TKIP¶

TKIP (Temporal Key Integrity Protocol, протокол временной целостности ключей) — это протокол шифрования, используемый в беспроводных сетях стандарта IEEE 802.11, разработанный как временное решение для устранения уязвимостей протокола WEP (Wired Equivalent Privacy) без замены устаревшего оборудования. TKIP был частью стандарта Wi-Fi Protected Access (WPA), принятого альянсом Wi-Fi Alliance в 2003 году, и впоследствии вытеснен более стойким протоколом AES-CCMP, используемым в WPA2.

¶История

Протокол TKIP был создан в ответ на критические недостатки WEP, который к началу 2000-х годов был взломан за несколько минут с помощью общедоступных инструментов. Основная проблема WEP заключалась в использовании статического ключа и слабого алгоритма шифрования RC4, что позволяло злоумышленникам восстанавливать ключ после перехвата достаточного количества пакетов. В 2002 году группа исследователей, включая Скотта Флауэрса и Дэвида Вагнера, продемонстрировала практические атаки на WEP, что вынудило Wi-Fi Alliance ускорить разработку нового стандарта безопасности.

Поскольку полная замена оборудования (включая чипы и прошивки) требовала времени, TKIP был спроектирован как обратно совместимый протокол, работающий на том же оборудовании, что и WEP. Это позволило обновить программное обеспечение точек доступа и клиентских устройств без замены аппаратной части. TKIP стал обязательным компонентом сертификации WPA, которая была введена в 2003 году. В 2004 году IEEE опубликовал стандарт 802.11i, который включал как TKIP (в качестве временной меры), так и более совершенный протокол CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) на основе AES.

В 2008 году исследователи безопасности, включая Эрика Тьюса и Мартина Бека, обнаружили уязвимости в TKIP, позволяющие расшифровывать отдельные пакеты. В 2009 году была продемонстрирована атака «Beck-Tews», которая позволяла восстановить ключ шифрования за 12–15 минут. В ответ на это Wi-Fi Alliance в 2012 году рекомендовал прекратить использование TKIP в новых устройствах, а в 2014 году стандарт WPA2 полностью вытеснил WPA в сертификации. Начиная с 2018 года, большинство производителей сетевого оборудования прекратили поддержку TKIP в прошивках, хотя некоторые устаревшие устройства по-прежнему используют этот протокол.

¶Устройство и принцип работы

TKIP основан на том же алгоритме шифрования RC4, что и WEP, но включает три ключевых улучшения: механизм смены ключей (per-packet keying), проверку целостности сообщений (MIC) и расширенный вектор инициализации (IV).

¶Генерация ключей

В отличие от WEP, где использовался один статический ключ, TKIP динамически генерирует уникальный ключ для каждого передаваемого пакета. Процесс включает:

• Мастер-ключ (Pairwise Master Key, PMK) — общий секретный ключ, устанавливаемый между точкой доступа и клиентом во время аутентификации (например, через WPA-PSK или 802.1X).
• Временный ключ (Pairwise Transient Key, PTK) — вычисляется из PMK с использованием случайных чисел (nonce) от обеих сторон.
• Ключ пакета — получается путём смешивания PTK с 48-битным вектором инициализации (IV) и MAC-адресом передатчика. Этот ключ уникален для каждого пакета, что предотвращает атаки повторного использования ключей.

¶Проверка целостности сообщений (MIC)

TKIP использует специальный код целостности сообщения, называемый Michael. Это 64-битный хеш, вычисляемый на основе данных пакета и секретного ключа. MIC защищает от атак модификации пакетов (например, вставки ложных данных). Однако Michael имеет ограниченную стойкость: он может быть взломан за 2^64 операций, что считается слабым по современным меркам. Для компенсации этой уязвимости TKIP вводит механизм «счётчика повторных попыток» (TKIP Countermeasures): если в течение одной минуты обнаруживается более двух ошибок MIC, точка доступа блокирует все соединения на 60 секунд, чтобы предотвратить атаки перебора.

¶Вектор инициализации (IV)

TKIP использует 48-битный вектор инициализации (IV), который передаётся в открытом виде в заголовке пакета. В отличие от 24-битного IV в WEP, 48-битный IV позволяет сгенерировать до 2^48 уникальных ключей пакетов, что делает атаки на основе коллизий IV практически невозможными. IV также используется для синхронизации смены ключей между передатчиком и приёмником.

