מעבדות המחקר של סייברארק (CyberArk) חשפו אמש (שלישי) מחקר העוסק בסיסמאות של רשתות Wi-Fi בתל אביב - תוצאות המחקר מפתיעות ומטרידות למדי. מתוך 5,000 רשתות Wi-Fi ביתיות אקראיות שנבדקו, 72% מהסיסמאות פוצחו בקלות יחסית ללא שום ידע מקדים על הרשתות.
המחקר מאשש את ההנחה שבדק החוקר עידו הורוויץ, כי רוב רשתות ה-Wi-Fi בישראל, וככל הנראה גם בשאר העולם, מוגנות בסיסמאות לא בטוחות הקלות לניחוש ולפריצה. עקב כך חשופות הרשתות לחדירה על ידי שכנים סקרנים או גרוע מכך - על ידי גורמים עם כוונות זדון.
החוקר ניצל פיצ'ר חסר-שימוש ברשתות וויפיי ביתיות, שמאפשר להסתנן בדרך קלה יחסית, שקטה וחסויה אל הרשת הביתית. מדובר בפיצ'ר שקיים ברוב הנתבים (ראוטרים) בארץ, בהם גם הפופולריים ביותר, סה"כ מעל 50 ספקי תוכנה, חלקם מהגדולים בעולם, פגיעים למתקפה הזו. הפיצ'ר למעשה מאפשר לקבל מאפיין מוצפן (Hash), שאם מצליחים לפצח אותו מקבלים את הסיסמא לרשת.
איסוף ההאשים נעשה תוך כדי הליכה או נסיעה ברחובות תל-אביב, עם לפטופ מחובר לאנטנה, וכך נקלטו אותות שמשודרים באוויר, של אלפי רשתות אשר פגיעות לחולשה. לאחר שליקט 5000 האשים, הוא ניסה לפצח אותם במעבדה, והתוצאה בלתי נתפסת כמעט - 72% מהסיסמאות פוצחו, כאשר מעל 50% היו פשוט מספרי טלפון סלולרי של בעלי רשת הווייפיי הביתית, ועוד 1400 היו אלטרנטיבות חלשות, כלומר, תבניות קבועות של סיסמאות נפוצות.
מה ההשלכות?
החוקרים במעבדות סייברארק פיצחו את הסיסמאות בעזרת שרת במעבדה, אבל לדבריהם כמעט כל אחד יכול לעשות זאת בבית, בעזרת ציוד פשוט וזול. "למעשה, בעידן של עבודה מרחוק, רשתות WIFI ביתיות הן אחת החוליות החלשות ביותר בשרשרת האבטחה כיום, מה שמסכן בסוף את כולם".
"לפריצה כזו יש כמה השלכות", אומר עידו הורוויץ, "החל מפגיעה במהירות רשת ה-WIFI ורוחב פס של המשתמשים הלגיטימיים, דרך פגיעה בפרטיותם, ביצוע מגוון תקיפות זדוניות, כולל פגיעה בארגונים בהם עובדים הקורבנות, ועד לביצוע מעשי פשע תחת שם הקורבן, כולל גלישה לאתרים לא חוקיים, ואפילו פריצה לבנק או לכל ארגון אחר".
כשמדובר ברשתות Wi-Fi של עסקים קטנים, חנויות, בתי קפה וכד' - פריצה כזו מסכנת לא רק אותם אלא גם את הלקוחות שמשתמשים ברשת שלהם. היא פותחת וקטור למערכות ה- billing, מה שמאפשר לגנוב גם פרטי כרטיסי אשראי של לקוחות וכד'.
איך אפשר להתגונן?
- להחליף מהר את סיסמת הווייפיי.
- להגדיר סיסמא חזקה.
- לא לשים סיסמת וויפיי כמספר טלפון.
- אם יש לכם סיסמא מורכבת - 10 תוים, אות גדולה, קטנה ותו מיוחד, אתם יחסית מוגנים מתקיפות כאלה.
- לבטל את ה-WPS - לחצן שיש בראוטר כדי להתחבר מהר עם מספר ספרות, ולשנות שם משתמש וסיסמא לראוטר עצמו.
- לבטל הצפנות חלשות.