VPN batek KRACKen aurka babesten du? Zer konpontzen du adabakiak

VPN bat erosten ari bazara KRACKek Wi-Fi zifratzea hausten duela dioen izenburu batengatik, geruza okerra konpontzen ari zara. 2017ko agerraldi hark WPA2ren lau bideko eskuko tratuaren aurkako gakoaren berrinstalazio eraso familia bat deskribatzen zuen, eta konponbidea sistema eragilearen eguneratze, haririk gabeko kontrolatzaileen adabaki eta routerren firmware gisa iritsi zen. Tunel batek zure trafikoa sare lokaletik ezkuta dezake, baina ezin du haren azpian amaitzen den eskuko tratu bat konpondu. Beraz, lehen galdera ez da zein VPN erosi; zure zein gailuk darama oraindik adabakitu gabeko haririk gabeko pila bat da.

Bereizketa berak erantzuten dio aurrekontuaren kezkari. Harpidetza bat ordaindu ezin duen inor ez zen inoiz irtenbide errealetik kanpo geratu, irtenbidea doako eguneratze bat zelako. Dirua kostatzen duena eguneratzerik jasotzen ez duen hardwarea ordezkatzea da.

Zer manipulatu zuen erasotzaileak benetan

WPA2k pareka-gako berri bat eratorri ohi du elkartzean, lau bideko eskuko tratu baten bidez. Sarbide-puntuak nonce bat bidaltzen du, bezeroak berearekin erantzuten du, bi aldeek parekako aldi baterako gakoa kalkulatzen dute, eta sarbide-puntuak bezeroak baieztatzen duen mezu batekin berresten du. Gakoaren berrinstalazio eraso batek sekuentzia horretan esku hartzen du pasahitza asmatu beharrean, bezeroa jada instalatuta duen gako bat instalatzera behartuz. Berrinstalazio bakoitzak gako horri lotutako transmisio-noncea eta harrera-errepikapen kontagailua berrezar ditzake.

Kontagailu horiek atzeraka mugitzen direnean, baztertu beharko litzatekeen trafikoaren zati bat berriro onargarri bihurtzen da. Aldaeraren eta inplementazioaren arabera, irrati-irismenean zegoen erasotzaile batek markoak erreproduzitu, deszifratu edo injekta zitzakeen. Talde-gakoaren eskuko tratuak eta trantsizio bizkorrekoak bakoitzak bere aldaerak zituzten, eta horregatik abisuak eraso-izen batzuk zerrendatu zituen, bat bakarrik beharrean.

Android 6.0 eta berriagoak kasurik okerrena izan ziren. Bere wpa_supplicant bertsioak zero guztietako gako bat instalatzera behartu zitezkeen, eta horrek deszifratzea askoz errazagoa egiten zuen berrinstalazioak kontagailuak besterik berrezartzen ez zituen plataformetan baino. Xehetasun horrek ahultasun teorikoa praktikotik bereizi zuen garaiko telefono-plataformarik ohikoenean.

Konponbidea haririk gabeko pilaren barruan dago

Jatorrizko zuzenketak supplicant eta sarbide-puntuei esan zien gakoa jada instalatuta zegoenean birbidalitako eskuko tratuaren mezua baztertzeko. wpa_supplicant eta hostapd-en bertsio adabakiek hura zekarten, eta banaketek adar zaharragoetara eraman zuten, beraz wpa_supplicant -v-k inprimatzen duen katea abiapuntu bat da, ez epai bat. Irakurri banaketaren segurtasun-abisua eta egiaztatu adabaki zehatza, ez soilik bertsio-zenbakia. Bertsio zaharra adierazten duen konpilazio bat zuzenduta egon daiteke oraindik, eta bertsio berria duen batek fabrikatzailearen adabakirik gabe jarrai dezake.

Estekaren bi muturrek arreta behar dute. Konpondutako router batek ez du berarekin elkartzen den ordenagailu eramangarria adabakitzen, eta konpondutako eramangarri batek ez du routerra adabakitzen. Fabrikatzaileek produktuko abisuak argitaratu zituzten, eta routerren konponketak telefonoko eguneratzeen atzetik joan ohi ziren, modelo bakoitzak bere firmware konpilazioa behar duelako. Gailu baten azken bertsioa abisua baino lehenagokoa bada, tratatu adabakitu gabe gisa fabrikatzaileak kontrakoa esan arte.

Eguneratu ezin duzun ekipamendurako, aukerak estu eta distirarik gabeak dira. Erretiratu, trafiko sentikorra daramaten sareetatik kanpo eduki, edo bere pareko bakarrak berdin baztergarriak diren segmentu batera mugatu. Aukera horietako batek ere ez du harpidetzarik eskatzen, eta batek ere ez du hobetzen beste tunel-hornitzaile bat aukeratuta.

