WPA_supplicant.conf में WPA-EAP और MSCHAP-v2 के साथ पासवर्ड छिपाएं

Question

मेरा wpa_supplicant.confऐसा दिखता है:

network={
  ssid="Some name"
  scan_ssid=1
  key_mgmt=WPA-EAP
  eap=PEAP
  identity="my-user-id"
  password="(clear text password here)"
  ca_cert="/usr/share/ca-certificates/mozilla/GeoTrust_Global_CA.crt"
  phase2="auth=MSCHAPV2"
}

WPA-EAP और MSCHAP-v2 के इस विशिष्ट संयोजन के साथ, क्या इस कॉन्फ़िगरेशन फ़ाइल में स्पष्ट रूप से मेरे पासवर्ड को शामिल नहीं करने का कोई तरीका है?

ChangeLog का दावा है कि यह संभव है (2005 से!):

* added support for storing EAP user password as NtPasswordHash instead
  of plaintext password when using MSCHAP or MSCHAPv2 for
  authentication (hash:<16-octet hex value>); added nt_password_hash
  tool for hashing password to generate NtPasswordHash

कुछ नोट:

• एक अलग पासवर्ड का उपयोग करना एक विकल्प नहीं है, क्योंकि इस नेटवर्क पर मेरा कोई नियंत्रण नहीं है (यह एक कॉर्पोरेट नेटवर्क है, और एकल उपयोगकर्ता नाम / पासवर्ड का उपयोग सभी सेवाओं तक पहुंचने के लिए किया जाता है, जिसमें वाईफाई से कनेक्ट करना भी शामिल है)।

• डुप्लिकेट के बारे में एक शब्द:

  • 40: उपयोग- wpa-supplicant- बिना-सादा-पाठ-पासवर्ड पूर्व-साझा कुंजी के बारे में है
  • 74500: wpa-supplicant-store-password-as-hash-wpa-eap-with-phase2-dif-pap PAP का उपयोग चरण -2 प्रमाणीकरण (MSCHAP-v2 नहीं) के रूप में करता है।
  • 85757: स्टोर-पासवर्ड-एज़-हैश-इन-वापा-सप्लिकेंट-कॉन्फिस इस प्रश्न के समान है, लेकिन 74500 के डुप्लिकेट के रूप में बंद किया गया था (गलत तरीके से) ; दुर्भाग्य से, कथित डुप्लिकेट दिए गए उत्तर PAP के लिए विशिष्ट हैं, और MSCHAP-v2 मामले पर लागू नहीं होते हैं। 85757 में खुद का दावा है कि यह प्रोटोकॉल की परवाह किए बिना अनिवार्य रूप से असंभव है, लेकिन औचित्य अमान्य है ¹

¹ यह दावा करता है कि हैश पासवर्ड का उपयोग करने का अर्थ है कि हैश पासवर्ड बन गया है। यह तकनीकी रूप से सच है, लेकिन कम से कम हैश एक वाईफाई-केवल पासवर्ड है, जो कई सेवाओं तक पहुंच साझा करने वाले साझा पासवर्ड को लीक करने पर महत्वपूर्ण प्रगति है ।

Answer 1

आप NtPasswordHash(उर्फ एनटीएलएम पासवर्ड हैश) को इस प्रकार उत्पन्न कर सकते हैं :

