Štiti li VPN od KRACK? Što zakrpa ispravlja

Ako kupujete VPN jer je naslov rekao da KRACK razbija Wi-Fi enkripciju, popravljate pogrešan sloj. To priopćenje iz 2017. opisalo je porodicu napada reinstalacijom ključa na WPA2 rukovanje u četiri koraka, a popravak je stigao kao ažuriranja operativnih sustava, zakrpe za bežične upravljačke programe i firmware usmjerivača. Tunel može sakriti vaš promet od lokalne mreže, ali ne može popraviti rukovanje koje se završava ispod njega. Zato prvo pitanje nije koji VPN kupiti; nego koji od vaših uređaja još uvijek pokreće nezakrpljeni bežični stog.

Ista razlika odgovara i na proračunsku brigu. Onaj tko ne može priuštiti pretplatu nikada nije bio isključen iz pravog rješenja, jer rješenje je bilo besplatno ažuriranje. Novac košta zamjena hardvera koji više ne dobiva ažuriranje.

Što je napad zapravo manipulirao

WPA2 izvodi svježi parni ključ u trenutku pridruživanja kroz rukovanje u četiri koraka. Pristupna točka šalje nonce, klijent odgovara svojim, obje strane izračunavaju parni prolazni ključ, a pristupna točka potvrđuje porukom koju klijent potvrđuje. Napad reinstalacijom ključa ometa taj slijed umjesto da pogađa lozinku, prisiljavajući klijent da instalira ključ koji je već instalirao. Svaka reinstalacija može resetirati nonce za prijenos i brojač ponavljanja za prijem vezan za taj ključ.

Kad se ti brojači pomaknu unatrag, dio prometa koji je trebalo biti odbijen ponovno postaje prihvatljiv. Ovisno o varijanti i implementaciji, napadač u radiodometu mogao je ponavljati okvire, dešifrirati ih ili ih ubacivati. Rukovanje grupnim ključem i rukovanje brzim prijelazom imali su svoje varijante, zato je savjet naveo nekoliko imena napada umjesto jednog.

Android 6.0 i noviji bio je najgori slučaj. Njegove verzije wpa_supplicant mogle su se prisiliti da instaliraju ključ sa svim nulama, što je dešifriranje činilo daleko lakšim nego na platformama gdje reinstalacija samo resetira brojače. Taj je detalj odvojio teorijsku slabost od praktične na najčešćoj telefonskoj platformi tog vremena.

Popravak živi u bežičnom stogu

Ispravak s izvora rekao je supplicantima i pristupnim točkama da ignoriraju ponovno poslanu poruku rukovanja kad je ključ već instaliran. Zakrpljene verzije wpa_supplicant i hostapd nosile su je, a distribucije su je prenijele u starije grane, pa je niz koji ispisuje wpa_supplicant -v početna točka, a ne presuda. Pročitajte sigurnosni savjet distribucije i potvrdite konkretnu zakrpu, ne samo broj verzije. Verzija koja prijavljuje stari broj ipak može biti popravljena, a verzija s novim brojem ipak može nemati proizvođačku zakrpu.

Oba kraja veze traže pažnju. Popravljen usmjerivač ne zakrpljuje prijenosnik koji se s njim povezuje, a popravljen prijenosnik ne zakrpljuje usmjerivač. Proizvođači su objavljivali savjete po proizvodu, a popravci usmjerivača obično su zaostajali za ažuriranjima telefona jer svaki model traži vlastitu verziju firmwarea. Ako je posljednje izdanje nekog uređaja starije od savjeta, tretirajte ga kao nezakrpljeno dok proizvođač ne kaže drugačije.

Za opremu koju ne možete ažurirati, opcije su uske i neatraktivne. Izvedite je iz upotrebe, držite je podalje od mreža koje nose osjetljiv promet ili je ograničite na segment gdje su jedini susjedi jednako potrošni. Nijedna od tih opcija ne uključuje pretplatu i nijedna se ne poboljšava izborom drugog pružatelja tunela.

