最新Wi-Fiセキュ規格「WPA3」に脆弱性「Dragonblood」 - 今後さらなる脆弱性が公表予定

「EAP-pwdプロトコル」に関する脆弱性は、発見時期が他脆弱性よりも比較的遅く、影響の大きさなども考慮し、当初の発表で詳細への言及を見送ったが、研究チームは、近く公表する予定であることを明らかにした。

また「EAP-pwd」の脆弱性へ対応する「Dragonslayer」をはじめ、「Dragondrain」「Dragontime」「Dragonforce」といった脆弱性のテストツールを開発し、GitHub上で公開している。

同脆弱性の公表に先立ち、研究者は、CERT/CCと協調して脆弱性をベンダーに通知した。対応デバイスを提供するメーカーからはアップデートの提供が開始されており、Wi-Fi Allianceでは、情報を確認した上で適用するよう、利用者に注意を呼びかけている。

またWi-Fi Allianceでは今回の脆弱性について、プロトコルか実装上の問題であるかは明言を避けた。「WPA3-Personal」の開発は初期段階にあり、脆弱性は少数のデバイスにおける初期実装で発見された問題であり、ソフトウェアの更新で軽減できると説明。

開発ベンダーがセキュリティにおいて考慮すべき事項を確実に理解できるよう、実装ガイダンスを広くアナウンスしていくとしている。

（Security NEXT - 2019/04/12 ）ツイート