VPN KRACK-a qarşı qoruyurmu? Yamaq nəyi düzəldir

Əgər KRACK-ın Wi-Fi şifrələməsini sındırdığını deyən bir başlıq üzündən VPN alırsınızsa, səhv təbəqəni düzəldirsiniz. 2017-ci ildəki o açıqlama WPA2 dörd tərəfli əl sıxışmasına qarşı açar yenidən quraşdırma hücumları ailəsini təsvir edirdi və düzəliş əməliyyat sistemi yeniləmələri, simsiz sürücü yamaqları və marşrutlaşdırıcı proqram təminatı şəklində gəldi. Tunel trafikinizi yerli şəbəkədən gizlədə bilər, lakin onun altında tamamlanan əl sıxışmasını bərpa edə bilməz. Yəni ilk sual hansı VPN almaq deyil; hansı cihazlarınızın hələ də yamaqsız simsiz yığım işlətməsidir.

Eyni fərq büdcə narahatlığına da cavab verir. Abunəliyə pulu çatmayan biri əsl həlldən heç vaxt kənarda qalmayıb, çünki həll pulsuz yeniləmə idi. Pul xərcləyən şey artıq yeniləmə almayan avadanlığı dəyişməkdir.

Hücum əslində nəyi manipulyasiya etdi

WPA2 birləşmə anında dörd tərəfli əl sıxışması ilə təzə cüt açar çıxarır. Giriş nöqtəsi bir nonce göndərir, müştəri öz noncesi ilə cavab verir, hər iki tərəf cüt keçici açarı hesablayır və giriş nöqtəsi müştərinin təsdiqlədiyi mesajla təsdiq edir. Açar yenidən quraşdırma hücumu parolu təxmin etmək əvəzinə bu ardıcıllığa müdaxilə edir və müştərini artıq quraşdırdığı açarı yenidən quraşdırmağa məcbur edir. Hər yenidən quraşdırma ötürmə noncesini və həmin açara bağlı qəbul təkrar sayğacını sıfırlaya bilər.

O sayğaclar geriyə hərəkət etdikdən sonra rədd edilməli olan bəzi trafik yenidən qəbul edilə bilən olur. Variantdan və tətbiqdən asılı olaraq, radio məsafəsindəki hücumçu kadrları təkrar ötürə, şifrəsini aça və ya onları yeridə bilərdi. Qrup açarı əl sıxışması və sürətli keçid əl sıxışmasının öz variantları var idi, buna görə də xəbərdarlıq bir deyil, bir neçə hücum adı sadalayırdı.

Android 6.0 və sonrası ən pis hal idi. Onun wpa_supplicant versiyaları tam sıfır açardan istifadə etməyə məcbur edilə bilərdi və bu, şifrənin açılmasını yenidən quraşdırmanın yalnız sayğacları sıfırladığı platformalardan qat-qat asanlaşdırırdı. Bu detal o dövrün ən geniş yayılmış telefon platformasında nəzəri zəifliyi praktik zəiflikdən ayırdı.

Düzəliş simsiz yığımın içindədir

Yuxarı axın düzəlişi supplicant-lara və giriş nöqtələrinə açar artıq quraşdırıldıqdan sonra təkrar göndərilən əl sıxışma mesajını nəzərə almamağı tapşırdı. wpa_supplicant və hostapd-in yamaqlanmış buraxılışları bunu daşıyırdı və distributivlər onu köhnə budaqlara geri köçürdü, yəni wpa_supplicant -v tərəfindən çap edilən sətir hökm deyil, başlanğıc nöqtəsidir. Distributivin təhlükəsizlik xəbərdarlığını oxuyun və yalnız versiya nömrəsini deyil, konkret yamağı təsdiqləyin. Köhnə versiya bildirən buraxılış hələ də düzəldilmiş ola bilər və yeni versiya bildirən buraxılış hələ də istehsalçı yamağını itirə bilər.

Bağlantının hər iki ucu diqqət tələb edir. Düzəldilmiş marşrutlaşdırıcı ona qoşulan noutbuku yamaqlamır və düzəldilmiş noutbuk marşrutlaşdırıcını yamaqlamır. İstehsalçılar hər məhsul üçün xəbərdarlıq dərc etdi və marşrutlaşdırıcı düzəlişləri adətən telefon yeniləmələrindən geri qalırdı, çünki hər model öz proqram təminatı buraxılışını tələb edir. Əgər cihazın son buraxılışı xəbərdarlıqdan əvvəldirsə, istehsalçı əksini deməyincə onu yamaqsız sayın.

Yeniləyə bilmədiyiniz avadanlıq üçün seçimlər dar və cəlbedicisizdir. Onu istifadədən çıxarın, həssas trafik daşıyan şəbəkələrdən uzaq saxlayın və ya yalnız bərabər dərəcədə fədakar həmyaşıdlarının olduğu seqmentə həbs edin. Bu seçimlərin heç biri abunə tələb etmir və heç biri başqa tunel provayderi seçməklə yaxşılaşmır.