Što tunel ipak pokriva

VPN pomiče granicu. Vaš uređaj šifrira svaki paket i šalje ga VPN poslužitelju, koji ga dešifrira i prosljeđuje dalje. Osoba koja manipulira Wi-Fi vezom vidi vanjske pakete tunela, ne sadržaj unutar njih, pa napad reinstalacijom koji otkriva okvire na razini veze ne otkriva automatski sadržaj tunelirane veze. Ta zaštita vrijedi i dok bežični stog ispod ostaje ranjiv, i upravo se zato dvije kontrole brkaju.

Kvalifikator je "tunelirano". Podijeljeno tuneliranje, lista zaobilaženja ili izuzetak za captive portal šalju dio prometa izvan tunela, a taj promet nema nikakve koristi od njega. Isto vrijedi za promet drugih uređaja na istoj mreži koji nikada nisu instalirali klijent. Tunel je odluka po uređaju i po ruti, a ne svojstvo prostorije, i VPN na razini usmjerivača pokriva samo ono što zaista prolazi kroz usmjerivač.

Ono što tunel ne može jest popraviti upravljački program, zaustaviti poplavu deautentikacije ili spriječiti napadača da ometa kanal. Ne može zaštititi ni vezu koja nikada u njega ne uđe. To su problemi dostupnosti i razine veze, i oni ostaju uz bežični stog bez obzira na to koliko je jak šifarski skup na tunelu.

HTTPS i tunel štite različite skokove

Jedno učitavanje stranice može uključivati tri odvojene zaštite: Wi-Fi vezu, tunel do VPN poslužitelja i TLS sesiju do web stranice. Svaka se pregovara neovisno. TLS s važećim certifikatom i modernom verzijom protokola daje vam autentificiranu enkripciju između preglednika i stranice čak i kad je prvi skok neprijateljski, jer provjera certifikata je ono što sprječava prevaranta da podmetne svoj ključ.

Ta provjera ima slabe točke na rubovima. Preusmjeravanje s HTTPS na HTTP, stranica koja učitava skripte preko običnog HTTP-a ili korisnik koji klikne kroz upozorenje o certifikatu svi izvode promet izvan zaštićene sesije. HSTS i međustranice preglednika postoje zato što su te greške česte, a ne zato što je TLS krhak.

Zadržavanje HTTPS-a i tunela ne čini bežičnu implementaciju prestalom biti ranjiva. Okviri se i dalje dešifriraju neispravnim upravljačkim programom; razlika je što napadač nađe unutra i je li taj sadržaj već bio zaštićen nečim drugim.

Redoslijed popravka za mješovitu mrežu

Počnite s pristupnom točkom, jer je to uređaj koji kontrolirate i o kojem ovisi svaki klijent. Zatim prođite kroz klijentske operativne sustave, od najstarijih, jer platforme koje su prestale dobivati ažuriranja nikada neće biti zakrpljene. Tek kad je taj popis gotov, odluka o VPN-u ima smisla, i to je odluka o izloženosti, a ne o popravku. Raditi to obrnutim redom, prvo tunel pa firmware, ostavlja stvarni defekt na mjestu dokle god pretplata traje.

Zapišite što ste provjerili, uključujući verziju firmwarea i datum. "Ažurirano" nije stanje koje bilo tko može kasnije revidirati.

Tri provjere pokrivaju većinu posla, i idu tim redom. Ne preskačite treću samo zato što su prve dvije vratile čist rezultat.

• Firmware usmjerivača: usporedite instaliranu verziju sa stranicom savjeta proizvođača, a ne s gumbom za ažuriranje.
• Klijentski OS: potvrdite razinu zakrpa koja uključuje bežični popravak za svaki telefon, prijenosnik i tablet.
• Ostaci: popišite uređaje bez puta za zakrpu i odlučite izvesti iz upotrebe, izolirati ili prihvatiti.

Ako je lista ostataka duga, gostujuća mreža s izolacijom klijenata kupuje vrijeme dok se hardver zamjenjuje. Zatim testirajte jedan poznati klijent na svakom pojasu, zapišite rezultat i provjerite ponovno nakon sljedećeg izdanja firmwarea. Popis hardvera je ono što sljedeći savjet čini brzim; tunel je ono što pokriva prazninu u međuvremenu.