Beskermet in VPN tsjin KRACK? Wat de patch reparearret

As jo in VPN keapje om't in kop sei dat KRACK de Wi-Fi-fersifering brekt, reparearje jo de ferkearde laach. Dy iepenbaring út 2017 beskreau in famylje oanfallen fan kaaiwerienstallaasje op 'e fjouwerwei-hânskodding fan WPA2, en de reparaasje kaam as updates fan it bestjoeringssysteem, patches foar draadleaze stjoerders en routerfirmware. In tunnel kin jo ferkear foar it lokale netwurk ferbergje, mar hy kin in hânskodding net reparearje dy't derûnder einiget. Dat de earste fraach is net hokker VPN jo keapje; it is hokker fan jo apparaten noch in net patchearre draadleaze stack draait.

Deselde ûnderskied beantwurdet de soarch oer it budzjet. Wa't in abonnemint net betelje kin, is nea fan 'e echte oplossing útsletten, want de oplossing wie in fergees update. Jild kostet it ferfangen fan hardware dy't gjin update mear krijt.

Wat de oanfal eins manipulearre

WPA2 liedt by ferbining in nije pearkaai ôf fia in fjouwerwei-hânskodding. It tagongspunt stjoert in nonce, de klant antwurdet mei syn eigen, beide kanten berekkenje de pearkaai foar tydlik gebrûk, en it tagongspunt befêstiget mei in berjocht dat de klant befêstiget. In oanfal fan kaaiwerienstallaasje steurt dy folchoarder yn plak fan it wachtwurd te rieden, en twingt in klant in kaai te ynstallearjen dy't er al ynstallearre hat. Eltse werienstallaasje kin de stjoer-nonce en de ûntfangst-werhellingsteller weromsette dy't oan dy kaai bûn binne.

Sadree't dy tellers efterút bewege, wurdt in part fan it ferkear dat wegere wurde moatten hie wer akseptabel. Ofhinklik fan 'e fariant en de ymplemintaasje koe in oanfaller binnen radiobedrach frames werhelje, ûntsiferje of ynfiere. De groepskaai-hânskodding en de hânskodding foar flugge oergong hiene har eigen farianten, en dêrom listte de warskôging ferskate oanfalsnammen yn plak fan ien.

Android 6.0 en letter wie it minste gefal. De wpa_supplicant-ferzjes dêrfan koene twongen wurde in kaai fan allegear nullen te ynstallearjen, wat ûntsiferjen folle makliker makke as op platfoarms dêr't werienstallaasje allinnich tellers weromset. Dat detail skiede in teoretyske swakheid fan in praktyske op it meast foarkommende telefoanplatfoarm fan doe.

De reparaasje wennet yn 'e draadleaze stack

De korreksje fan boppen seine tsjin supplicants en tagongspunten dat se in opnij ferstjoerd hânskoddingsberjocht negearje moasten sadree't de kaai al ynstallearre wie. Patchearre builds fan wpa_supplicant en hostapd droegen it, en distribúsjes portearren it werom nei âldere tûken, dus de tekenrige dy't wpa_supplicant -v printsje lit, is in útgongspunt en gjin feroardieling. Lês de befeiligingswarskôging fan 'e distribúsje en befêstigje de spesifike patch, net allinnich it ferzjenûmer. In build dy't in âlde ferzje meldt, kin noch altyd reparearre wêze, en in build mei in nije ferzje kin noch altyd in efterport fan 'e fabrikant misse.

Beide einen fan 'e ferbining hawwe oandacht nedich. In reparearre router patchet de laptop net dy't dermei ferbynt, en in reparearre laptop patchet de router net. Fabrikanten publisearren warskôgingen per produkt, en routerreparaasjes rûnen faak efter op telefoanupdates om't elk model syn eigen firmwarebuild nedich hat. As de lêste útjefte fan in apparaat foar de warskôging is, behannelje it dan as net patchearre oant de fabrikant oars seit.

Foar apparatuer dy't jo net bywurkje kinne, binne de opsjes smel en net glânsryk. Set it út 'e tsjinst, hâld it fuort fan netwurken dy't gefoelich ferkear drage, of behein it ta in segmint dêr't syn iennichste gelikens like ferfongber binne. Gjin fan dy opsjes befettet in abonnemint, en gjin fan allegear wurdt better troch in oare tunnelprovider te kiezen.

