Ocultar contraseñas en wpa_supplicant.conf con WPA-EAP y MSCHAP-v2

Mi wpa_supplicant.confaspecto es este:

network={
  ssid="Some name"
  scan_ssid=1
  key_mgmt=WPA-EAP
  eap=PEAP
  identity="my-user-id"
  password="(clear text password here)"
  ca_cert="/usr/share/ca-certificates/mozilla/GeoTrust_Global_CA.crt"
  phase2="auth=MSCHAPV2"
}

Con esta combinación específica de WPA-EAP y MSCHAP-v2, ¿hay alguna manera de no incluir mi contraseña en claro en este archivo de configuración?

ChangeLog parece afirmar que esto es factible (¡desde 2005!):

* added support for storing EAP user password as NtPasswordHash instead
  of plaintext password when using MSCHAP or MSCHAPv2 for
  authentication (hash:<16-octet hex value>); added nt_password_hash
  tool for hashing password to generate NtPasswordHash

Algunas notas:

• Usar una contraseña diferente no es una opción, ya que no tengo control sobre esta red (esta es una red corporativa, y se usa un solo nombre de usuario / contraseña para acceder a todos los servicios, incluida la conexión a Wifi).

• Una palabra sobre duplicados:

  • 40: use-wpa-supplicant-without-plain-text-passwords se trata de claves precompartidas
  • 74500: wpa-supplicant-store-password-as-hash-wpa-eap-with-phase2-auth-pap usa PAP como autenticación de fase 2 (no MSCHAP-v2).
  • 85757: store-password-as-hash-in-wpa-supplicant-conf es muy similar a esta pregunta, pero se cerró (incorrectamente) como un duplicado de 74500 ; desafortunadamente, las respuestas dadas al supuesto duplicado son específicas de PAP y no se aplican al caso MSCHAP-v2. 85757 en sí tiene una respuesta que dice que es esencialmente imposible independientemente del protocolo, pero la justificación es inválida ¹

¹ Esa respuesta afirma que el uso de una contraseña hash significa que el hash se convierte en la contraseña. Esto es técnicamente cierto, pero al menos el hash es una contraseña solo para wifi , que es un progreso significativo sobre la filtración de una contraseña compartida que otorga acceso a múltiples servicios.

Puede generar el NtPasswordHash(también conocido como hash de contraseña NTLM) de la siguiente manera:

echo -n plaintext_password_here | iconv -t utf16le | openssl md4

Prefijo con "hash:" en el archivo wpa_supplicant.conf, es decir

password=hash:6602f435f01b9173889a8d3b9bdcfd0b

En macOS, el código iconv es UTF-16LE

echo -n plaintext_password_here | iconv -t UTF-16LE | openssl md4

Tenga en cuenta que no gana mucha seguridad. Si un atacante encuentra el archivo con el hash, entonces puede unirse trivialmente a la red (de la misma manera que lo hace su computadora), por lo que tener la contraseña en hash no ayuda en absoluto. Si la contraseña se usa en cualquier otro lugar, entonces el atacante tendría que usar la fuerza bruta para encontrar la contraseña original (es decir, pruebe las contraseñas más probables y calcule su hash hasta encontrar una coincidencia). Dado que puede calcular aproximadamente mil millones de hashes por segundo en una PC normal, eso no es un gran obstáculo, y los atacantes pueden usar fácilmente tablas precalculadas ya que el hash no tiene sal. NT es realmente horrible como un algoritmo de hash de contraseña.

Abra la terminal y escriba:

wpa_passphrase YOUR_SSID YOUR_PASSWORD

Salida de muestra:

network={
    ssid="YOUR_SSID"
    #psk="YOUR_PASSWORD"
    psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702
}

Abra el wpa_supplicant.confarchivo y agregue la siguiente línea:

psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702