آیا VPN در برابر KRACK محافظت می‌کند؟ وصله چه چیزی را درست می‌کند
VPN ترافیک را از شبکه محلی پنهان می‌کند اما نمی‌تواند دست‌دادن WPA2 را تعمیر کند. اینجا آمده که وصله 2017 چه چیزی را تغییر داد و هر لایه چه چیزی را پوشش می‌دهد.
اگر VPN می‌خرید چون تیتری گفته بود KRACK رمزنگاری Wi-Fi را می‌شکند، لایه اشتباهی را تعمیر می‌کنید. آن افشای 2017 خانواده‌ای از حملات نصب مجدد کلید علیه دست‌دادن چهارمرحله‌ای WPA2 را توصیف می‌کرد، و تعمیر به‌صورت به‌روزرسانی سیستم‌عامل، وصله درایورهای بی‌سیم و فریم‌ور روتر رسید. یک تونل می‌تواند ترافیک شما را از شبکه محلی پنهان کند، اما نمی‌تواند دست‌دادنی را تعمیر کند که پایین‌تر از آن تمام می‌شود. پس پرسش نخست این نیست که کدام VPN بخرید؛ این است که کدام‌یک از دستگاه‌های شما هنوز پشته بی‌سیم وصله‌نشده اجرا می‌کند.
همین تمایز به نگرانی بودجه پاسخ می‌دهد. کسی که توان پرداخت اشتراک را ندارد هرگز از راه‌حل واقعی بیرون نبود، چون راه‌حل یک به‌روزرسانی رایگان بود. آنچه پول می‌خواهد جایگزینی سخت‌افزاری است که دیگر به‌روزرسانی نمی‌گیرد.
حمله در واقع چه چیزی را دست‌کاری کرد
WPA2 هنگام انجمن از طریق دست‌دادن چهارمرحله‌ای یک کلید جفتی تازه استخراج می‌کند. نقطه دسترسی یک nonce می‌فرستد، کلاینت با nonce خودش پاسخ می‌دهد، دو طرف کلید گذرای جفتی را محاسبه می‌کنند و نقطه دسترسی با پیامی که کلاینت تأیید می‌کند آن را تأیید می‌کند. حمله نصب مجدد کلید به‌جای حدس زدن عبارت عبور در همان توالی دخالت می‌کند و کلاینت را مجبور می‌کند کلیدی را نصب کند که پیش‌تر نصب کرده است. هر نصب مجدد می‌تواند nonce ارسال و شمارنده تکرار دریافت مرتبط با آن کلید را بازنشانی کند.
وقتی آن شمارنده‌ها عقب می‌روند، بخشی از ترافیکی که باید رد می‌شد دوباره پذیرفتنی می‌شود. بسته به گونه و پیاده‌سازی، مهاجمی در محدوده رادیویی می‌توانست فریم‌ها را بازپخش، رمزگشایی یا تزریق کند. دست‌دادن کلید گروهی و دست‌دادن انتقال سریع گونه‌های خود را داشتند، و به همین دلیل این اطلاعیه چند نام حمله را فهرست کرد نه یکی.
Android 6.0 و بعد از آن بدترین حالت بود. نسخه‌های wpa_supplicant آن را می‌شد به نصب کلیدی از تمام صفرها وادار کرد، که رمزگشایی را بسیار آسان‌تر از پلتفرم‌هایی می‌کرد که نصب مجدد در آن‌ها فقط شمارنده‌ها را بازنشانی می‌کرد. آن جزئیات یک ضعف نظری را از یک ضعف عملی در رایج‌ترین پلتفرم تلفن آن زمان جدا کرد.
تعمیر در پشته بی‌سیم زندگی می‌کند
اصلاح بالادست به supplicantها و نقاط دسترسی گفت یک پیام دست‌دادن دوباره‌فرستاده‌شده را وقتی کلید از قبل نصب شده نادیده بگیرند. نسخه‌های وصله‌شده wpa_supplicant و hostapd آن را داشتند و توزیع‌ها آن را به شاخه‌های قدیمی‌تر بازگرداندند، پس رشته‌ای که wpa_supplicant -v چاپ می‌کند نقطه شروع است نه حکم. اطلاعیه امنیتی توزیع را بخوانید و وصله مشخص را تأیید کنید، نه فقط شماره نسخه را. نسخه‌ای که شماره قدیمی گزارش می‌کند ممکن است هنوز اصلاح شده باشد، و نسخه‌ای با شماره جدید ممکن است هنوز وصله سازنده را نداشته باشد.
هر دو انتهای پیوند به توجه نیاز دارند. روتر تعمیرشده لپ‌تاپی را که به آن متصل می‌شود وصله نمی‌کند، و لپ‌تاپ تعمیرشده روتر را وصله نمی‌کند. سازندگان اطلاعیه‌های محصول‌به‌محصول منتشر کردند و اصلاحات روتر معمولاً از به‌روزرسانی تلفن‌ها عقب می‌افتاد، چون هر مدل به بیلد فریم‌ور خودش نیاز دارد. اگر آخرین انتشار یک دستگاه پیش از اطلاعیه باشد، تا وقتی سازنده خلافش را نگفته آن را وصله‌نشده بدانید.
برای تجهیزاتی که نمی‌توانید به‌روزرسانی کنید، گزینه‌ها تنگ و بی‌جلوه‌اند. بازنشسته‌اش کنید، از شبکه‌هایی که ترافیک حساس حمل می‌کنند دور نگه دارید، یا آن را به بخشی محدود کنید که تنها همتایانش به‌همان اندازه قابل‌کنارگذاشتن‌اند. هیچ‌یک از این گزینه‌ها اشتراک نمی‌خواهد و هیچ‌یک با انتخاب ارائه‌دهنده تونل دیگر بهتر نمی‌شود.