Tunelak zer estaltzen duen

VPN batek muga mugitzen du. Zure gailuak pakete bakoitza zifratu eta VPN zerbitzari batera bidaltzen du, hark deszifratu eta aurrera bidaltzen du. Wi-Fi estekan esku hartzen duenak kanpoko tunel-paketeak ikusten ditu, ez haien barruko karga erabilgarria, beraz esteka-geruzako markoak agerian uzten dituen berrinstalazio eraso batek ez du automatikoki tunelatutako konexioaren edukia agerian uzten. Babes horrek balio du haririk gabeko pila azpian zaurgarri jarraitzen duen bitartean ere, eta horregatik nahasten dira bi kontrolak.

Baldintza "tunelatua" da. Tunel zatituak, saihesteko zerrenda batek edo captive portal baterako salbuespen batek trafikoaren zati bat tunelatik kanpora bidaltzen dute, eta trafiko horrek ez du handik etekinik ateratzen. Gauza bera gertatzen da inoiz bezeroa instalatu ez duten sare bereko beste gailuen trafikoarekin. Tunela gailu bakoitzeko eta ibilbide bakoitzeko erabakia da, ez gelaren ezaugarria, eta router mailako VPN batek routerretik benetan pasatzen dena baino ez du estaltzen.

Tunelak ezin duena da kontrolatzailea konpondu, desautentifikazio uholde bat gelditu edo erasotzaile bat kanala trabatzea eragotzi. Ezin du inoiz sartzen ez den konexio bat babestu ere. Erabilgarritasun eta esteka-geruzako arazoak dira, eta haririk gabeko pilarekin geratzen dira, tunelaren zifratze-multzoa zenbat eta indartsuagoa izan.

HTTPSek eta tunelak jauzi desberdinak babesten dituzte

Orrialde-karga bakar batek hiru babes bereizi izan ditzake: Wi-Fi esteka, VPN zerbitzarirako tunela eta webgunerako TLS saioa. Bakoitza modu independentean negoziatzen da. TLSek ziurtagiri baliodun batekin eta protokolo bertsio moderno batekin zifratze autentifikatua ematen dizu nabigatzailearen eta webgunearen artean, lehen jauzia etsai izanda ere, ziurtagiriaren egiaztapenak eragozten baitio iruzurgile bati bere gakoa jartzea.

Egiaztapen horrek ahultasun puntuak ditu ertzetan. HTTPSetik HTTPrako birbideratze batek, HTTP hutsez scriptak kargatzen dituen orrialde batek edo ziurtagiri-abisu bat klikatuz pasatzen duen erabiltzaile batek babestutako saiotik kanpora eramaten dute trafikoa. HSTS eta nabigatzailearen tarteko orrialdeak daude akats horiek ohikoak direlako, ez TLS hauskorra delako.

HTTPS eta tunel bat mantentzeak ez du haririk gabeko inplementazioa zaurgarri izateari uzten. Markoak kontrolatzaile akastun batek deszifratzen ditu oraindik; aldea da erasotzaileak haien barruan zer aurkitzen duen eta eduki hori jada beste zerbaitengatik babestuta zegoen.

Konponketa-ordena sare misto baterako

Hasi sarbide-puntutik, kontrolatzen duzun gailua delako eta bezero bakoitzak haren mende dagoelako. Ondoren, joan bezeroen sistema eragileetatik, zaharrenetik hasita, eguneratzeak jasotzeari utzi zioten plataformak inoiz adabakituko ez direnak baitira. Inbentario hori amaitu ondoren soilik du zentzurik VPNari buruzko erabakiak, eta esposizioari buruzko erabakia da, ez konponketari buruzkoa. Alderantziz egiteak, lehen tunela eta gero firmwarea, benetako akatsa lekuan uzten du harpidetzak dirauen bitartean.

Idatzi egiaztatu duzuna, firmware bertsioa eta data barne. "Eguneratuta" ez da inork geroago auditatu dezakeen egoera bat.

Hiru egiaztapenek lanaren zati handiena estaltzen dute, eta ordena honetan doaz. Ez ezazu hirugarrena saihestu lehenengo biak garbi atera direlako bakarrik.

• Router firmwarea: alderatu instalatutako bertsioa fabrikatzailearen abisu-orriarekin, ez eguneratze botoiarekin.
• Bezeroaren OS: egiaztatu haririk gabeko konponketa barne hartzen duen adabaki-maila telefono, eramangarri eta tablet bakoitzerako.
• Hondarrak: zerrendatu adabaki-biderik ez duten gailuak eta erabaki erretiratu, isolatu edo onartu.

Hondarren zerrenda luzea bada, bezero-isolamendua duen gonbidatu-sare batek denbora irabazten du hardwarea ordezkatzen den bitartean. Ondoren probatu bezero ezagun bat banda bakoitzean, idatzi emaitza eta berrikusi hurrengo firmware bertsioaren ondoren. Hardwarearen inbentarioa da hurrengo abisua azkar egiten duena; tunela da tartean hutsunea estaltzen duena.