Protocolo de integridad de clave temporal

TKIP es vulnerable a un ataque de recuperación de clave MIC que, de ejecutarse con éxito, permite a un atacante transmitir y descifrar paquetes arbitrarios en la red atacada. ^{[ 7 ]} Los ataques específicos de TKIP disponibles públicamente actualmente no revelan la clave maestra de pares ni las claves temporales de pares. El 8 de noviembre de 2008, Martin Beck y Erik Tews publicaron un documento que detalla cómo recuperar la clave MIC y transmitir algunos paquetes. ^{[ 8 ]} Este ataque fue mejorado por Mathy Vanhoef y Frank Piessens en 2013, donde aumentaron la cantidad de paquetes que un atacante puede transmitir y mostraron cómo un atacante también puede descifrar paquetes arbitrarios. ^{[ 7 ]}

La base del ataque es una extensión del ataque chop-chop de WEP . Dado que WEP utiliza un mecanismo de suma de verificación criptográficamente inseguro ( CRC-32 ), un atacante puede adivinar bytes individuales de un paquete, y el punto de acceso inalámbrico confirmará o negará si la suposición es correcta. Si la suposición es correcta, el atacante podrá detectarla y continuar adivinando otros bytes del paquete. Sin embargo, a diferencia del ataque chop-chop contra una red WEP, el atacante debe esperar al menos 60 segundos después de una suposición incorrecta (una elusión exitosa del mecanismo CRC-32) antes de continuar el ataque. Esto se debe a que, si bien TKIP continúa utilizando el mecanismo de suma de verificación CRC-32, implementa un código MIC adicional llamado Michael. Si se reciben dos códigos MIC Michael incorrectos en 60 segundos, el punto de acceso implementará contramedidas, lo que significa que volverá a generar la clave de sesión TKIP , modificando así las secuencias de claves futuras. En consecuencia, los ataques a TKIP esperarán un tiempo apropiado para evitar estas contramedidas. Dado que los paquetes ARP se identifican fácilmente por su tamaño, y la gran mayoría del contenido de este paquete sería conocido por un atacante, la cantidad de bytes que un atacante debe adivinar usando el método anterior es bastante pequeña (aproximadamente 14 bytes). Beck y Tews estiman que la recuperación de 12 bytes es posible en unos 12 minutos en una red típica, lo que permitiría a un atacante transmitir de 3 a 7 paquetes de como máximo 28 bytes. ^{[ 8 ]} Vanhoef y Piessens mejoraron esta técnica basándose en la fragmentación , lo que permite a un atacante transmitir arbitrariamente muchos paquetes, cada uno de como máximo 112 bytes de tamaño. ^{[ 7 ]} Los ataques de Vanhoef-Piessens también se pueden usar para descifrar paquetes arbitrarios elegidos por el atacante.

Un atacante ya tiene acceso al paquete cifrado completo. Al recuperar el texto plano completo del mismo paquete, obtiene acceso a la secuencia de claves y al código MIC de la sesión. Con esta información, puede construir un nuevo paquete y transmitirlo por la red. Para eludir la protección contra repetición implementada por WPA, los ataques utilizan canales QoS para transmitir estos paquetes recién creados. Un atacante capaz de transmitir estos paquetes puede llevar a cabo diversos ataques, como ataques de envenenamiento ARP , denegación de servicio y otros similares, sin necesidad de estar conectado a la red.

Un grupo de investigadores de seguridad del Information Security Group de Royal Holloway, Universidad de Londres, informó sobre un ataque teórico a TKIP que explota el mecanismo de cifrado RC4 subyacente . TKIP utiliza una estructura de clave similar a WEP, donde el valor bajo de 16 bits de un contador de secuencia (utilizado para prevenir ataques de repetición) se expande al "IV" de 24 bits, y este contador de secuencia se incrementa siempre con cada nuevo paquete. Un atacante puede utilizar esta estructura de clave para mejorar los ataques existentes a RC4. En particular, si los mismos datos se cifran varias veces, un atacante puede obtener esta información con solo 2²⁴ ^conexiones . ^{[ 9 ] [ 10 ] [ 11 ]} Si bien afirman que este ataque está a punto de ser práctico, solo se realizaron simulaciones y el ataque no se ha demostrado en la práctica.

En 2015, investigadores de seguridad de la KU Leuven presentaron nuevos ataques contra RC4 en TLS y WPA-TKIP. Denominado ataque NOMORE (Numerous Occurrence MOnitoring & Recovery Exploit), fue el primer ataque de este tipo que se demostró en la práctica. El ataque contra WPA-TKIP puede completarse en una hora y permite al atacante descifrar e inyectar paquetes arbitrarios. ^{[ 12 ]}