000 Versuche.

Werkzeuge wie Reaver (Craig Heffner / Tactical Network Solutions) und Bully (Sofiane Talmat) nutzen dies gegen die meisten Consumer-Access-Points und gewinnen den WPA/WPA2-Pre-Shared-Key in rund 4-10 Stunden. Der verwandte Pixie-Dust-Angriff (Dominique Bongard, 2014) geht weiter und bricht WPS offline in Sekunden auf Routern mit schwacher Nonce-Zufalligkeit im Registrierungsaustausch.

Verteidigung: WPS ganz deaktivieren oder auf den Push-Button-Modus (PBC) beschranken; Hersteller erganzten zudem Versuchslimits und Sperren. Viele billige Router liefern die anfallige externe Registrar-PIN-Methode weiterhin standardmassig aktiviert aus.

flowchart TD
  A[Angreifer in Funkreichweite] --> B[WPS-PIN-Versuch an den Access Point senden]
  B --> C{Erste 4 Ziffern korrekt?}
  C -->|Fruhes EAP-NACK| D[Erste Halfte falsch: nachste von 10^4 testen]
  C -->|Weiter| E{Letzte 3 Ziffern plus Prufsumme korrekt?}
  E -->|EAP-NACK| F[Zweite Halfte falsch: nachste von 10^3 testen]
  E -->|Erfolg| G[AP liefert den WPA/WPA2-Pre-Shared-Key]
  D --> B
  F --> B
  G --> H[Angreifer tritt dem Netz bei]