¶Классификация

TKIP может быть классифицирован по нескольким признакам:

¶По типу использования

• TKIP в WPA-Personal (WPA-PSK) — используется предварительный общий ключ (PSK) длиной от 8 до 63 символов. Этот режим распространён в домашних сетях.
• TKIP в WPA-Enterprise — используется сервер аутентификации RADIUS и протокол 802.1X. Применяется в корпоративных сетях.

¶По совместимости

• Чистый TKIP — работает только с устройствами, поддерживающими WPA.
• TKIP+WPA2 (смешанный режим) — некоторые точки доступа поддерживают одновременно TKIP и AES-CCMP для совместимости со старыми клиентами. Этот режим считается менее безопасным, так как TKIP остаётся уязвимым.

¶Применение

TKIP использовался в основном в следующих сценариях:

¶Домашние и малые офисные сети

В период с 2003 по 2010 год TKIP был стандартным протоколом для большинства потребительских маршрутизаторов. Устройства, выпущенные до 2006 года (например, с чипами Broadcom BCM4306), часто не поддерживали AES, поэтому TKIP оставался единственным вариантом.

¶Корпоративные сети

В корпоративных средах TKIP применялся в сочетании с 802.1X и RADIUS для обеспечения аутентификации пользователей. Однако с 2008 года большинство организаций перешли на WPA2 с AES.

¶Устаревшее оборудование

Некоторые устройства, такие как старые принтеры, камеры видеонаблюдения и игровые консоли (например, Nintendo DS, выпущенная в 2004 году), поддерживали только WPA с TKIP. В таких случаях TKIP оставался единственным доступным протоколом.

¶Уязвимости и критика

Несмотря на улучшения по сравнению с WEP, TKIP имеет ряд критических недостатков, которые привели к его отказу:

¶Атака «Beck-Tews» (2008)

Исследователи Эрик Тьюс и Мартин Бек обнаружили, что TKIP уязвим к атаке на основе восстановления ключа. Используя уязвимость в механизме смены ключей, они смогли расшифровать отдельные пакеты за 12–15 минут. Атака требовала перехвата около 100 000 пакетов, что в реальных условиях достигается за несколько часов.

¶Атака «Ohigashi-Morii» (2009)

Японские исследователи Тосихиро Охигаси и Масакату Мории продемонстрировали метод, позволяющий восстановить ключ шифрования за 1 минуту при условии, что злоумышленник может отправлять поддельные пакеты в сеть. Эта атака использовала слабости в генерации ключей пакетов.

¶Атаки на MIC

Код целостности Michael, используемый в TKIP, имеет ограниченную стойкость. В 2009 году была показана возможность подделки MIC для пакетов определённого типа (например, ARP-запросов), что позволяло злоумышленнику внедрять ложные данные в сеть.

¶Отсутствие защиты от атак на основе QoS

TKIP не защищает от атак на основе качества обслуживания (QoS), которые могут нарушить работу сети, отправляя поддельные пакеты с приоритетными метками.

¶Сравнение с другими протоколами

¶Интересные факты

• TKIP был разработан за 6 месяцев группой инженеров из Intersil, Agere Systems и других компаний, работавших под эгидой Wi-Fi Alliance.
• Название «Temporal Key Integrity Protocol» отражает временный характер протокола: он был задуман как «заплатка» до появления полноценного стандарта 802.11i.
• В 2004 году Microsoft выпустила обновление для Windows XP, добавляющее поддержку WPA с TKIP, что способствовало массовому внедрению протокола.
• Некоторые точки доступа, поддерживающие TKIP, автоматически переключаются на WEP при обнаружении клиента, не поддерживающего WPA, что создаёт дополнительную уязвимость.

¶Источники

• IEEE 802.11i-2004 — Amendment 6: Medium Access Control (MAC) Security Enhancements.
• Wi-Fi Alliance. «Wi-Fi Protected Access: Strong, standards-based, interoperable security for today’s Wi-Fi networks» (2003).
• Beck, M., Tews, E. «Practical attacks against WEP and WPA» (2008).
• Ohigashi, T., Morii, M. «A practical attack on WPA» (2009).
• «TKIP: The Temporal Key Integrity Protocol» — Cisco Systems, 2005.
• «Aircrack-ng: WPA/WPA2 cracking» — документация инструмента.