Štiti li VPN od KRACK? Šta zakrpa ispravlja

Ako kupujete VPN jer je naslov rekao da KRACK razbija Wi-Fi enkripciju, popravljate pogrešan sloj. To saopštenje iz 2017. opisalo je porodicu napada reinstalacijom ključa na WPA2 rukovanje u četiri koraka, a popravka je stigla kao ažuriranja operativnih sistema, zakrpe za bežične drajvere i firmware rutera. Tunel može sakriti vaš saobraćaj od lokalne mreže, ali ne može popraviti rukovanje koje se završava ispod njega. Zato prvo pitanje nije koji VPN kupiti; nego koji od vaših uređaja još uvijek pokreće nezakrpljeni bežični stek.

Ista razlika odgovara i na budžetsku brigu. Onaj ko ne može priuštiti pretplatu nikada nije bio isključen iz pravog rješenja, jer rješenje je bilo besplatno ažuriranje. Novac košta zamjena hardvera koji više ne dobija ažuriranje.

Šta je napad zapravo manipulisao

WPA2 izvodi svježi parni ključ u trenutku pridruživanja kroz rukovanje u četiri koraka. Pristupna tačka šalje nonce, klijent odgovara svojim, obje strane izračunavaju parni prolazni ključ, a pristupna tačka potvrđuje porukom koju klijent potvrđuje. Napad reinstalacijom ključa ometa taj slijed umjesto da pogađa lozinku, prisiljavajući klijent da instalira ključ koji je već instalirao. Svaka reinstalacija može resetovati nonce za prenos i brojač ponavljanja za prijem vezan za taj ključ.

Kad se ti brojači pomjere unazad, dio saobraćaja koji je trebalo biti odbijen ponovo postaje prihvatljiv. Zavisno od varijante i implementacije, napadač u radio dometu mogao je ponavljati okvire, dešifrovati ih ili ih ubacivati. Rukovanje grupnim ključem i rukovanje brzim prelaskom imali su svoje varijante, zato je savjet naveo nekoliko imena napada umjesto jednog.

Android 6.0 i noviji bio je najgori slučaj. Njegove verzije wpa_supplicant mogle su se prisiliti da instaliraju ključ sa svim nulama, što je dešifrovanje činilo daleko lakšim nego na platformama gdje reinstalacija samo resetuje brojače. Taj detalj odvojio je teorijsku slabost od praktične na najčešćoj telefonskoj platformi tog vremena.

Popravka živi u bežičnom steku

Ispravka s izvora rekla je supplicantima i pristupnim tačkama da ignorišu ponovo poslatu poruku rukovanja kad je ključ već instaliran. Zakrpljene verzije wpa_supplicant i hostapd nosile su je, a distribucije su je prenijele u starije grane, pa je niz koji ispisuje wpa_supplicant -v početna tačka, a ne presuda. Pročitajte sigurnosni savjet distribucije i potvrdite konkretnu zakrpu, ne samo broj verzije. Verzija koja prijavljuje stari broj ipak može biti popravljena, a verzija s novim brojem ipak može nemati proizvođačku zakrpu.

Oba kraja veze traže pažnju. Popravljen ruter ne zakrpljuje laptop koji se s njim povezuje, a popravljen laptop ne zakrpljuje ruter. Proizvođači su objavljivali savjete po proizvodu, a popravke rutera obično su zaostajale za ažuriranjima telefona jer svaki model traži vlastitu verziju firmwarea. Ako je posljednje izdanje nekog uređaja starije od savjeta, tretirajte ga kao nezakrpljeno dok proizvođač ne kaže drugačije.

Za opremu koju ne možete ažurirati, opcije su uske i neatraktivne. Izvedite je iz upotrebe, držite je podalje od mreža koje nose osjetljiv saobraćaj ili je ograničite na segment gdje su jedini susjedi jednako potrošni. Nijedna od tih opcija ne uključuje pretplatu i nijedna se ne poboljšava izborom drugog provajdera tunela.

