Satura rādītājs:
Atjaunināšana: Wpa supplicant (metode, ko izmanto, lai iestatītu Wi-Fi rokasspiedienu operētājsistēmā Linux) ir atjaunināts un jau ir pieejams. Google ir ieviesis šo labojumu, un 2017. gada 6. novembra drošības atjauninājumā tas tiks iekļauts. Google Wifi automātiski instalēs atjauninājumu, tiklīdz tas būs pieejams.
Sākotnējais raksts seko.
Gadiem ilgi mēs visi esam paļāvušies uz WPA2 (Wi-Fi Protected Access) protokolu, lai nodrošinātu savus Wi-Fi tīklus. Šodien tas viss beidzas.
Drošības pētnieks Mathy Vanhoef ir atklājis, ko viņš ir apzīmējis ar KRACK - ekspluatatīvu, kas uzbrūk WPA2 protokola rokasspiediena ievainojamībai, kuru jūs, visticamāk, izmantojat, lai aizsargātu savu Wi-Fi mājās, un to izmanto arī miljoniem mazo uzņēmumu visā pasaulē.
Atjauninājums: Google sniegtajā paziņojumā The Verge teikts, ka, kaut arī tiek ietekmēta katra ar Wi-Fi iespējota ierīce, Android tālruņi, kas izmanto Marshmallow (Android 6.0) vai jaunāku, rada īpašu risku un ir neaizsargāti pret izmantošanas variantu, kas var manipulēt ar satiksmi. Vecākas programmaparatūras modeļi ir jutīgi arī citos veidos, taču trafika ievadīšana ir nopietna problēma. Tuvākajā laikā gaidiet labojumu no Google.
Uzstājoties ACM konferencē par datoru un komunikāciju drošību Dalasā, Vanhoefs paskaidroja, ka šī izmantošana var atļaut pakešu šņaukšanu, savienojumu nolaupīšanu, ļaunprātīgas programmatūras ievadīšanu un pat paša protokola atšifrēšanu. Ievainojamība ir atklāta cilvēkiem, kuriem savlaicīgi jāzina šāda veida lietas, lai atrastu labojumus, un US-CERT (Amerikas Savienoto Valstu datoru avārijas gatavības komanda) ir izdevusi šo sagatavoto biļetenu:
US-CERT ir uzzinājusi par vairākām galvenajām pārvaldības ievainojamībām, izmantojot Wi-Fi aizsargātas piekļuves II (WPA2) drošības protokola četrvirzienu rokasspiedienu. Šo ievainojamību izmantošanas ietekme ietver atšifrēšanu, pakešu atkārtotu atskaņošanu, TCP savienojuma nolaupīšanu, HTTP satura ievadīšanu un citas. Ņemiet vērā, ka kā protokola līmeņa problēmas tiks ietekmēta lielākā daļa vai visas pareizās standarta ieviešanas. CERT / CC un pētnieks KU Leuven 2017. gada 16. oktobrī publiskos šīs ievainojamības.
Pēc pētnieka, kurš ir informēts par neaizsargātību, teiktā, tas darbojas, izmantojot četrvirzienu rokasspiedienu, ko izmanto, lai izveidotu trafika šifrēšanas atslēgu. Trešās darbības laikā taustiņu var atkārtoti nosūtīt atkārtoti. Kriptogrāfisko moduli var atkārtoti izmantot tādā veidā, kas pilnībā grauj šifrēšanu, kad tas tiek apvainots noteiktos veidos.
Kā es varu palikt drošībā?
Godīgi sakot, nākamās pāris dienas jums nav pieejama neviena publiska opcija. Mēs nestāstīsim jums, kā tas darbojas, vai kur atrast vairāk informācijas par to, kā tieši notiek uzbrukums. Bet mēs varam jums pateikt, ko jūs varat (un kas būtu jādara), lai saglabātu pēc iespējas lielāku drošību.
- Par katru cenu izvairieties no publiskā Wi-Fi tīkla. Tas ietver Google aizsargātos Wi-Fi tīklājus, līdz Google saka citādi. Ja jūsu mobilo sakaru operators liek tālrunim izmantot Wi-Fi, atrodoties darbības diapazonā, apmeklējiet sava tālruņa forumu, lai uzzinātu, vai ir kāds risinājums, lai to novērstu.
- Izveidojiet savienojumu tikai ar drošiem pakalpojumiem. Web lapās, kas izmanto HTTPS vai citu drošu savienojumu, URL tiks iekļauts HTTPS. Jums vajadzētu sazināties ar jebkuru uzņēmumu, kura pakalpojumus izmantojat, un pajautāt, vai savienojums ir nodrošināts, izmantojot TLS 1.2, un ja tā, tad jūsu savienojums ar šo pakalpojumu tagad ir drošs.
