Արդյո՞ք VPN-ը պաշտպանում է KRACK-ից։ ինչ է շտկում կարկատակը

Եթե դուք VPN եք գնում, որովհետև վերնագիրն ասել էր, թե KRACK-ը կոտրում է Wi-Fi-ի գաղտնագրումը, դուք վերանորոգում եք սխալ շերտը։ 2017-ի այդ բացահայտումը նկարագրում էր բանալու վերատեղադրման հարձակումների ընտանիք WPA2-ի քառաքայլ ձեռքսեղմման դեմ, և վերանորոգումը եկավ որպես օպերացիոն համակարգի թարմացումներ, անլար դրայվերների կարկատակներ և երթուղիչի որոնված։ Թունելը կարող է թաքցնել ձեր երթևեկությունը տեղական ցանցից, բայց չի կարող վերանորոգել ձեռքսեղմում, որն ավարտվում է դրա տակ։ Այսպիսով, առաջին հարցը չէ, թե որ VPN-ը գնել՝ այն է, թե ձեր սարքերից որն է դեռ աշխատում չկարկատված անլար կույտով։

Նույն տարբերությունը պատասխանում է բյուջեի անհանգստությանը։ Նա, ով չի կարող վճարել բաժանորդագրության համար, երբեք դուրս չի մնացել իրական լուծումից, որովհետև լուծումը անվճար թարմացում էր։ Փող արժե այն սարքավորումը փոխարինելը, որն այլևս թարմացում չի ստանում։

Ինչն է իրականում շահարկել հարձակումը

WPA2-ը միացման պահին ածանցում է նոր զույգ բանալի քառաքայլ ձեռքսեղմման միջոցով։ Մուտքի կետը ուղարկում է nonce, հաճախորդը պատասխանում է իր սեփականով, երկու կողմերը հաշվարկում են զույգի անցողիկ բանալին, և մուտքի կետը հաստատում է հաղորդագրությամբ, որը հաճախորդը հաստատում է։ Բանալու վերատեղադրման հարձակումը միջամտում է այդ հաջորդականությանը՝ գաղտնաբառը գուշակելու փոխարեն, և ստիպում է հաճախորդին տեղադրել բանալի, որն արդեն տեղադրել է։ Յուրաքանչյուր վերատեղադրում կարող է վերակայել փոխանցման nonce-ը և այդ բանալու հետ կապված ընդունման կրկնության հաշվիչը։

Հենց այդ հաշվիչները հետ են շարժվում, երթևեկության մի մասը, որը պետք է մերժվեր, նորից ընդունելի է դառնում։ Տարբերակից և իրականացումից կախված՝ ռադիոտիրույթում գտնվող հարձակվողը կարող էր կրկնել շրջանակները, վերծանել դրանք կամ ներարկել։ Խմբային բանալու ձեռքսեղմումը և արագ անցման ձեռքսեղմումը ունեին իրենց տարբերակները, դրա համար էլ ծանուցումը թվարկում էր մի քանի հարձակման անուն, ոչ թե մեկը։

Android 6.0-ը և ավելի նորերը ամենավատ դեպքն էին։ Դրա wpa_supplicant տարբերակները կարելի էր ստիպել տեղադրել ամբողջությամբ զրոներից բաղկացած բանալի, ինչը վերծանումը շատ ավելի հեշտ էր դարձնում, քան այն հարթակներում, որտեղ վերատեղադրումը միայն վերակայում էր հաշվիչները։ Այդ մանրամասնությունը տարանջատեց տեսական թուլությունը գործնականից այն ժամանակվա ամենատարածված հեռախոսային հարթակում։

Ուղղումը ապրում է անլար կույտում

Վերին մակարդակի ուղղումը supplicant-ներին և մուտքի կետերին ասաց անտեսել վերաուղարկված ձեռքսեղմման հաղորդագրությունը, երբ բանալին արդեն տեղադրված է։ Wpa_supplicant-ի և hostapd-ի կարկատված կառուցումները կրում էին այն, և բաշխումները այն հետ տեղափոխեցին հին ճյուղեր, ուստի wpa_supplicant -v-ի տպած տողը մեկնարկային կետ է, ոչ դատավճիռ։ Կարդացեք բաշխման անվտանգության ծանուցումը և հաստատեք կոնկրետ կարկատակը, ոչ միայն տարբերակի համարը։ Հին տարբերակ հաղորդող կառուցումը դեռ կարող է ուղղված լինել, և նոր տարբերակով կառուցումը դեռ կարող է չունենալ արտադրողի կարկատակ։