Wat in tunnel wol dekt

In VPN ferpleatst de grins. Jo apparaat fersiferelet elk pakket en stjoert it nei in VPN-tsjinner, dy't it ûntsiferet en trochstjoert. Immen dy't de Wi-Fi-ferbining manipulearret, sjocht bûtenste tunnelpakketten, net de lading derbinnen, dus in werienstallaasje-oanfal dy't frames fan 'e keppellaach bleatleit, bleatleit net automatysk de ynhâld fan 'e tunnelferbining. Dy beskerming hâldt sels wylst de draadleaze stack derûnder kwetsber bliuwt, en dat is krekt wêrom't de twa kontrôles betize wurde.

De betingst is "tunnele". Splitst tunnele, in omgongslist of in útsûndering foar captive portal stjoere in part fan it ferkear bûten de tunnel, en dat ferkear hat dêr gjin foardiel fan. Itselde jildt foar ferkear fan oare apparaten op itselde netwurk dy't de klant nea ynstallearre hawwe. In tunnel is in beslissing per apparaat en per rûte, net in eigenskip fan 'e keamer, en in VPN op routernivo dekt allinnich wat wier troch de router rûtelet.

Wat de tunnel net kin, is de stjoerder reparearje, in deautentikaasjefloed stopje of in oanfaller tsjinhâlde it kanaal te jamjen. Hy kin ek gjin ferbining beskermje dy't der nea yn giet. Dat binne beskikberens- en keppellaachproblemen, en se bliuwe by de draadleaze stack, hoe sterk de siferharnas fan 'e tunnel ek is.

HTTPS en de tunnel beskermje ferskate sprongen

Ien sidebelading kin trije aparte beskermingen hawwe: de Wi-Fi-ferbining, de tunnel nei de VPN-tsjinner en de TLS-sesje nei de webside. Elk fan harren wurdt ûnôfhinklik ûnderhannele. TLS mei in jildich sertifikaat en in moderne protokolfersje jout jo autentisearre fersifering tusken browser en side, sels as de earste sprong fijannich is, want de sertifikaatkontrôle is wat in oplichtser tsjinhâldt syn eigen kaai te ferfangen.

Dy kontrôle hat swakke plakken oan 'e rânen. In trochferwizing fan HTTPS nei HTTP, in side dy't skripts oer gewoane HTTP laden lit, of in brûker dy't troch in sertifikaatswarskôging klikt, ferpleatse allegear ferkear bûten de beskerme sesje. HSTS en de tuskenblêden fan 'e browser besteane om't dy flaters faak foarkomme, net om't TLS brekber is.

HTTPS en in tunnel hâlde makket de draadleaze ymplemintaasje net ûnkwetsber. De frames wurde noch altyd ûntsifere troch in defekte stjoerder; it ferskil is wat de oanfaller derbinnen fynt en oft dy ynhâld al troch eat oars beskerme wie.

Reparaasjefolchoarder foar in mingd netwurk

Begjin by it tagongspunt, want dat is it apparaat dat jo kontrolearje en dêr't elke klant fan ôfhinget. Gean dan troch de bestjoeringssystemen fan 'e klanten, de âldsten earst, want platfoarms dy't opholden binne mei it krijen fan updates, binne dejingen dy't nea patchearre wurde. Pas as dy ynventarisaasje klear is, hat in VPN-beslissing sin, en it is in beslissing oer bleatstelling, net oer reparaasje. It oarsom dwaan, earst tunnel en letter firmware, lit it echte defekt op syn plak oant it abonnemint duorret.

Skriuw op wat jo ferifiearre hawwe, ynklusyf de firmwareferzje en de datum. "Bywurke" is gjin steat dy't immen letter auditearje kin.

Trije kontrôles dekke it grutste part fan it wurk, en se gean yn dizze folchoarder. Sla dochs de tredde net oer om't de earste twa skjin weromkamen.

• Routerfirmware: fergelykje de ynstallearre ferzje mei de warskôgingsside fan 'e fabrikant, net mei de updateknop.
• Klant-OS: befêstigje it patchnivo dat de draadleaze reparaasje foar elke telefoan, laptop en tablet befettet.
• Oerbliuwsels: list apparaten sûnder patchpaad op en beslute ôfslute, isolearje of akseptearje.

As de list mei oerbliuwsels lang is, keapet in gastnetwurk mei klantisolaasje tiid wylst hardware ferfongen wurdt. Test dan ien bekende klant op elke band, skriuw it resultaat op en kontrolearje wer nei de folgjende firmware-útjefte. De hardware-ynventarisaasje is wat de folgjende warskôging fluch makket; de tunnel is wat de gat yn 'e tuskentiid dekt.