Dragonblood 漏洞.

Dragonblood 由 KRACK 的发现者 Mathy Vanhoef(鲁汶大学)与 Eyal Ronen(特拉维夫大学 / 鲁汶大学)于 2019 年 4 月公布。它针对 WPA3-Personal 所用的 Simultaneous Authentication of Equals(SAE,亦称 Dragonfly)握手——该握手本应使 Wi-Fi 密码免于离线字典攻击。

核心问题在于"hunt-and-peck"式的密码元素(PWE)派生。其循环迭代次数与缓存访问模式取决于密码,因此能够反复触发握手的近距离攻击者可测量时序(CVE-2019-9494)或观察缓存使用(CVE-2019-9495),泄露足够信息以离线执行密码分区攻击,进而恢复预共享密钥。相关缺陷还包括反射/拒绝服务问题,以及 SAE confirm 交换中缺失的状态校验(CVE-2019-9496)。此外,由于大多数接入点运行 WPA3 过渡模式,攻击者可架设仅提供 WPA2 的伪造 AP 强制降级,捕获经典 PMKID 以离线破解,从而彻底绕过 WPA3。

Wi-Fi 联盟与 hostapd/wpa_supplicant 维护者随后强制在 PWE 派生中采用恒定时间的 Hash-to-Element(H2E) 方法,消除依赖密码的分支。后续研究表明,即便打过补丁的 Brainpool 曲线实现仍可能泄露时序。防御措施:强制启用 H2E、在可能时禁用过渡模式、更新客户端与 AP 固件,并使用长且高熵的口令。

flowchart TD
  A[WPA3 网络附近的攻击者] --> B{攻击路径}
  B -->|侧信道| C[反复强制 SAE 握手]
  C --> D[测量 hunt-and-peck PWE 派生的<br/>时序 / 缓存]
  D --> E[离线密码分区]
  B -->|降级| F[伪造 AP 仅提供 WPA2]
  F --> G[客户端回退<br/>WPA3 过渡模式]
  G --> H[捕获 PMKID]
  E --> I[恢复 Wi-Fi 口令]
  H --> I
  I --> J[修复: Hash-to-Element H2E,<br/>禁用过渡模式, 更新固件]