Կապի երկու ծայրերն էլ ուշադրություն են պահանջում։ Վերանորոգված երթուղիչը չի կարկատում դրան միացող նոթբուքը, և վերանորոգված նոթբուքը չի կարկատում երթուղիչը։ Արտադրողները հրապարակում էին ծանուցումներ ըստ ապրանքի, և երթուղիչների ուղղումները սովորաբար հետ էին մնում հեռախոսների թարմացումներից, որովհետև յուրաքանչյուր մոդել պահանջում է իր որոնվածի կառուցումը։ Եթե սարքի վերջին թողարկումը նախորդում է ծանուցմանը, վերաբերվեք դրան որպես չկարկատված, քանի դեռ արտադրողը հակառակը չի ասել։

Սարքավորումների համար, որոնք չեք կարող թարմացնել, տարբերակները նեղ են և ոչ փայլուն։ Հանեք դրանք շահագործումից, հեռու պահեք զգայուն երթևեկություն կրող ցանցերից կամ սահմանափակեք այնպիսի սեգմենտով, որտեղ նրա միակ հասակակիցները նույնքան զոհաբերելի են։ Այս տարբերակներից ոչ մեկը բաժանորդագրություն չի պահանջում, և ոչ մեկը չի բարելավվում այլ թունելի մատակարար ընտրելով։

Ինչ է ծածկում թունելը

VPN-ը տեղափոխում է սահմանը։ Ձեր սարքը գաղտնագրում է յուրաքանչյուր փաթեթ և ուղարկում VPN սերվերին, որը վերծանում է այն և փոխանցում առաջ։ Նա, ով շահարկում է Wi-Fi կապը, տեսնում է թունելի արտաքին փաթեթները, ոչ թե դրանց ներսի բեռը, ուստի վերատեղադրման հարձակումը, որը բացահայտում է կապի շերտի շրջանակները, ինքնաբերաբար չի բացահայտում թունելավորված կապի բովանդակությունը։ Այդ պաշտպանությունը պահպանվում է նույնիսկ այն ժամանակ, երբ դրա տակ գտնվող անլար կույտը մնում է խոցելի, և հենց դրա համար են երկու վերահսկիչները շփոթում։

Պայմանը «թունելավորված» բառն է։ Բաժանված թունելավորումը, շրջանցման ցանկը կամ captive պորտալի բացառությունը երթևեկության մի մասը ուղարկում են թունելից դուրս, և այդ երթևեկությունը ոչ մի օգուտ չի ստանում դրանից։ Նույնը վերաբերում է նույն ցանցի այլ սարքերի երթևեկությանը, որոնք երբեք չեն տեղադրել հաճախորդը։ Թունելը որոշում է յուրաքանչյուր սարքի և յուրաքանչյուր երթուղու համար, ոչ թե սենյակի հատկություն, և երթուղիչի մակարդակի VPN-ը ծածկում է միայն այն, ինչ իրականում անցնում է երթուղիչով։

Ինչ թունելը չի կարող անել՝ դա դրայվերը վերանորոգելն է, ապաութենտիֆիկացիայի հեղեղը կանգնեցնելը կամ հարձակվողին ալիքը խցանելուց հետ պահելը։ Այն նաև չի կարող պաշտպանել կապ, որը երբեք չի մտնում դրա մեջ։ Դրանք հասանելիության և կապի շերտի խնդիրներ են, և դրանք մնում են անլար կույտի հետ, որքան էլ ուժեղ լինի թունելի գաղտնագրման հավաքածուն։