Tunel nəyi əhatə edir

VPN sərhədi yerindən tərpədir. Cihazınız hər paketi şifrələyib VPN serverinə göndərir, o da şifrəsini açıb irəli ötürür. Wi-Fi bağlantısını manipulyasiya edən şəxs xarici tunel paketlərini görür, içindəki faydalı yükü deyil, yəni kanal qatı kadrlarını açan yenidən quraşdırma hücumu tuneldən keçən bağlantının məzmununu avtomatik açmır. Bu müdafiə hətta altındakı simsiz yığım zəif qalarkən də qüvvədə qalır və iki nəzarətin qarışdırılmasının səbəbi məhz budur.

Şərt "tuneldən keçən" sözüdür. Bölünmüş tunelleşdirmə, yan keçmə siyahısı və ya captive-portal istisnası bəzi trafiki tuneldən kənara göndərir və o trafik ondan heç bir fayda görmür. Eyni şəbəkədəki və müştəri proqramını heç quraşdırmamış digər cihazların trafiki də belədir. Tunel hər cihaz və hər marşrut üçün verilən qərardır, otağın xassəsi deyil və marşrutlaşdırıcı səviyyəsində VPN yalnız həqiqətən marşrutlaşdırıcıdan keçən trafiki əhatə edir.

Tunelin edə bilmədiyi şey sürücünü bərpa etmək, autentifikasiya ləğvi selini dayandırmaq və ya hücumçunun kanalı sıxmasının qarşısını almaqdır. O, həmçinin heç vaxt içinə girməyən bağlantını qoruya bilməz. Bunlar əlçatanlıq və kanal qatı problemləridir və tuneldəki şifrə dəstinin nə qədər güclü olmasından asılı olmayaraq simsiz yığımla qalır.

HTTPS və tunel fərqli atlamaları qoruyur

Tək bir səhifə yükləməsi üç ayrı müdafiəni əhatə edə bilər: Wi-Fi bağlantısı, VPN serverinə tunel və veb sayta TLS sessiyası. Hər biri müstəqil şəkildə razılaşdırılır. Etibarlı sertifikat və müasir protokol versiyası olan TLS, ilk atlama düşmən olsa belə, brauzerlə sayt arasında sizə autentifikasiya edilmiş şifrələmə verir, çünki sertifikat yoxlaması saxtakarın öz açarını yeritməsinin qarşısını alan şeydir.

Bu yoxlamanın kənarlarda zəif nöqtələri var. HTTPS-dən HTTP-yə yönləndirmə, skriptləri adi HTTP üzərindən yükləyən səhifə və ya sertifikat xəbərdarlığını klikləyib keçən istifadəçi hamısı trafiki qorunan sessiyadan kənara çıxarır. HSTS və brauzer arası səhifələr bu səhvlər geniş yayıldığı üçün mövcuddur, TLS kövrək olduğu üçün deyil.

HTTPS və tuneli saxlamaq simsiz tətbiqin zəif olmaqdan çıxması demək deyil. Kadrlar hələ də xətialı sürücü tərəfindən açılır; fərq hücumçunun onların içində nə tapması və o məzmunun artıq başqa bir şeylə qorunub-qorunmamasıdır.

Qarışıq şəbəkə üçün bərpa sırası

Giriş nöqtəsindən başlayın, çünki o sizin nəzarət etdiyiniz və hər müştərinin asılı olduğu cihazdır. Sonra müştəri əməliyyat sistemlərini ən köhnədən başlayaraq nəzərdən keçirin, çünki yeniləmə almağı dayandırmış platformalar heç vaxt yamaqlanmayacaq olanlardır. Yalnız bu inventar bitdikdən sonra VPN qərarı məna kəsb edir və o, bərpa deyil, məruz qalma haqqında qərardır. Bunu tərs qaydada etmək, əvvəl tunel sonra proqram təminatı, faktiki qüsuru abunə davam etdikcə yerində saxlayır.

Nəyi yoxladığınızı yazın, proqram təminatının versiyası və tarix daxil olmaqla. "Yenilənib" sonradan heç kimin audit edə bilməyəcəyi bir vəziyyətdir.

Üç yoxlama işin çoxunu əhatə edir və bu sıra ilə gedir. Yalnız ilk ikisi təmiz qayıtdığı üçün üçüncünü atlamayın.

• Marşrutlaşdırıcı proqram təminatı: quraşdırılmış versiyanı yeniləmə düyməsi ilə deyil, istehsalçının xəbərdarlıq səhifəsi ilə müqayisə edin.
• Müştəri ƏS: hər telefon, noutbuk və planşet üçün simsiz düzəlişi ehtiva edən yamaq səviyyəsini təsdiqləyin.
• Qalıqlar: yamaq yolu olmayan cihazları sadalayın və istifadədən çıxarmaq, təcrid etmək və ya qəbul etmək qərarı verin.

Əgər qalıq siyahısı uzundursa, müştəri təcridi olan qonaq şəbəkəsi avadanlıq dəyişdirilərkən vaxt qazandırır. Sonra hər diapazonda bir tanınmış müştərini sınaqdan keçirin, nəticəni qeyd edin və növbəti proqram təminatı buraxılışından sonra yenidən yoxlayın. Avadanlıq inventarı növbəti xəbərdarlığı sürətli edən şeydir; tunel isə bu arada boşluğu örtən şeydir.