Šta tunel ipak pokriva

VPN pomjera granicu. Vaš uređaj šifrira svaki paket i šalje ga VPN serveru, koji ga dešifruje i prosljeđuje dalje. Osoba koja manipuliše Wi-Fi vezom vidi vanjske pakete tunela, ne sadržaj unutar njih, pa napad reinstalacijom koji otkriva okvire na nivou veze ne otkriva automatski sadržaj tunelirane veze. Ta zaštita vrijedi i dok bežični stek ispod ostaje ranjiv, i upravo se zato dvije kontrole brkaju.

Kvalifikator je "tunelirano". Podijeljeno tuneliranje, lista zaobilaženja ili izuzetak za captive portal šalju dio saobraćaja izvan tunela, a taj saobraćaj nema nikakve koristi od njega. Isto vrijedi za saobraćaj drugih uređaja na istoj mreži koji nikada nisu instalirali klijent. Tunel je odluka po uređaju i po ruti, a ne svojstvo prostorije, i VPN na nivou rutera pokriva samo ono što zaista prolazi kroz ruter.

Ono što tunel ne može jest popraviti drajver, zaustaviti poplavu deautentikacije ili spriječiti napadača da ometa kanal. Ne može zaštititi ni vezu koja nikada u njega ne uđe. To su problemi dostupnosti i nivoa veze, i oni ostaju uz bežični stek bez obzira na to koliko je jak šifarski skup na tunelu.

HTTPS i tunel štite različite skokove

Jedno učitavanje stranice može uključivati tri odvojene zaštite: Wi-Fi vezu, tunel do VPN servera i TLS sesiju do web stranice. Svaka se pregovara nezavisno. TLS s važećim certifikatom i modernom verzijom protokola daje vam autentifikovanu enkripciju između preglednika i stranice čak i kad je prvi skok neprijateljski, jer provjera certifikata je ono što sprečava prevaranta da podmetne svoj ključ.

Ta provjera ima slabe tačke na ivicama. Preusmjeravanje s HTTPS na HTTP, stranica koja učitava skripte preko običnog HTTP-a ili korisnik koji klikne kroz upozorenje o certifikatu svi izvode saobraćaj izvan zaštićene sesije. HSTS i međustranice preglednika postoje zato što su te greške česte, a ne zato što je TLS krhak.

Zadržavanje HTTPS-a i tunela ne čini bežičnu implementaciju prestalom biti ranjiva. Okviri se i dalje dešifruju neispravnim drajverom; razlika je šta napadač nađe unutra i da li je taj sadržaj već bio zaštićen nečim drugim.

Redoslijed popravke za mješovitu mrežu

Počnite s pristupnom tačkom, jer je to uređaj koji kontrolišete i o kojem zavisi svaki klijent. Zatim prođite kroz klijentske operativne sisteme, od najstarijih, jer platforme koje su prestale dobijati ažuriranja nikada neće biti zakrpljene. Tek kad je taj popis gotov, odluka o VPN-u ima smisla, i to je odluka o izloženosti, a ne o popravci. Raditi to obrnutim redom, prvo tunel pa firmware, ostavlja stvarni defekt na mjestu dokle god pretplata traje.

Zapišite šta ste provjerili, uključujući verziju firmwarea i datum. "Ažurirano" nije stanje koje bilo ko može kasnije revidirati.

Tri provjere pokrivaju većinu posla, i idu tim redom. Ne preskačite treću samo zato što su prve dvije vratile čist rezultat.

• Firmware rutera: uporedite instaliranu verziju sa stranicom savjeta proizvođača, a ne s dugmetom za ažuriranje.
• Klijentski OS: potvrdite nivo zakrpa koji uključuje bežičnu popravku za svaki telefon, laptop i tablet.
• Ostaci: popišite uređaje bez puta za zakrpu i odlučite izvesti iz upotrebe, izolovati ili prihvatiti.

Ako je lista ostataka duga, gostujuća mreža s izolacijom klijenata kupuje vrijeme dok se hardver zamjenjuje. Zatim testirajte jedan poznati klijent na svakom opsegu, zapišite rezultat i provjerite ponovo nakon sljedećeg izdanja firmwarea. Popis hardvera je ono što sljedeći savjet čini brzim; tunel je ono što pokriva prazninu u međuvremenu.