იცავს VPN KRACK-ისგან? რას ასწორებს პაჩი

თუ VPN-ს ყიდულობთ იმიტომ, რომ სათაურმა თქვა, თითქოს KRACK Wi-Fi-ის დაშიფვრას ტეხს, არასწორ შრეს არემონტებთ. 2017 წლის იმ გამჟღავნებამ აღწერა გასაღების ხელახალი დაყენების შეტევების ოჯახი WPA2-ის ოთხსაფეხურიან ხელის ჩამორთმევაზე, და შესწორება მოვიდა როგორც ოპერაციული სისტემის განახლებები, უსადენო დრაივერების პაჩები და როუტერის firmware. გვირაბს შეუძლია დამალოს თქვენი ტრაფიკი ლოკალური ქსელისგან, მაგრამ ვერ არემონტებს ხელის ჩამორთმევას, რომელიც მის ქვეშ სრულდება. ამიტომ პირველი კითხვა არ არის რომელი VPN ვიყიდოთ; არამედ რომელი თქვენი მოწყობილობა უშვებს ჯერ კიდევ გაუპაჩავ უსადენო სტეკს.

იგივე განსხვავება პასუხობს ბიუჯეტის შფოთვასაც. ვისაც გამოწერა არ შეუძლია, არასოდეს ყოფილა ნამდვილი გადაწყვეტის მიღმა, რადგან გადაწყვეტა უფასო განახლება იყო. ფული იხარჯება იმ აპარატურის შეცვლაზე, რომელიც აღარ იღებს განახლებას.

რა მანიპულირებდა შეტევა სინამდვილეში

WPA2 დაკავშირების დროს ოთხსაფეხურიანი ხელის ჩამორთმევით იღებს ახალ წყვილ გასაღებს. წვდომის წერტილი აგზავნის nonce-ს, კლიენტი პასუხობს საკუთარით, ორივე მხარე ითვლის წყვილის დროებით გასაღებს, და წვდომის წერტილი ადასტურებს შეტყობინებით, რომელსაც კლიენტი ადასტურებს. გასაღების ხელახალი დაყენების შეტევა ერევა ამ მიმდევრობაში პაროლის გამოცნობის ნაცვლად და აიძულებს კლიენტს დააყენოს გასაღები, რომელიც უკვე დააყენა. ყოველ ხელახალ დაყენებას შეუძლია გადააყენოს გადაცემის nonce და ამ გასაღებთან დაკავშირებული მიღების გამეორების მთვლელი.

როგორც კი ეს მთვლელები უკან მიდის, ტრაფიკის ნაწილი, რომელიც უნდა უარყოფილიყო, კვლავ მისაღები ხდება. ვარიანტისა და იმპლემენტაციის მიხედვით, რადიო მანძილზე მყოფ შემტევს შეეძლო კადრების გამეორება, მათი გაშიფვრა ან ჩასმა. ჯგუფური გასაღების ხელის ჩამორთმევას და სწრაფი გადასვლისას თავისი ვარიანტები ჰქონდათ, ამიტომაც ცნობამ ერთის ნაცვლად რამდენიმე შეტევის სახელი ჩამოთვალა.

Android 6.0 და უფრო ახალი ყველაზე ცუდი შემთხვევა იყო. მისი wpa_supplicant-ის ვერსიები შეიძლებოდა იძულებით დაეყენებინათ მთლიანად ნულებისგან შემდგარი გასაღები, რაც გაშიფვრას გაცილებით აადვილებდა, ვიდრე პლატფორმებზე, სადაც ხელახალი დაყენება მხოლოდ მთვლელებს აყენებდა ნულზე. ამ დეტალმა გამოყო თეორიული სისუსტე პრაქტიკულისგან იმ დროის ყველაზე გავრცელებულ ტელეფონის პლატფორმაზე.

შესწორება უსადენო სტეკში ცხოვრობს

ზედა დონის შესწორებამ supplicant-ებსა და წვდომის წერტილებს უთხრა, რომ უგულებელყონ ხელახლა გაგზავნილი ხელის ჩამორთმევის შეტყობინება, როცა გასაღები უკვე დაყენებულია. wpa_supplicant-ისა და hostapd-ის გაპაჩული ბილდები მას ატარებდნენ, და დისტრიბუციებმა ის ძველ ტოტებში დააბრუნეს, ამიტომ wpa_supplicant -v-ის მიერ დაბეჭდილი სტრიქონი საწყისი წერტილია და არა განაჩენი. წაიკითხეთ დისტრიბუციის უსაფრთხოების ცნობა და დაადასტურეთ კონკრეტული პაჩი და არა მხოლოდ ვერსიის ნომერი. ძველ ვერსიას რომ აცხადებს ბილდი, მაინც შეიძლება იყოს გასწორებული, და ახალი ვერსიის ბილდს მაინც შეიძლება აკლდეს მწარმოებლის უკუპორტირება.

კავშირის ორივე ბოლოს ყურადღება სჭირდება. გარემონტებული როუტერი არ პაჩავს მასთან დაკავშირებულ ლეპტოპს, და გარემონტებული ლეპტოპი არ პაჩავს როუტერს. მწარმოებლები აქვეყნებდნენ ცნობებს თითოეულ პროდუქტზე, და როუტერების შესწორებები ხშირად ჩამორჩებოდა ტელეფონების განახლებებს, რადგან თითოეულ მოდელს საკუთარი firmware-ის ბილდი სჭირდება. თუ მოწყობილობის ბოლო გამოშვება ცნობამდეა, მოექეცით მას როგორც გაუპაჩავს, სანამ მწარმოებელი საწინააღმდეგოს არ იტყვის.

