Ẩn mật khẩu trong wpa_supplicant.conf với WPA-EAP và MSCHAP-v2

Tôi wpa_supplicant.conftrông như thế này:

network={
  ssid="Some name"
  scan_ssid=1
  key_mgmt=WPA-EAP
  eap=PEAP
  identity="my-user-id"
  password="(clear text password here)"
  ca_cert="/usr/share/ca-certificates/mozilla/GeoTrust_Global_CA.crt"
  phase2="auth=MSCHAPV2"
}

Với sự kết hợp cụ thể này của WPA-EAP và MSCHAP-v2, có cách nào để không bao gồm mật khẩu của tôi rõ ràng trong tệp cấu hình này không?

ChangeLog dường như tuyên bố rằng điều này là khả thi (kể từ năm 2005!):

* added support for storing EAP user password as NtPasswordHash instead
  of plaintext password when using MSCHAP or MSCHAPv2 for
  authentication (hash:<16-octet hex value>); added nt_password_hash
  tool for hashing password to generate NtPasswordHash

Một số lưu ý:

• Sử dụng một mật khẩu khác không phải là một tùy chọn, vì tôi không có quyền kiểm soát mạng này (đây là mạng công ty và một tên người dùng / mật khẩu được sử dụng để truy cập tất cả các dịch vụ, bao gồm cả kết nối với Wifi).

• Một từ về trùng lặp:

  • 40: mật khẩu sử dụng-wpa-thay thế-không-đơn giản-văn bản là về các khóa được chia sẻ trước
  • 74500: wpa-augicant-store-password-as-hash-wpa-eap-with-phase2-auth-pap sử dụng PAP làm xác thực giai đoạn 2 (không phải MSCHAP-v2).
  • 85757: store-password-as-hash-in-wpa-augicant-conf rất giống với câu hỏi này, nhưng đã bị (không chính xác) đóng như một bản sao của 74500 ; thật không may, các câu trả lời được đưa ra cho bản sao có mục đích cụ thể là PAP và không áp dụng cho trường hợp MSCHAP-v2. Bản thân 8557 đã có câu trả lời cho rằng về cơ bản là không thể, bất kể giao thức là gì, nhưng sự biện minh là không hợp lệ ¹

¹ Anser tuyên bố rằng sử dụng mật khẩu băm có nghĩa là băm trở thành mật khẩu. Điều này đúng về mặt kỹ thuật, nhưng ít nhất hàm băm là mật khẩu chỉ có wifi , đây là tiến bộ đáng kể trong việc rò rỉ mật khẩu chia sẻ cấp quyền truy cập vào nhiều dịch vụ.

Bạn có thể tự tạo NtPasswordHash(hay còn gọi là băm mật khẩu NTLM) như sau:

echo -n plaintext_password_here | iconv -t utf16le | openssl md4

Tiền tố nó với "hash:" trong tệp wpa_supplicant.conf, tức là

password=hash:6602f435f01b9173889a8d3b9bdcfd0b

Trên macOS, mã iconv là UTF-16LE

echo -n plaintext_password_here | iconv -t UTF-16LE | openssl md4

Lưu ý rằng bạn không đạt được nhiều bảo mật. Nếu kẻ tấn công tìm thấy tệp có hàm băm, thì chúng có thể tham gia mạng một cách tầm thường (giống như máy tính của bạn), do đó, việc băm mật khẩu không giúp ích gì cả. Nếu mật khẩu được sử dụng ở bất kỳ nơi nào khác, thì kẻ tấn công sẽ phải sử dụng vũ lực để tìm mật khẩu ban đầu (tức là thử mật khẩu có khả năng nhất và tính toán hàm băm của chúng cho đến khi tìm thấy kết quả khớp). Vì bạn có thể tính toán khoảng 1 tỷ băm mỗi giây trên một PC thông thường, đó không phải là một trở ngại lớn và những kẻ tấn công có thể dễ dàng sử dụng các bảng được tính toán trước vì hàm băm không được mã hóa. NT thực sự khủng khiếp như một thuật toán băm mật khẩu.

Mở terminal và gõ:

wpa_passphrase YOUR_SSID YOUR_PASSWORD

Đầu ra mẫu:

network={
    ssid="YOUR_SSID"
    #psk="YOUR_PASSWORD"
    psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702
}

Mở wpa_supplicant.conftệp và thêm dòng sau:

psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702