Kann ein Router falsche Passwörter sehen?

Question

Wenn ich mich bei einem WPA/WPA2-WLAN-Netzwerk anmelde (in meinem Fall ein AVM FritzBox-Router) und das falsche WLAN-Passwort eingebe, kann der Router mein falsch eingegebenes Passwort dann „sehen“?

(Ist es bei all den Informationen, die der Router empfängt/sendet, möglich, ein falsch eingegebenes Passwort abzuleiten?)

Und in welchem ​​Teil des 4-Wege-Handshakes ist das WLAN-Passwort beteiligt?

Answer 1

Nein, der AP kann nicht herausfinden, welche Passphrase ein Benutzer falsch eingegeben hat.

Wenn man darüber nachdenkt, wäre es das Einfachste der Welt, Wi-Fi-Passphrasen zu stehlen, wenn es möglich wäre. Der Hacker muss nur seinen eigenen falschen AP einrichten, der denselben Netzwerknamen veröffentlicht, und wenn Leute versuchen, sich anzumelden, kann er ihre „falschen“ Passphrasenversuche stehlen, die wahrscheinlich die „richtigen“ Passphrasen für das echte Netzwerk sind.

Beim 4-Wege-Handshake wird die Passphrase nicht direkt übermittelt. Sie wird nie über Funk gesendet, nicht einmal in verschlüsselter Form. Der Handshake ist so konzipiert, dass er mathematisch nicht funktionieren würde, wenn nicht beide Seiten bereits das richtige Passwort kennen.

1. Bei den ersten beiden Nachrichten senden sich AP (Router) und STA (Client) gegenseitig eine zufällig generierte Nummer, die als „Nonce“ bezeichnet wird.
2. Beide Seiten können diese beiden Nonces zusammen mit der Passphrase und dem Netzwerknamen verwenden, um den Pairwise Temporal Key (PTK) abzuleiten, den sie für diese Sitzung verwenden werden.
3. Für Nachricht 3 verschlüsselt der AP den Group Temporal Key (GTK; der Multicast-/Broadcast-Verschlüsselungsschlüssel) mit dem von ihm abgeleiteten PTK.

Wenn die STA den GTK aus Nachricht 3 nicht entschlüsseln kann, weiß sie, dass sie nicht denselben PTK hat wie der AP. Daher muss eine der folgenden Aussagen zutreffen (in absteigender Reihenfolge der Wahrscheinlichkeit aufgelistet):

1. Die STA hat die Passphrase falsch verstanden.
2. Der AP ist falsch konfiguriert.
3. Die AP ist ein Betrüger.
4. Da liegt irgendwo ein Fehler vor.

Beachten Sie übrigens, dass jeder, der diese beiden Nonces mit einem Sniffer abfängt und die Netzwerkpassphrase bereits kennt, den gesamten von diesem Client während dieser Sitzung gesendeten und empfangenen Datenverkehr entschlüsseln kann (vorausgesetzt, er ist nicht auch auf einer höheren Ebene wie SSL/TLS oder VPN verschlüsselt). Ihr Datenverkehr in einem WPA2-PSK-Netzwerk (WPA2 Personal) ist also nicht besonders sicher, wenn Personen, denen Sie nicht vertrauen, die Passphrase bereits kennen, wie dies in einem öffentlichen/Gast-WLAN-Netzwerk in einem Café, Geschäft, Hotel usw. der Fall sein kann.