Verndar VPN gegn KRACK? Hvað lagfærir plástrinn

Ef þú kaupir VPN vegna þess að fyrirsögn sagði KRACK brjóta Wi-Fi-dulkóðun, ertu að laga rangt lag. Sú opinberun árið 2017 lýsti fjölskyldu árása með enduruppsetningu lykils á fjögurra þrepa handabandi WPA2, og lagfæringin kom sem uppfærslur stýrikerfis, plástrar fyrir þráðlausa rekla og vélbúnaður leiðarans. Göng geta falið umferðina þína frá staðarnetinu, en geta ekki gert við handaband sem lýkur fyrir neðan það. Þannig að fyrsta spurningin er ekki hvaða VPN á að kaupa; heldur hvaða tæki hjá þér keyra enn óplástraða þráðlausa stöflu.

Sama aðgreining svarar áhyggjunum um fjárhag. Sá sem hefur ekki efni á áskrift var aldrei lokaður frá raunverulegu ráði, því ráðið var ókeypis uppfærsla. Peningar fara í að skipta um vélbúnað sem fær enga uppfærslu lengur.

Hvað árásin hagræddi í raun

WPA2 leiðir út nýjan parlykil við tengingu með fjögurra þrepa handabandi. Aðgangsstöðin sendir nonce, biðlarinn svarar með sínum, báðir aðilar reikna parlykilinn sem er tímabundinn, og aðgangsstöðin staðfestir með skeyti sem biðlarinn kann við. Árás með enduruppsetningu lykils truflar þessa röð í stað þess að giska á lykilsetninguna og þvingar biðlara til að setja upp lykil sem hann hefur þegar sett upp. Hver enduruppsetning getur núllstillt sendingar-nonce og mótökuteljarann sem tengist þeim lykli.

Þegar þessir teljarar fara aftur á bak verður hluti umferðar sem hefði átt að hafna aftur ásættanlegur. Eftir afbrigði og útfærslu gat árásarmaður innan radíusviðs endurspilað ramma, dulráðið þá eða sprautað þeim inn. Hópuppsetningarhandabandið og handabandið fyrir hraða yfirfærslu höfðu sín eigin afbrigði, og þess vegna taldi tilkynningin upp nokkur árásarheiti í stað eins.

Android 6.0 og nýrri var versti punkturinn. Hægt var að þvinga wpa_supplicant-útgáfur þess til að setja upp lykil sem var allur núll, sem gerði dulráðningu mun auðveldari en á kerfum þar sem enduruppsetning núllstillti aðeins teljara. Sú smáatriði aðgreindi fræðilegan veikleika frá hagnýtum á algengustu símastefnunni á þeim tíma.

Lagfæringin býr í þráðlausu stöflunni

Lagfæringin frá upphafsstað sagði supplicantum og aðgangsstöðvum að hunsa endursent handabandsskeyti þegar lykillinn væri þegar uppsettur. Plástraðar útgáfur af wpa_supplicant og hostapd báru hana, og dreifingar fluttu hana aftur í eldri greinar, svo strengurinn sem wpa_supplicant -v prentar er upphafspunktur en ekki dómur. Lestu öryggistilkynningu dreifingarinnar og staðfestu tiltekna plástrinn, ekki bara útgáfunúmerið. Útgáfa sem tilkynnir gamalt númer getur samt verið lagfærð, og útgáfa með nýtt númer getur samt vantað bakfærslu framleiðandans.

Báðir endar tengsins þurfa athygli. Lagfærður leiðari plástrar ekki fartölvuna sem tengist honum, og lagfærð fartölva plástrar ekki leiðarann. Framleiðendur birtu tilkynningar fyrir hverja vöru, og lagfæringar leiðara drógust oft á eftir uppfærslum síma því hvert módel þarf sína eigin vélbúnaðarútgáfu. Ef síðasta útgáfa tækis er eldri en tilkynningin skaltu meðhöndla það sem óplástrað þar til framleiðandinn segir annað.

Fyrir búnað sem þú getur ekki uppfært eru valkostirnir þröngir og ekki glæsilegir. Taktu hann úr notkun, haltu honum fjarri netum sem flytja viðkvæma umferð, eða takmarkaðu hann við hluta þar sem einu jafningjar hans eru jafn fórnanlegir. Enginn þessara valkosta felur í sér áskrift, og enginn þeirra batnar við að velja annan gönguveitanda.