- Ja jums ir apmaksāts VPN pakalpojums, kuram uzticaties, jums vajadzētu iespējot savienojumu pilna laika režīmā līdz nākamajam paziņojumam. Pretoties kārdinājumam steigties un reģistrēties jebkuram bezmaksas VPN pakalpojumam, līdz jūs uzzināsit, vai tie ir pārbaudīti, un jūsu dati būs droši. Lielākā daļa to nedara.
- Izmantojiet vadu tīklu, ja gan maršrutētājam, gan datoram ir vieta, kur iespraust Ethernet kabeli. Šī izmantošana ietekmē tikai 802.11 trafiku starp Wi-Fi maršrutētāju un pievienoto ierīci. Ethernet kabeļi ir salīdzinoši lēti, un acu skatiens, kas savērts paklājā, ir tā vērts. Meklējiet Cat6 vai Cat5e spec kabeli, un pēc pievienošanas tam nevajadzētu būt konfigurācijai.
- Ja izmantojat Chromebook datoru vai MacBook, šis USB Ethernet adapteris ir plug-and-play.
- Atpūsties.
Kas varētu notikt, ja es esmu uzbrukušā tīklā?
Ar šo hakeru nevar nozagt jūsu bankas informāciju vai Google paroli (vai datus par pareizi aizsargātu savienojumu, kas izmanto visaptverošu šifrēšanu). Lai arī iebrucējs var iegūt datus, ko sūtāt un saņemat, tos neviens nevar izmantot vai pat lasīt. To pat nevar izlasīt, ja vien vispirms neatļaujat tālrunim vai datoram to atšifrēt un atšifrēt.
Uzbrucējs, iespējams, varēs veikt tādas darbības kā novirzīt trafiku Wi-Fi tīklā vai pat reālas lietas vietā sūtīt viltus datus. Tas nozīmē kaut ko nekaitīgu, piemēram, tūkstoš drūmu eksemplāru drukāšanu uz tīkla printera vai kaut ko bīstamu, piemēram, ļaunprātīgas programmatūras nosūtīšanu kā atbildi uz likumīgu informācijas vai faila pieprasījumu. Labākais veids, kā pasargāt sevi, nav vispār izmantot Wi-Fi, kamēr neesat norādījis citādi.
uhhh shit it bad yup pic.twitter.com/iJdsvP08D7
- ⚡️ Owen Williams (@ow) 2017. gada 16. oktobris
Telefonos, kuros darbojas operētājsistēma Android 6.0 Marshmallow un jaunāka, KRACK ievainojamība var piespiest Wi-Fi savienojumu izveidot absurdi viegli sagraujošu šifrēšanas atslēgu 00: 00: 00: 00: 00. Ar kaut ko tik vienkāršu ārpustiesas persona ir viegli lasīt visu datplūsmu, kas nāk uz klientu un no tā, piemēram, viedtālruni vai klēpjdatoru.
Bet, ja šī datplūsma tiek kodēta, izmantojot drošos HTTPS un TLS protokolus (un lielākajai daļai tīmekļa trafika vajadzētu būt šajās dienās), tajos esošie dati tiek šifrēti no viena gala līdz otram, un pat ja tie tiek pārtverti, tie nebūs lasāmi.
Vai jūsu maršrutētājs ir izlabots, lai novērstu KRACK ievainojamību?
Tika teikts, ka Ubiquiti jau ir iegādājies plāksteri viņu aprīkojumam, un, ja tas izrādīsies taisnība, mums to drīz vajadzētu redzēt uzņēmumi, piemēram, Google vai Apple. Citiem uzņēmumiem, kas mazāk domā par drošību, var būt nepieciešams ilgāks laiks, un daudzi maršrutētāji nekad neredzēs ielāpu. Daži uzņēmumi, kas veido maršrutētājus, ir līdzīgi dažiem uzņēmumiem, kas ražo Android tālruņus: jebkura vēlme atbalstīt produktu apstājas, kad jūsu nauda sasniedz viņu banku.
Vai tam tiešām ir nozīme?
Šajā gadījumā jums nevajadzētu justies imunitātei, jo jūsu dati nav pietiekami vērtīgi. Lielākā daļa uzbrukumu, kuros tiek izmantota šī izmantošana, būs oportūnistiski. Bērni, kas dzīvo jūsu ēkā, ēnaini personāži, kas ved apkārtni, meklējot Wi-Fi piekļuves punktus, un vispārēju ļaunu veidotāji jau skenē apkārt esošos Wi-Fi tīklus.
WPA2 ir bijis ilgs un auglīgs mūžs līdz pat šodienai, kad to izmanto publiski. Cerot, ka labojums vai kas notiks tālāk, varēs baudīt to pašu. Esiet drošībā!
Mēs, iespējams, nopelnīsim komisiju par pirkumiem, izmantojot mūsu saites. Uzzināt vairāk.
