WEP, medan de är avsedda att säkra trådlösa nätverk, lider av flera kritiska brister som gjorde det osäkert nästan från början. Dessa brister härrör från dåliga designval och implementeringssvagheter:
* Svag initialiseringsvektor (IV): WEP använder en kort IV (24 bitar i sin vanligaste form), som upprepade gånger används med samma krypteringsnyckel. Eftersom det bara finns 2
24
Möjliga IV, de upprepar snabbt. Detta gör att angripare kan samla in tillräckligt med krypterade paket med samma IV för att utföra statistisk analys och bryta krypteringen.
* RC4 Svagheter: WEP förlitar sig på RC4 Stream -chiffer. Medan RC4 själv har svagheter, förvärrar det sätt som WEP använder dem. Det ursprungliga tillståndet för RC4 -strömmen är sårbart och förutsägbart med tanke på upprepade IV:er. Detta förstärker ytterligare effekterna av IV -återanvändning. Den förutsägbara naturen hos nyckelströmmen gör att kryptanalys kan vara mycket enklare.
* Brist på integritetskontroll: WEP:s implementering av dess integritetskontrollmekanism (integritetskontrollvärdet eller ICV) är svagt. Angripare kan modifiera paket och beräkna ICV utan detektion. Detta gör att de kan injicera skadliga data i nätverket. Att helt enkelt ändra en enda byte görs lätt.
* Dålig nyckelhantering: Nyckelhantering i WEP är ofta felaktig, vilket leder till svaga eller lätt komprometterade nycklar. Många användare använde standardnycklar eller valde svaga nycklar. Metoden för nyckelfördelning var också lätt mottaglig för attacker.
* Implementeringsbrister: Många enheter som implementerade WEP hade sårbarheter utöver de grundläggande bristerna i själva protokollet. Dessa brister kan inkludera sårbarheter i hur IV hanterades eller hur nyckeln genererades och distribuerades.
Kombinationen av dessa svagheter innebär att WEP -kryptering kan knäckas relativt enkelt genom att använda lätt tillgängliga verktyg och tekniker. Det är så osäkert att det anses vara helt trasigt och aldrig ska användas för något syfte där säkerhet krävs. WPA och WPA2 (och nu WPA3) är oerhört överlägsna och bör användas istället.