تونل چه چیزی را پوشش می‌دهد
VPN مرز را جابه‌جا می‌کند. دستگاه شما هر بسته را رمزنگاری و به سرور VPN می‌فرستد، که آن را رمزگشایی و جلوتر می‌فرستد. کسی که پیوند Wi-Fi را دست‌کاری می‌کند بسته‌های بیرونی تونل را می‌بیند، نه بار مفید درونشان، پس حمله نصب مجددی که فریم‌های لایه پیوند را افشا می‌کند به‌طور خودکار محتوای اتصال تونل‌شده را افشا نمی‌کند. این محافظت حتی وقتی پشته بی‌سیم زیر آن آسیب‌پذیر می‌ماند برقرار است، و دقیقاً به همین دلیل این دو کنترل با هم اشتباه گرفته می‌شوند.
قید «تونل‌شده» است. تونل‌سازی تقسیم‌شده، فهرست عبور یا استثنای دروازه اسیر بخشی از ترافیک را بیرون تونل می‌فرستند و آن ترافیک هیچ سودی از آن نمی‌برد. ترافیک دستگاه‌های دیگر در همان شبکه هم که هرگز کلاینت را نصب نکرده‌اند همین‌طور است. تونل تصمیمی برای هر دستگاه و هر مسیر است، نه ویژگی اتاق، و VPN در سطح روتر فقط آنچه را واقعاً از روتر مسیریابی می‌شود پوشش می‌دهد.
آنچه تونل نمی‌تواند بکند تعمیر درایور، متوقف کردن سیلاب لغو احراز هویت یا جلوگیری از مختل کردن کانال توسط مهاجم است. همچنین نمی‌تواند اتصالی را که هرگز واردش نمی‌شود محافظت کند. این‌ها مشکلات دسترس‌پذیری و لایه پیوند هستند و مهم نیست مجموعه رمز تونل چقدر قوی باشد، با پشته بی‌سیم می‌مانند.
HTTPS و تونل از پرش‌های متفاوتی محافظت می‌کنند
یک بارگذاری صفحه می‌تواند سه محافظت جداگانه داشته باشد: پیوند Wi-Fi، تونل تا سرور VPN و نشست TLS تا وب‌سایت. هر یک مستقل مذاکره می‌شود. TLS با گواهی معتبر و نسخه پروتکل مدرن حتی وقتی پرش اول خصمانه است رمزنگاری احرازشده بین مرورگر و سایت را به شما می‌دهد، چون بررسی گواهی همان چیزی است که مانع جایگزینی کلید خودش توسط جاعل می‌شود.
آن بررسی در لبه‌ها نقاط ضعف دارد. تغییرمسیر از HTTPS به HTTP، صفحه‌ای که اسکریپت‌ها را روی HTTP ساده بار می‌کند، یا کاربری که از هشدار گواهی رد می‌شود، همه ترافیک را از نشست محافظت‌شده بیرون می‌برند. HSTS و صفحات میانی مرورگر وجود دارند چون این خطاها رایج‌اند، نه چون TLS شکننده است.
نگه داشتن HTTPS و تونل باعث نمی‌شود پیاده‌سازی بی‌سیم دیگر آسیب‌پذیر نباشد. فریم‌ها همچنان توسط درایور معیوب رمزگشایی می‌شوند؛ تفاوت در چیزی است که مهاجم درونشان می‌یابد و اینکه آیا آن محتوا از قبل با چیز دیگری محافظت شده بود.
ترتیب تعمیر برای شبکه مختلط
با نقطه دسترسی شروع کنید، چون دستگاهی است که شما کنترل می‌کنید و هر کلاینت به آن وابسته است. سپس سیستم‌عامل‌های کلاینت را از قدیمی‌ترین بگذرانید، چون پلتفرم‌هایی که دریافت به‌روزرسانی را متوقف کرده‌اند هرگز وصله نمی‌شوند. فقط پس از کامل شدن آن فهرست است که تصمیم درباره VPN معنا پیدا می‌کند، و تصمیمی درباره درمعرض‌بودن است نه تعمیر. انجام آن به ترتیب برعکس، اول تونل و بعد فریم‌ور، نقص واقعی را تا وقتی اشتراک ادامه دارد سر جایش می‌گذارد.
آنچه بررسی کرده‌اید را بنویسید، با نسخه فریم‌ور و تاریخ. «به‌روزرسانی‌شده» وضعیتی نیست که کسی بعداً بتواند حسابرسی کند.
سه بررسی بیشتر کار را پوشش می‌دهد و به این ترتیب پیش می‌روند. سومین را فقط چون دو مورد اول پاک برگشتند جا نیندازید.
- فریم‌ور روتر: نسخه نصب‌شده را با صفحه اطلاعیه سازنده مقایسه کنید، نه با دکمه به‌روزرسانی.
- سیستم‌عامل کلاینت: سطح وصله‌ای را تأیید کنید که اصلاح بی‌سیم را برای هر تلفن، لپ‌تاپ و تبلت در بر دارد.
- باقی‌مانده‌ها: دستگاه‌های بدون مسیر وصله را فهرست کنید و درباره بازنشستگی، جداسازی یا پذیرش تصمیم بگیرید.
اگر فهرست باقی‌مانده‌ها بلند است، شبکه مهمان با جداسازی کلاینت در حین تعویض سخت‌افزار وقت می‌خرد. سپس در هر باند یک کلاینت شناخته‌شده را آزمایش کنید، نتیجه را ثبت کنید و پس از انتشار فریم‌ور بعدی دوباره بررسی کنید. فهرست سخت‌افزار همان چیزی است که اطلاعیه بعدی را سریع می‌کند؛ تونل همان چیزی است که شکاف را در این فاصله می‌پوشاند.