Suojaako VPN KRACKilta? Mitä korjaus paikkaa

Jos ostat VPN:n, koska otsikko sanoi KRACKin rikkovan Wi-Fi-salauksen, korjaat väärää kerrosta. Tuo vuoden 2017 paljastus kuvasi perheen avaimen uudelleenasennushyökkäyksiä WPA2:n nelisuuntaista kättelyä vastaan, ja korjaus saapui käyttöjärjestelmäpäivityksinä, langattomien ajurien paikkauksina ja reitittimen laiteohjelmistona. Tunneli voi piilottaa liikenteesi paikallisverkosta, mutta se ei voi korjata kättelyä, joka päättyy sen alapuolella. Ensimmäinen kysymys ei siis ole, mikä VPN ostetaan; se on, mikä laitteistasi ajaa yhä paikkaamatonta langatonta pinoa.

Sama erottelu vastaa budjettihuoleen. Se, jolla ei ole varaa tilaukseen, ei koskaan jäänyt varsinaisen ratkaisun ulkopuolelle, koska ratkaisu oli ilmainen päivitys. Rahaa maksaa sellaisen laitteiston vaihtaminen, joka ei enää saa päivitystä.

Mitä hyökkäys oikeastaan manipuloi

WPA2 johtaa liittymishetkellä tuoreen pariavaimen nelisuuntaisen kättelyn kautta. Tukiasema lähettää noncen, asiakas vastaa omallaan, molemmat osapuolet laskevat pariavaimen väliaikaisen avaimen ja tukiasema vahvistaa viestillä, jonka asiakas kuittaa. Avaimen uudelleenasennushyökkäys häiritsee tuota järjestystä sen sijaan, että arvaisi salalauseen, ja pakottaa asiakkaan asentamaan avaimen, jonka se on jo asentanut. Jokainen uudelleenasennus voi nollata lähetyksen noncen ja vastaanoton toistolaskurin, jotka on sidottu tuohon avaimeen.

Kun nuo laskurit liikkuvat taaksepäin, osa liikenteestä, joka olisi pitänyt hylätä, muuttuu jälleen hyväksyttäväksi. Variantista ja toteutuksesta riippuen radioetäisyydellä oleva hyökkääjä saattoi toistaa kehyksiä, purkaa niiden salauksen tai syöttää niitä. Ryhmäavaimen kättelyllä ja nopean siirtymän kättelyllä oli omat varianttinsa, minkä vuoksi tiedote luetteli useita hyökkäyksen nimiä yhden sijaan.

Android 6.0 ja uudemmat oli pahin tapaus. Sen wpa_supplicant-versiot voitiin pakottaa asentamaan avain, joka koostui pelkistä nollista, mikä teki salauksen purkamisen paljon helpommaksi kuin alustoilla, joilla uudelleenasennus vain nollasi laskurit. Tämä yksityiskohta erotti teoreettisen heikkouden käytännöllisestä tuon ajan yleisimmällä puhelinalustalla.

Korjaus asuu langattomassa pinossa

Ylävirran korjaus käski supplicantteja ja tukiasemia jättämään huomiotta uudelleenlähetetyn kättelyviestin, kun avain oli jo asennettu. wpa_supplicantin ja hostapdin paikatut versiot sisälsivät sen, ja jakelut siirsivät sen takaisin vanhempiin haaroihin, joten merkkijono, jonka wpa_supplicant -v tulostaa, on lähtökohta eikä tuomio. Lue jakelun turvatiedote ja vahvista nimenomainen paikkaus, älä vain versionumeroa. Vanhaa versiota ilmoittava koontiversio voi silti olla korjattu, ja uuden version koontiversiosta voi silti puuttua valmistajan takaisinporttaus.

Linkin molemmat päät tarvitsevat huomiota. Korjattu reititin ei paikkaa kannettavaa, joka liittyy siihen, eikä korjattu kannettava paikkaa reititintä. Valmistajat julkaisivat tuotekohtaisia tiedotteita, ja reitittimien korjaukset tulivat usein puhelinpäivitysten perässä, koska jokainen malli tarvitsee oman laiteohjelmistonsa. Jos laitteen viimeisin julkaisu on tiedotetta vanhempi, käsittele sitä paikkaamattomana, kunnes valmistaja sanoo toisin.

Laitteistolle, jota et voi päivittää, vaihtoehdot ovat kapeat ja vaatimattomat. Poista se käytöstä, pidä se poissa verkoista, joissa kulkee arkaluontoista liikennettä, tai rajaa se segmenttiin, jossa sen ainoat vertaiset ovat yhtä lailla korvattavissa. Mikään näistä vaihtoehdoista ei vaadi tilausta, eikä mikään parane valitsemalla toinen tunnelintarjoaja.

