Dragonblood.

Dragonblood は 2019 年 4 月に、KRACK を発見した Mathy Vanhoef(KU Leuven)と Eyal Ronen(テルアビブ大学 / KU Leuven)により公表されました。WPA3-Personal で用いられ、Wi-Fi パスワードをオフライン辞書攻撃に対して安全にするはずだった Simultaneous Authentication of Equals(SAE、別名 Dragonfly)ハンドシェイクを標的とします。

中核の問題は「hunt-and-peck」によるパスワード要素(PWE)導出です。その反復回数とキャッシュアクセスパターンがパスワードに依存するため、ハンドシェイクを繰り返し強制できる近傍の攻撃者はタイミングを計測(CVE-2019-9494)またはキャッシュ利用を観測(CVE-2019-9495)し、事前共有鍵を復元するオフラインのパスワード分割攻撃に十分な情報を得られます。関連する不具合には、リフレクション/サービス拒否の問題や、SAE の confirm 交換における状態検証の欠如(CVE-2019-9496)があります。さらに大半のアクセスポイントは WPA3 トランジションモードで稼働するため、攻撃者は WPA2 のみを提供する不正 AP を立ててダウングレードを強制し、従来型 PMKID を取得してオフラインで解読でき、WPA3 を完全に無効化できます。

Wi-Fi Alliance と hostapd/wpa_supplicant の保守者は対応として、パスワード依存の分岐を排除する定時間法 Hash-to-Element(H2E) を PWE 導出に必須化しました。後続研究では、修正済みの Brainpool 曲線実装でもタイミングが漏れうることが示されました。防御策は、H2E の必須化、可能な場合のトランジションモード無効化、クライアントと AP のファームウェア更新、そして長く高エントロピーなパスフレーズの使用です。

flowchart TD
  A[WPA3 ネット近傍の攻撃者] --> B{攻撃経路}
  B -->|サイドチャネル| C[SAE ハンドシェイクを反復強制]
  C --> D[hunt-and-peck PWE 導出の<br/>タイミング / キャッシュを計測]
  D --> E[オフライン・パスワード分割]
  B -->|ダウングレード| F[不正 AP が WPA2 のみ提供]
  F --> G[クライアントが後退<br/>WPA3 トランジションモード]
  G --> H[PMKID を取得]
  E --> I[Wi-Fi パスフレーズを復元]
  H --> I
  I --> J[対策: Hash-to-Element H2E,<br/>トランジション無効化, FW 更新]