Hvað göngin þekja

VPN færir mörkin. Tækið þitt dulritar hverja pakkann og sendir hann á VPN-þjón, sem dulráðir hann og sendir áfram. Sá sem hagræðir Wi-Fi-tenginu sér ytri göngupakka, ekki farminn inni í þeim, svo árás með enduruppsetningu sem afhjúpar ramma tengilagsins afhjúpar ekki sjálfkrafa innihald göngutengsins. Sú vörn heldur jafnvel þegar þráðlausa stafan fyrir neðan er enn veik, og þess vegna ruglast stjórnin tvö.

Skilyrðið er „gönguð“. Skipt göng, framhjáhlaupsskrá eða undantekning fyrir gistigátt senda hluta umferðar út fyrir göngin, og sú umferð hefur ekkert gagn af þeim. Sama gildir um umferð annarra tækja á sama neti sem settu biðlarann aldrei upp. Göng eru ákvörðun fyrir hvert tæki og hverja leið, ekki eiginleiki herbergisins, og VPN á leiðarastigi þekur aðeins það sem raunverulega fer í gegnum leiðarann.

Það sem göngin geta ekki gert er að laga rekilinn, stöðva straum af afvottun eða koma í veg fyrir að árásarmaður trufli rásina. Þau geta heldur ekki varið tengingu sem fer aldrei inn í þau. Þetta eru vandamál um aðgengi og tengilags, og þau fylgja þráðlausu stöflunni sama hversu sterk dulritunarsettin á göngunum eru.

HTTPS og göngin vernda mismunandi stökk

Ein síðuhleðsla getur falið í sér þrjár aðskildar varnir: Wi-Fi-tengið, göngin að VPN-þjóninum og TLS-lotuna að vefsvæðinu. Hver þeirra er samin sjálfstætt. TLS með gildri skírteini og nútímalegri útgáfu samskiptaregla gefur þér sannvottaða dulritun milli vafra og vefsvæðis jafnvel þegar fyrsta stökkið er fjandsamlegt, því skírteinaprófunin er það sem kemur í veg fyrir að svikari setji inn eigin lykil.

Sú prófun hefur veika punkta á brúnunum. Endurbeining frá HTTPS í HTTP, síða sem hleður skriftum yfir venjulegt HTTP, eða notandi sem smellir í gegnum skírteinaviðvörun færa öll umferð út fyrir verndaðu lotuna. HSTS og millisíður vafrans eru til vegna þess að þessar villur eru algengar, ekki vegna þess að TLS sé brothætt.

Að halda HTTPS og göngum gerir þráðlausu útfærsluna ekki óveika. Rammarnir eru enn dulráðnir af gallaðri rekli; munurinn er hvað árásarmaðurinn finnur inni í þeim og hvort það innihald hafi þegar verið varið af einhverju öðru.

Lagfæringarröð fyrir blandað net

Byrjaðu á aðgangsstöðinni, því hún er tækið sem þú stýrir og sem hver biðlari reiðir sig á. Farðu svo í gegnum stýrikerfi biðlara, þau elstu fyrst, þar sem kerfin sem hættu að fá uppfærslur eru þau sem verða aldrei plástruð. Aðeins eftir að þeirri skrá er lokið er VPN-ákvörðun skynsamleg, og hún snýst um áhættu, ekki lagfæringu. Að gera það í öfugri röð, göng fyrst og vélbúnaður síðar, lætur raunverulega gallann vera á sínum stað svo lengi sem áskriftin stendur.

Skrifaðu niður hvað þú staðfestir, þar á meðal vélbúnaðarútgáfu og dagsetningu. „Uppfært“ er ekki ástand sem nokkur getur endurskoðað síðar.

Þrjár prófanir þekja mestan hluta vinnunnar, og þær fara í þessari röð. Slepptu ekki þeirri þriðju bara af því að fyrstu tvær komu hreinar til baka.

• Vélbúnaður leiðara: berðu saman uppsettu útgáfuna við tilkynningarsíðu framleiðandans, ekki við uppfærsluhnappinn.
• Stýrikerfi biðlara: staðfestu plástrastigið sem felur í sér þráðlausu lagfæringuna fyrir hvern síma, fartölvu og spjaldtölvu.
• Afgangar: skráðu tæki án plástraleiðar og ákveddu að taka úr notkun, einangra eða samþykkja.

Ef afgangalistinn er langur kaupir gestanet með biðlaraeinangrun tíma á meðan skipt er um vélbúnað. Prófaðu svo einn þekktan biðlara á hverju bandi, skráðu niðurstöðuna og athugaðu aftur eftir næstu vélbúnaðarútgáfu. Vélbúnaðarskráin er það sem gerir næstu tilkynningu skjóta; göngin eru það sem þekja bilið á meðan.