Mitä tunneli kattaa

VPN siirtää rajaa. Laitteesi salaa jokaisen paketin ja lähettää sen VPN-palvelimelle, joka purkaa salauksen ja välittää sen eteenpäin. Wi-Fi-linkkiä manipuloiva näkee ulommat tunnelipaketit, ei niiden sisällä olevaa hyötykuormaa, joten uudelleenasennushyökkäys, joka paljastaa siirtokerroksen kehykset, ei automaattisesti paljasta tunneloidun yhteyden sisältöä. Tämä suoja pitää, vaikka alla oleva langaton pino pysyy haavoittuvana, ja juuri siksi nämä kaksi kontrollia sekoitetaan.

Tarkenne on "tunneloitu". Jaettu tunnelointi, ohituslista tai captive-portaalin poikkeus lähettävät osan liikenteestä tunnelin ulkopuolelle, eikä se liikenne hyödy siitä. Sama koskee saman verkon muiden laitteiden liikennettä, jotka eivät koskaan asentaneet asiakasta. Tunneli on laite- ja reittikohtainen päätös, ei huoneen ominaisuus, ja reititintason VPN kattaa vain sen, mikä todella reitittyy reitittimen kautta.

Mitä tunneli ei voi tehdä, on korjata ajuria, pysäyttää deautentikointitulvaa tai estää hyökkääjää häiritsemästä kanavaa. Se ei voi suojata yhteyttä, joka ei koskaan mene siihen. Ne ovat käytettävyys- ja siirtokerroksen ongelmia, ja ne pysyvät langattoman pinon kanssa riippumatta siitä, kuinka vahva tunnelin salausvalikoima on.

HTTPS ja tunneli suojaavat eri hyppyjä

Yksi sivun lataus voi sisältää kolme erillistä suojaa: Wi-Fi-linkin, tunnelin VPN-palvelimelle ja TLS-istunnon verkkosivustolle. Jokainen neuvotellaan itsenäisesti. TLS kelvollisella varmenteella ja nykyaikaisella protokollaversiolla antaa sinulle todennetun salauksen selaimen ja sivuston välille, vaikka ensimmäinen hyppy olisi vihamielinen, koska varmenteen tarkistus estää huijaria korvaamasta omalla avaimellaan.

Tuolla tarkistuksella on heikkoja kohtia reunoilla. Uudelleenohjaus HTTPS:stä HTTP:hen, sivu, joka lataa skriptejä tavallisella HTTP:llä, tai käyttäjä, joka klikkaa varoituksen läpi, siirtävät kaikki liikennettä suojatun istunnon ulkopuolelle. HSTS ja selaimen välisivut ovat olemassa siksi, että nämä virheet ovat yleisiä, eivät siksi, että TLS olisi hauras.

HTTPS:n ja tunnelin pitäminen ei tee langattomasta toteutuksesta haavoittumatonta. Kehykset purkaa yhä viallinen ajuri; ero on siinä, mitä hyökkääjä niiden sisältä löytää ja oliko se sisältö jo suojattu jollakin muulla.

Korjausjärjestys sekalaiselle verkolle

Aloita tukiasemasta, koska se on laite, jota hallitset ja josta jokainen asiakas riippuu. Käy sitten läpi asiakkaiden käyttöjärjestelmät, vanhimmat ensin, sillä alustat, jotka lopettivat päivitysten saamisen, ovat niitä, joita ei koskaan paikata. Vasta kun tuo inventaario on tehty, VPN-päätös on mielekäs, ja se on päätös altistumisesta, ei korjauksesta. Toisessa järjestyksessä tekeminen, ensin tunneli ja myöhemmin laiteohjelmisto, jättää varsinaisen vian paikoilleen niin kauan kuin tilaus kestää.

Kirjoita ylös, mitä vahvistit, mukaan lukien laiteohjelmiston versio ja päivämäärä. "Päivitetty" ei ole tila, jonka kukaan voi tarkastaa myöhemmin.

Kolme tarkistusta kattaa suurimman osan työstä, ja ne menevät tässä järjestyksessä. Älä ohita kolmatta vain siksi, että kaksi ensimmäistä tulivat puhtaina takaisin.

• Reitittimen laiteohjelmisto: vertaa asennettua versiota valmistajan tiedotesivuun, älä päivityspainikkeeseen.
• Asiakkaan käyttöjärjestelmä: vahvista paikkaustaso, joka sisältää langattoman korjauksen jokaiselle puhelimelle, kannettavalle ja tabletille.
• Jäänteet: luettele laitteet, joilla ei ole paikkauspolkua, ja päätä poistaminen käytöstä, eristäminen tai hyväksyminen.

Jos jäänteiden lista on pitkä, asiakaseristyksen sisältävä vierasverkko ostaa aikaa laitteiston vaihdon ajaksi. Testaa sitten yksi tunnettu asiakas kullakin kaistalla, kirjaa tulos ja tarkista uudelleen seuraavan laiteohjelmistojulkaisun jälkeen. Laitteistoinventaario on se, mikä tekee seuraavasta tiedotteesta nopean; tunneli on se, mikä kattaa aukon sillä välin.