Wired Equivalent Privacy

Da Wikipedia, l'enciclopedia libera.

In telecomunicazioni e crittografia il Wired Equivalent Privacy (WEP, dall'inglese privacy equivalente alla rete cablata) è parte dello standard IEEE 802.11 (ratificato nel 1999) e in particolare è quella parte dello standard che specifica il protocollo utilizzato per rendere sicure le trasmissioni radio delle reti Wi-Fi. WEP è stato progettato per fornire una sicurezza comparabile a quelle delle normali reti LAN cablate.

Seri difetti sono stati scoperti nella particolare implementazione dell'algoritmo crittografico utilizzato per rendere sicure le comunicazioni. Questo ha reso necessario una revisione del WEP che adesso viene considerato un sottoinsieme del più sicuro standard Wi-Fi Protected Access (WPA) rilasciato nel 2003 e facente parte dell'IEEE 802.11i (conosciuto come WPA2) definito nel giugno del 2004. Il WEP viene ritenuto il minimo indispensabile per impedire a un utente casuale di accedere alla rete locale.

Dettagli[modifica | modifica sorgente]

WEP usa l'algoritmo di cifratura stream RC4 per la sicurezza e utilizza il CRC-32 per verificare l'integrità dei dati. Nello specifico l'RC4 del WEP utilizza due chiavi, a 40 bit e a 104 bit. A queste vengono aggiunti 24 bit per il vettore di inizializzazione (IV, Initialization Vector) quando viene trasmesso in chiaro. L'RC4 è un algoritmo molto veloce e in un contesto di crittazione in tempo reale, come nelle reti senza fili, non è una caratteristica di poco conto.

Difetti[modifica | modifica sorgente]

Cam Winget e altri (2003) segnalarono che il WEP aveva una serie di debolezze. In particolari due erano molto gravi:

  • La prima era che l'utilizzo del WEP era opzionale e quindi moltissimi utilizzatori non lo attivavano esponendo la propria rete locale a qualsiasi utente dotato di una scheda di rete senza fili.
  • La seconda debolezza era legata al fatto che il protocollo non includeva una gestione delle chiavi utilizzate per la codifica dei messaggi. Questo, insieme alla constatazione che le chiavi utilizzabili per cifrare i messaggi erano poche, esponeva il WEP a molte tipologie di attacchi.

Molti attacchi specifici vennero sviluppati per il WEP. Nell'agosto del 2001 venne pubblicato su un newsgroup dedicato alla crittografia una approfondita analisi del WEP che ne evidenziava le insicurezze derivate dalla specifica implementazione dell'RC4 utilizzata dal WEP. Quella analisi dimostrava che era possibile, analizzando il traffico di rete, ottenere in breve tempo (poche ore) la chiave utilizzata per cifrare la rete locale. Non molto tempo dopo apparvero su Internet i primi programmi in grado di forzare il WEP (Airsnort, Wepcrack, ...) e allo stato attuale questi programmi consentono a un utente senza nessuna conoscenza specifica di forzare una rete WEP in pochi minuti. Il WEP ha fallito decisamente il suo obiettivo, infatti la sicurezza di una rete WEP è notevolmente inferiore a quella di un'usuale rete su cavo.

Bibliografia[modifica | modifica sorgente]

  • Nikita Borisov, Ian Goldberg, David Wagner, "Intercepting mobile communications: the insecurity of 802.11." MOBICOM 2001, pp180–189.
  • Nancy Cam-Winget, Russell Housley, David Wagner, Jesse Walker: Security flaws in 802.11 data link protocols. Communications of the ACM 46(5): 35-39 (2003)
  • Scott R. Fluhrer, Itsik Mantin, Adi Shamir, "Weaknesses in the Key Scheduling Algorithm of RC4". Selected Areas in Cryptography 2001: pp1 – 24.

Voci correlate[modifica | modifica sorgente]

Collegamenti esterni[modifica | modifica sorgente]