Thomas.will: Die Seite wurde neu angelegt: „= WPA3-Personal: Der SAE-Handshake = WPA3-Personal ersetzt den anfälligsten Teil von WPA2: die Ableitung des Schlüssels direkt aus dem Passwort. An seine St…“

2026-08-15T10:47:45Z

Die Seite wurde neu angelegt: „= WPA3-Personal: Der SAE-Handshake = WPA3-Personal ersetzt den anfälligsten Teil von WPA2: die Ableitung des Schlüssels direkt aus dem Passwort. An seine St…“

Neue Seite

= WPA3-Personal: Der SAE-Handshake =

WPA3-Personal ersetzt den anfälligsten Teil von WPA2: die Ableitung des Schlüssels direkt aus dem Passwort. An seine Stelle tritt '''SAE''' (''Simultaneous Authentication of Equals''), ein passwortauthentisierter Schlüsselaustausch auf Basis des '''Dragonfly'''-Verfahrens (RFC 7664).

== Grundidee ==

Bei WPA2-PSK gilt vereinfacht <code>PMK = PSK</code> — der Schlüssel hängt unmittelbar am Passwort. Der mitgeschnittene 4-Wege-Handshake enthält eine MIC, die sich offline gegen eine Passwortliste nachrechnen lässt: einmal mitschneiden, beliebig oft raten. Ein schwaches Passwort fällt in Sekunden.

SAE dreht genau das um. Das Ziel in einem Satz:

: '''Jeder einzelne Passwortversuch soll einen aktiven Kontakt mit dem AP kosten — es soll nichts geben, das man offline durchrechnen kann.'''

Zusätzlich bringt SAE ''Forward Secrecy'' (alte Mitschnitte bleiben auch bei später bekanntem Passwort geschützt) und beidseitige Authentisierung (auch der AP muss die Kenntnis des Passworts beweisen).

== Begriffe ==

;SAE
:Simultaneous Authentication of Equals — der Handshake von WPA3-Personal. Beide Seiten sind gleichberechtigt und laufen gleichzeitig.
;Dragonfly
:Der zugrunde liegende Schlüsselaustausch (RFC 7664), auf dem SAE aufsetzt.
;PAKE
:Password-Authenticated Key Exchange — Protokollklasse, die aus einem schwachen Geheimnis (Passwort) einen starken Sitzungsschlüssel macht, ohne das Passwort offline angreifbar zu machen.
;PWE
:Password Element — das Passwort, abgebildet auf einen Punkt der elliptischen Kurve. Auf beiden Seiten gleich, weil das Passwort gleich ist.
;Commit
:Erste Nachricht: <code>scalar</code> + <code>Element</code>. Legt die eigenen Zufallswerte fest, ohne sie preiszugeben.
;Confirm
:Zweite Nachricht: ein HMAC über den bisherigen Austausch. Beweist, dass man dasselbe <code>K</code> — und damit dasselbe Passwort — hat.
;K
:Das gemeinsame Geheimnis aus dem Commit-Austausch. Auf beiden Seiten identisch, wird nie übertragen.
;PMK
:Pairwise Master Key — wird bei WPA3 aus <code>K</code> abgeleitet (nicht mehr = Passwort) und speist danach den normalen 4-Wege-Handshake für die Sitzungsschlüssel.
;ECDLP
:Elliptic Curve Discrete Logarithm Problem — die „Einbahnstraße“, die verhindert, aus dem öffentlichen <code>scalar</code> das geheime <code>rand</code> zurückzurechnen.
;H2E
:Hash-to-Element — modernes Verfahren zur PWE-Bildung, das die älteren „hunting and pecking“-Seitenkanäle (Dragonblood) schließt.

== Der Handshake ==

[[Datei:sae-handshake.svg|800px]]

Client (STA) und Access Point kennen beide nur das Passwort — kein Server, keine Zertifikate. Der Ablauf:

# '''PWE bilden''' — beide leiten aus demselben Passwort denselben Punkt <code>PWE</code> auf der Kurve ab.
# '''Commit austauschen''' — jede Seite würfelt zwei geheime Zufallszahlen <code>rand</code> und <code>mask</code>, bildet daraus <code>scalar</code> und <code>Element</code> und schickt beides. Ab hier ist es mitschneidbar.
# '''K berechnen''' — jede Seite kombiniert das empfangene Commit mit dem eigenen <code>rand</code>. Beide landen beim selben Geheimnis <code>K</code>, das nie gesendet wird.
# '''Confirm austauschen''' — aus <code>K</code> wird <code>KCK</code> abgeleitet, damit ein HMAC gebildet und gegenseitig geprüft. Passt er beidseitig, steht der <code>PMK</code>.
# Danach läuft der gewohnte 4-Wege-Handshake und leitet aus dem PMK die Sitzungsschlüssel (PTK) ab.

