보안: WEP에서 WPA3까지

짧은 역사

WEP의 교훈은 두 가지였다. 모두가 같은 키를 오래 쓰면 안 되고, 암호화와 별개로 변조를 확인하는 장치가 필요하다는 것. WPA2는 연결마다 새 키를 만들고(4-way 핸드셰이크), 프레임마다 무결성 검사값(MIC)과 되풀이 방지 번호(PN)를 붙인다.

열쇠 사슬: 비밀번호 → PMK → PTK

WPA2-Personal에서 비밀번호는 그대로 쓰이지 않는다. 세 단계를 거친다.

1. PMK(Pairwise Master Key, 32바이트) = PBKDF2-HMAC-SHA1(비밀번호, SSID, 4096회). SSID를 소금(salt)으로 섞어 같은 비밀번호라도 네트워크마다 다른 PMK가 나오고, 4096번 되풀이해 계산을 일부러 무겁게 했다. 같은 비밀번호를 아는 기기는 모두 같은 PMK를 갖는다.
2. PTK(Pairwise Transient Key) = PRF(PMK, “Pairwise key expansion”, 두 MAC 주소 + 두 난수). 연결할 때마다 AP와 단말이 새 난수(ANonce, SNonce)를 내므로 PTK는 연결마다, 단말마다 다르다. PTK는 셋으로 나뉜다: 메시지 무결성을 확인하는 KCK, 그룹 키를 감싸 보내는 KEK, 실제 데이터를 암호화하는 TK.
3. GTK(Group Temporal Key): 방송·멀티캐스트 프레임용 키. AP가 정해 KEK로 감싸 각 단말에 나눠 준다.

PMK: hostapd src/crypto/sha1-pbkdf2.c pbkdf2_sha1(passphrase, ssid, 4096, 32), 시험 벡터 src/crypto/crypto_module_tests.c의 passphrase_tests · PTK: src/common/wpa_common.c의 wpa_pmk_to_ptk()(주석: 802.11i-2004 8.5.1.2) · PRF: src/crypto/sha1-prf.c의 sha1_prf()(라벨 + 0x00 + 데이터 + 1바이트 카운터), 시험 벡터 prf0~prf2

4-way 핸드셰이크

연결 직후 AP와 단말은 EAPOL-Key 프레임 네 개를 주고받는다. 목적은 셋이다. 서로 같은 PMK를 가졌음을 PMK를 보내지 않고 증명하기, 이번 연결의 PTK를 만들기, GTK를 안전하게 건네기.

여기에 WPA2-Personal의 구조적 한계가 있다. 같은 비밀번호를 아는 사람은 모두 같은 PMK를 가지므로, 원리상 남의 핸드셰이크를 지켜본 사람이 그 연결의 PTK를 다시 계산할 수 있다. 그리고 비밀번호가 짧거나 흔하면 PMK를 지키는 4096번의 계산만으로는 충분하지 않다. 그래서 WPA2-Personal에서는 길고 예측하기 어려운 비밀번호(무작위 단어 여러 개 등)가 사실상 유일한 방어선이고, 근본적인 해결은 WPA3-SAE다.

프레임 암호화: CCMP

PTK의 TK로 데이터 프레임 몸통을 AES로 암호화한다(CCMP). 7장의 해부 도구에서 Protected 비트를 켰을 때 본 구조다.

• CCMP 머리말 8바이트: 48비트 패킷 번호(PN)와 키 번호. PN은 프레임마다 1씩 늘고, 받는 쪽은 이미 본 번호 이하의 프레임을 버린다. 녹화해 둔 프레임을 다시 틀어 주는 재전송 공격을 막는다.
• MIC 8바이트: 몸통과 머리말의 주요 칸(주소 등)까지 덮는 무결성 검사값. 한 비트라도 바뀌면 버린다.
• MAC 머리말 자체는 암호화하지 않는다. 주소·Frame Control은 누구나 볼 수 있지만 MIC가 보호한다.

2017년 공개된 KRACK은 이 PN과 키 설치 순서의 허점(같은 키를 다시 설치하면 PN이 처음으로 돌아가는 문제)을 노렸고, 표준 해석 보완과 소프트웨어 업데이트로 고쳐졌다. 오래된 기기를 업데이트해야 하는 이유 중 하나다.

CCMP 머리말·MIC 길이: Linux include/linux/ieee80211.h의 IEEE80211_CCMP_HDR_LEN = 8, IEEE80211_CCMP_MIC_LEN = 8, 256비트 변형 IEEE80211_CCMP_256_MIC_LEN = 16

WPA3: SAE, PMF, 그리고 OWE

SAE(Simultaneous Authentication of Equals)는 9장에서 본 인증 프레임 네 개(Commit 둘, Confirm 둘)로 비밀번호를 증명하면서 동시에 새 비밀 값을 합의하는 방식이다(Dragonfly 키 교환, 타원곡선 위 계산). 달라지는 점은 셋이다.

• 엿들은 내용으로는 비밀번호를 검증할 수 없다. 비밀번호를 하나 맞혀 보려면 AP와 실제로 한 번씩 주고받아야 하고, AP는 그 횟수를 제한할 수 있다. 짧은 비밀번호의 위험이 크게 준다.
• 연결마다 PMK가 다르다. 같은 비밀번호를 아는 이웃도 내 연결을 풀 수 없고, 나중에 비밀번호가 새도 지난 통신은 안전하다(전방 비밀성).
• PMF가 필수다.

PMF(Protected Management Frames, 802.11w)는 연결 해제(Deauth·Disassoc)와 일부 액션 프레임에 무결성 보호를 씌운다. PMF가 없으면 이런 관리 프레임은 누가 보냈는지 확인할 수 없어서, 가짜 “연결 끊기” 프레임 하나로 단말을 떨어뜨릴 수 있었다. PMF가 켜진 연결에서는 보호되지 않은 연결 해제 프레임을 무시한다. 7장 비컨의 RSN 요소에 “관리 프레임 보호 필수”로 보인 비트가 이것이다.

OWE(Opportunistic Wireless Encryption, 상품명 Enhanced Open)는 비밀번호 없는 공개 와이파이를 위한 것이다. 연결할 때 Diffie-Hellman으로 단말마다 다른 키를 합의해, 옆 손님이 내 통신을 엿볼 수 없게 한다. 다만 상대가 진짜 그 카페 AP인지는 확인하지 않는다(신원 확인 없음).

어떻게 설정할까

보안 설정은 “가장 강한 것”보다 “내 기기들이 모두 붙으면서 가장 강한 것”을 고르는 일이다. 오래된 IoT 기기가 WPA3를 모르면 전환 모드(WPA2/WPA3 혼합)를 쓰는데, 이때는 WPA3를 아는 기기만 SAE로 붙고 나머지는 WPA2로 붙는다. 같은 비밀번호를 두 방식이 함께 쓰므로 비밀번호는 여전히 길어야 한다.

설정 항목: hostapd hostapd.conf의 wpa_key_mgmt(WPA-PSK, SAE, WPA-EAP, OWE), ieee80211w(0 끔 / 1 선택 / 2 필수), sae_require_mfp, transition_disable