WPA-EAPおよびMSCHAP-v2を使用したwpa_supplicant.confのパスワードの非表示

私wpa_supplicant.confはこのように見えます：

network={
  ssid="Some name"
  scan_ssid=1
  key_mgmt=WPA-EAP
  eap=PEAP
  identity="my-user-id"
  password="(clear text password here)"
  ca_cert="/usr/share/ca-certificates/mozilla/GeoTrust_Global_CA.crt"
  phase2="auth=MSCHAPV2"
}

WPA-EAPとMSCHAP-v2のこの特定の組み合わせで、この構成ファイルにパスワードを明確に含めない方法はありますか？

ChangeLogは、これが実行可能であると主張しているようです（2005年以降）。

* added support for storing EAP user password as NtPasswordHash instead
  of plaintext password when using MSCHAP or MSCHAPv2 for
  authentication (hash:<16-octet hex value>); added nt_password_hash
  tool for hashing password to generate NtPasswordHash

いくつかのメモ：

• 私はこのネットワークを制御できないため、別のパスワードを使用することは選択肢ではありません（これは企業ネットワークであり、Wifiへの接続を含むすべてのサービスへのアクセスに単一のユーザー名/パスワードが使用されます）。

• 重複について一言：

  • 40：use-wpa-supplicant-without-plain-text-passwordsは事前共有キーに関するものです
  • 74500：wpa-supplicant-store-password-as-hash-wpa-eap-with-phase2-auth-papは、PAPをフェーズ2認証として使用します（MSCHAP-v2ではありません）。
  • 85757：store-password-as-hash-in-wpa-supplicant-confはこの質問と非常に似ていますが、（誤って）74500の複製として閉じられました。残念ながら、複製とされるものに与えられた回答はPAPに固有のものであり、MSCHAP-v2の場合には適用されません。85757自体には、プロトコルに関係なく本質的に不可能であると主張する答えがありますが、正当化は無効です¹

¹ anserは、ハッシュされたパスワードを使用すると、ハッシュがパスワードになることを意味すると主張しています。これは技術的には事実ですが、少なくともハッシュはWi-Fi専用のパスワードであり、複数のサービスへのアクセスを許可する共有パスワードの漏洩に比べて大幅に進歩しています。

NtPasswordHash次のようにして、自分で（別名NTLMパスワードハッシュ）を生成できます。

echo -n plaintext_password_here | iconv -t utf16le | openssl md4

wpa_supplicant.confファイルで「hash：」をプレフィックスとして付けます。つまり、

password=hash:6602f435f01b9173889a8d3b9bdcfd0b

macOSでは、iconvコードは UTF-16LE

echo -n plaintext_password_here | iconv -t UTF-16LE | openssl md4

セキュリティはあまり得られないことに注意してください。攻撃者がハッシュ付きのファイルを見つけると、ネットワークに簡単に参加できます（コンピューターと同じように）。そのため、パスワードをハッシュ化してもまったく役に立ちません。パスワードが他の場所で使用されている場合、攻撃者はブルートフォースを使用して元のパスワードを見つける必要があります（つまり、最も可能性の高いパスワードを試し、一致するまでハッシュを計算します）。通常のPCでは1秒あたり約10億のハッシュを計算できるため、大きなハードルではありません。また、ハッシュは無塩なので、攻撃者は事前に計算されたテーブルを簡単に使用できます。NTは、パスワードハッシュアルゴリズムとして非常に恐ろしいです。

ターミナルを開いて入力：

wpa_passphrase YOUR_SSID YOUR_PASSWORD

サンプル出力：

network={
    ssid="YOUR_SSID"
    #psk="YOUR_PASSWORD"
    psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702
}

wpa_supplicant.confファイルを開き、次の行を追加します。

psk=6a24edf1592aec4465271b7dcd204601b6e78df3186ce1a62a31f40ae9630702