„Simultaneous“ heißt: Es gibt kein Client-fragt/Server-antwortet. Beide Seiten erzeugen ihr Commit unabhängig und gleichzeitig — das Protokoll ist symmetrisch.

== Berechnungen ==

[[Datei:sae-berechnung.svg|800px]]

Die Abbildung des Passworts auf einen Kurvenpunkt:

:<code>PWE = f(Passwort)</code>

Das Commit — <code>scalar</code> versteckt <code>rand</code> in der Summe, <code>Element</code> versteckt <code>mask</code> auf der Kurve (<code>r</code> ist die Ordnung der Gruppe, ein öffentlicher Parameter):

:<code>scalar = (rand + mask) mod r</code>
:<code>Element = −mask · PWE</code>

Das gemeinsame Geheimnis — jede Seite rechnet mit dem Commit der Gegenseite und dem eigenen <code>rand</code>:

:<code>K = rand · (scalar_peer · PWE + Element_peer)</code>

Setzt man <code>scalar_peer · PWE + Element_peer = rand_peer · PWE</code> ein (das <code>mask</code> hebt sich weg), ergibt sich auf '''beiden''' Seiten dasselbe:

:<code>K = rand_C · rand_A · PWE</code>

Aus <code>K</code> werden schließlich <code>KCK</code> und <code>PMK</code> abgeleitet, und der Confirm beweist beidseitig die Kenntnis des Passworts:

:<code>confirm = HMAC(KCK, transcript)</code>

== Warum kein Offline-Angriff ==

[[Datei:sae-sicherheit.svg|800px]]

Ein Angreifer schneidet den kompletten Handshake mit. In der Hand hat er dann nur die übertragenen Werte: <code>scalar</code>, <code>Element</code> und <code>confirm</code> beider Seiten.

Um ein geratenes Passwort zu prüfen, müsste er <code>confirm</code> nachrechnen — dafür braucht er <code>K</code>, und dafür wiederum das geheime <code>rand</code> der Gegenseite. Das steckt im <code>scalar</code> verborgen und ist durch das ECDLP nicht rückrechenbar. Es gibt also nichts, wogegen sich ein Rateversuch offline testen ließe.

Die einzige Möglichkeit, ein Passwort zu prüfen, ist ein frischer, aktiver SAE-Lauf gegen den echten AP: ein Versuch = ein Handshake. Der AP kann mitzählen, drosseln und sperren. Aus „Milliarden pro Sekunde offline“ wird „einer nach dem anderen, online, beobachtbar“.

{| class="wikitable"
!
! WPA2-PSK
! WPA3-SAE
|-
! PMK
| = PSK (direkt aus dem Passwort)
| aus dem SAE-Austausch abgeleitet
|-
! Im Mitschnitt
| eine gegen Wortliste testbare MIC
| nur scalar/Element/confirm — nichts Testbares
|-
! Passwort raten
| offline, beliebig schnell
| nur online, ein Versuch pro Handshake
|-
! Forward Secrecy
| nein
| ja — frische Zufallswerte je Sitzung
|-
! Rogue-AP
| Client authentisiert AP nicht wirklich
| beidseitiger Beweis — ohne Passwort kein Erfolg
|}

Drei Eigenschaften gewinnt WPA3 damit auf einmal: kein Offline-Wörterbuchangriff, Forward Secrecy pro Sitzung und beidseitige Authentisierung. Alle drei fallen direkt aus der PAKE-Konstruktion.

== Angriffe (Ausblick) ==

SAE selbst ist mathematisch robust; angreifbar wird WPA3 an zwei anderen Stellen, die ein eigenes Kapitel bekommen:

;Transition-Mode-Downgrade
:Läuft ein Netz im WPA2/WPA3-Mischbetrieb, kann ein Angreifer einen Rogue-AP aufstellen, der nur WPA2 anbietet. Der Client fällt zurück — und dann greift der klassische WPA2-Offline-Angriff. Gegenmaßnahme: WPA3-only konfigurieren.
;Dragonblood
:Seitenkanäle (Timing/Cache) beim älteren „hunting and pecking“ der PWE-Bildung, über die sich Teilinformationen über das Passwort abgreifen ließen. Mit Hash-to-Element (H2E) geschlossen.

== Links ==

* RFC 7664 — Dragonfly Key Exchange
* Wi-Fi Alliance — WPA3 Specification
* Vanhoef, Ronen: ''Dragonblood: Analyzing the Dragonfly Handshake of WPA3 and EAP-pwd'' (2019)

[[Kategorie:WLAN]]
[[Kategorie:IT-Sicherheit]]

WPA3 - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= WPA3-Personal: Der SAE-Handshake = WPA3-Personal ersetzt den anfälligsten Teil von WPA2: die Ableitung des Schlüssels direkt aus dem Passwort. An seine St…“