HTTPS-ը և թունելը պաշտպանում են տարբեր ցատկեր

Մեկ էջի բեռնումը կարող է ներառել երեք առանձին պաշտպանություն՝ Wi-Fi կապը, դեպի VPN սերվեր տանող թունելը և դեպի կայք տանող TLS նստաշրջանը։ Յուրաքանչյուրը բանակցվում է ինքնուրույն։ Վավեր վկայագրով և ժամանակակից արձանագրության տարբերակով TLS-ը ձեզ տալիս է նույնականացված գաղտնագրում դիտարկիչի և կայքի միջև նույնիսկ այն դեպքում, երբ առաջին ցատկը թշնամական է, որովհետև վկայագրի ստուգումն է, որ խանգարում է խաբեբային փոխարինել իր սեփական բանալին։

Այդ ստուգումն ունի թույլ կետեր եզրերին։ HTTPS-ից HTTP վերահասցեավորումը, պարզ HTTP-ով սկրիպտներ բեռնող էջը կամ վկայագրի նախազգուշացումը սեղմելով անցնող օգտատերը բոլորը երթևեկությունը դուրս են բերում պաշտպանված նստաշրջանից։ HSTS-ը և դիտարկիչի միջանկյալ էջերը գոյություն ունեն այն պատճառով, որ այդ սխալները սովորական են, ոչ թե այն պատճառով, որ TLS-ը փխրուն է։

HTTPS-ը և թունելը պահելը չի դարձնում անլար իրականացումն անխոցելի։ Շրջանակները դեռ վերծանվում են անսարք դրայվերի կողմից՝ տարբերությունը նրանում է, թե ինչ է հարձակվողը գտնում դրանց ներսում և արդյոք այդ բովանդակությունն արդեն պաշտպանված էր այլ բանով։

Վերանորոգման կարգը խառը ցանցի համար

Սկսեք մուտքի կետից, որովհետև դա այն սարքն է, որը դուք վերահսկում եք, և որից կախված է յուրաքանչյուր հաճախորդ։ Ապա անցեք հաճախորդների օպերացիոն համակարգերով՝ ամենահիներից սկսած, քանի որ թարմացումներ ստանալուց դադարած հարթակներն են, որ երբեք չեն կարկատվի։ Միայն այդ գույքագրումն ավարտելուց հետո է VPN-ի որոշումը իմաստալից, և դա որոշում է ազդեցության մասին, ոչ վերանորոգման։ Հակառակ կարգով անելը՝ սկզբում թունել, հետո որոնված, իրական թերությունը թողնում է տեղում այնքան ժամանակ, որքան տևում է բաժանորդագրությունը։

Գրի առեք, թե ինչ եք ստուգել, ներառյալ որոնվածի տարբերակը և ամսաթիվը։ «թարմացված» այն վիճակը չէ, որ ինչ-որ մեկը հետագայում կարող է աուդիտ անել։

Երեք ստուգում ծածկում են աշխատանքի մեծ մասը, և դրանք գնում են այս կարգով։ Մի բաց թողեք երրորդը միայն այն պատճառով, որ առաջին երկուսը մաքուր վերադարձան։

• Երթուղիչի որոնված՝ համեմատեք տեղադրված տարբերակը արտադրողի ծանուցումների էջի հետ, ոչ թե թարմացման կոճակի։
• Հաճախորդի ՕՀ՝ հաստատեք կարկատակների մակարդակը, որը ներառում է անլար ուղղումը յուրաքանչյուր հեռախոսի, նոթբուքի և պլանշետի համար։
• Մնացորդներ՝ թվարկեք սարքերը, որոնք կարկատակի ուղի չունեն, և որոշեք հանել շահագործումից, մեկուսացնել կամ ընդունել։

Եթե մնացորդների ցանկը երկար է, հաճախորդների մեկուսացումով հյուր ցանցը ժամանակ է գնում, մինչ սարքավորումը փոխարինվում է։ Ապա փորձարկեք մեկ հայտնի հաճախորդ յուրաքանչյուր տիրույթում, գրի առեք արդյունքը և նորից ստուգեք հաջորդ որոնվածի թողարկումից հետո։ Սարքավորումների գույքագրումն է այն, ինչ հաջորդ ծանուցումը դարձնում է արագ՝ թունելն է այն, ինչ ծածկում է բացը այդ ընթացքում։