echo -n plaintext_password_here | iconv -t utf16le | openssl md4

इसे wpa_supplicant.conf फ़ाइल में "हैश:" के साथ उपसर्ग करें, अर्थात

password=hash:6602f435f01b9173889a8d3b9bdcfd0b

MacOS पर iconv कोड है UTF-16LE

echo -n plaintext_password_here | iconv -t UTF-16LE | openssl md4

ध्यान दें कि आपको अधिक सुरक्षा प्राप्त नहीं है। यदि कोई हमलावर हैश के साथ फाइल ढूंढता है, तो वे तुच्छ रूप से नेटवर्क में शामिल हो सकते हैं (उसी तरह जो आपका कंप्यूटर करता है), इसलिए पासवर्ड को हैशेड करने से बिल्कुल भी मदद नहीं मिलती है। यदि पासवर्ड कहीं और उपयोग किया जाता है, तो हमलावर को मूल पासवर्ड खोजने के लिए जानवर बल का उपयोग करना होगा (यानी सबसे अधिक संभावना पासवर्ड की कोशिश करें और उनके हैश की गणना करें जब तक कि उन्हें एक मैच न मिले)। चूंकि आप एक साधारण पीसी पर प्रति सेकंड लगभग 1 बिलियन हैश की गणना कर सकते हैं, इसलिए यह एक बड़ी बाधा नहीं है, और हमलावर हैश किए जाने के बाद से आसानी से पूर्व-निर्मित तालिकाओं का उपयोग कर सकते हैं। NT वास्तव में एक पासवर्ड हैशिंग एल्गोरिथ्म के रूप में भयानक है।

Comments

धन्यवाद! यह आशाजनक लग रहा है, लेकिन यह मेरे लिए काम नहीं कर रहा है; को देख -dwpa_supplicant का पता लगाने, मैं अलग मिलता है EAP-PEAP: Derived Session-Id, EAP-PEAP: Decrypted Phase 2 EAP, MSCHAPV2: auth_challenge - hexdump(len=16):, और MSCHAPV2: password hash - hexdump(len=...)आउटपुट, और अंत में दो संदेश कह रही है EAP-TLV: TLV Result - FailureऔरEAPOL authentication completed - result=FAILURE

— मेहरबान

बस स्पष्ट करने के लिए: मुझे MSCHAPV2: password hash - hexdumpअसफल डिबग ट्रेस में एक पंक्ति मिलती है , जो उत्साहजनक है (गैर-एन्क्रिप्टेड एक के MSCHAPV2: password - hexdump_asciiबजाय एक लाइन है), लेकिन कनेक्शन विफल रहता है

— क्लेमेंट

@ क्लेमेंट बस यह सुनिश्चित करने के लिए कि सही हैश उत्पन्न हो रहा है: आपके सिस्टम पर निष्पादित उपरोक्त कमांड उसी हैश की गणना करता है जैसे कि यह ऑनलाइन कैलकुलेटर , है ना?

— गुइडो

यदि पासवर्ड 14 वर्णों से अधिक लंबा है तो यह काम नहीं करता है।

— tjohnson

@ बहुत सस्ता। हैश से सीधे इनपुट पर वापस जाने का कोई तरीका नहीं है, लेकिन आप बहुत सारे संभावित पासवर्ड आज़मा सकते हैं और जब तक आपको मेल न मिल जाए तब तक उनके हैश की गणना कर सकते हैं। MD4 बहुत तेज़ है, 2 सेकंड में 1 बिलियन 6 साल पुराना GPU ।

— गिल्स एसओ- बुराई को रोकें '31

Answer 2

टर्मिनल खोलें और टाइप करें:

wpa_passphrase YOUR_SSID YOUR_PASSWORD

नमूना उत्पादन:

network={
    ssid="YOUR_SSID"
    #psk="YOUR_PASSWORD"
    psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702
}

wpa_supplicant.confफ़ाइल खोलें और निम्न पंक्ति जोड़ें:

psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702

Comments

एक WPA PSK (जो SSID और पासवर्ड का हैशेड संयोजन है) NTLM हैश / NtPasswordHash (जो केवल पासवर्ड का 16-बिट MD4 हैश है) के समान नहीं है।

— गुइडो

ओपी ने डब्ल्यूपीए-ईएपी के बारे में पूछा, न कि डब्ल्यूपीए-पीएसके।

— गुइडो

क्षमा करें यदि पोस्ट ने यह स्पष्ट नहीं किया है: यह पहली गैर-डुप्लिकेट में समाधान है जिसे मैंने सूचीबद्ध किया है। कॉन्फ़िगरेशन में कोई पूर्व-साझा कुंजी नहीं है, जिसके बारे में मैं पूछ रहा हूं।

— क्लेमेंट

यह विशिष्ट प्रश्न नहीं पूछा जा सकता है, लेकिन इससे मुझे अपनी समस्या हल करने में मदद मिली। धन्यवाद।

— टाइपेलॉजिक