აღჭურვილობისთვის, რომლის განახლებასაც ვერ ახერხებთ, არჩევანი ვიწრო და არაბრწყინვალეა. გაიყვანეთ იგი ექსპლუატაციიდან, შორს დაიჭირეთ მგრძნობიარე ტრაფიკის მატარებელი ქსელებისგან, ან შეზღუდეთ იმ სეგმენტში, სადაც მისი ერთადერთი თანამოძმეები თანაბრად გასაწირი არიან. არც ერთი ამ არჩევანიდან არ მოითხოვს გამოწერას, და არც ერთი არ უმჯობესდება სხვა გვირაბის პროვაიდერის არჩევით.

რას ფარავს გვირაბი

VPN საზღვარს ამოძრავებს. თქვენი მოწყობილობა შიფრავს თითოეულ პაკეტს და აგზავნის VPN სერვერზე, რომელიც მას გაშიფრავს და გადასცემს შემდგომ. ვინც Wi-Fi კავშირს მანიპულირებს, ხედავს გვირაბის გარე პაკეტებს და არა მათში არსებულ ტვირთს, ამიტომ ხელახალი დაყენების შეტევა, რომელიც კავშირის შრის კადრებს ამჟღავნებს, ავტომატურად არ ამჟღავნებს გვირაბირებული კავშირის შიგთავსს. ეს დაცვა ძალაშია მაშინაც, როცა მის ქვეშ არსებული უსადენო სტეკი დაუცველი რჩება, და სწორედ ამიტომ ერევა ორი კონტროლი ერთმანეთში.

პირობაა „გვირაბირებული“. გაყოფილი გვირაბირება, გვერდის ავლის სია ან captive პორტალის გამონაკლისი ტრაფიკის ნაწილს გვირაბის გარეთ აგზავნის, და ამ ტრაფიკს არავითარი სარგებელი არ აქვს მისგან. იგივე ეხება იმავე ქსელში არსებული სხვა მოწყობილობების ტრაფიკს, რომლებსაც კლიენტი არასოდეს დაუყენებიათ. გვირაბი თითოეული მოწყობილობისა და თითოეული მარშრუტის გადაწყვეტილებაა და არა ოთახის თვისება, და როუტერის დონის VPN ფარავს მხოლოდ იმას, რაც ნამდვილად გადის როუტერზე.

რაც გვირაბს არ შეუძლია, არის დრაივერის შეკეთება, დეავთენტიფიკაციის ნაკადის შეჩერება ან შემტევისთვის არხის ჩახშობის ხელის შეშლა. მას არც იმ კავშირის დაცვა შეუძლია, რომელიც მასში არასოდეს შედის. ეს ხელმისაწვდომობისა და კავშირის შრის პრობლემებია, და ისინი უსადენო სტეკთან რჩება, რაც არ უნდა ძლიერი იყოს გვირაბის შიფრის კრებული.

HTTPS და გვირაბი სხვადასხვა ნახტომს იცავს

ერთი გვერდის ჩატვირთვა შეიძლება მოიცავდეს სამ ცალკეულ დაცვას: Wi-Fi კავშირს, გვირაბს VPN სერვერამდე და TLS სესიას ვებსაიტამდე. თითოეული დამოუკიდებლად მოლაპარაკდება. TLS ვალიდური სერტიფიკატითა და თანამედროვე პროტოკოლის ვერსიით გაძლევთ ავთენტიფიცირებულ შიფრაციას ბრაუზერსა და საიტს შორის მაშინაც, როცა პირველი ნახტომი მტრულია, რადგან სწორედ სერტიფიკატის შემოწმება უშლის ხელს თაღლითს საკუთარი გასაღების ჩანაცვლებაში.

ამ შემოწმებას სუსტი ადგილები აქვს კიდეებზე. HTTPS-იდან HTTP-ზე გადამისამართება, გვერდი, რომელიც სკრიპტებს ჩვეულებრივი HTTP-ით ტვირთავს, ან მომხმარებელი, რომელიც სერტიფიკატის გაფრთხილებას გადასცდება, ყველა ტრაფიკს დაცული სესიიდან გარეთ გადააქვს. HSTS და ბრაუზერის შუალედური გვერდები იმიტომ არსებობს, რომ ეს შეცდომები ხშირია და არა იმიტომ, რომ TLS მყიფეა.

HTTPS-ისა და გვირაბის შენარჩუნება უსადენო იმპლემენტაციას დაუცველობას არ აცილებს. კადრებს მაინც გაშიფრავს ხარვეზიანი დრაივერი; განსხვავება ისაა, თუ რას პოულობს შემტევი მათში და იყო თუ არა ის შიგთავსი უკვე დაცული სხვა რამით.

შეკეთების რიგი შერეული ქსელისთვის

დაიწყეთ წვდომის წერტილით, რადგან ის არის მოწყობილობა, რომელსაც თქვენ აკონტროლებთ და რომელზეც ყოველი კლიენტია დამოკიდებული. შემდეგ გაიარეთ კლიენტების ოპერაციული სისტემები, უძველესიდან, რადგან პლატფორმები, რომლებმაც განახლებების მიღება შეწყვიტეს, სწორედ ისინი არიან, რომლებიც არასოდეს გაპაჩდება. მხოლოდ ამ ინვენტარიზაციის დასრულების შემდეგ აქვს VPN-ის გადაწყვეტილებას აზრი, და ეს გადაწყვეტილება ეხება ექსპოზიციას და არა შეკეთებას. საპირისპირო რიგით კეთება, ჯერ გვირაბი და მერე firmware, ნამდვილ ხარვეზს ადგილზე ტოვებს მანამ, სანამ გამოწერა გრძელდება.

ჩაწერეთ, რა გადაამოწმეთ, firmware-ის ვერსიისა და თარიღის ჩათვლით. „განახლებული“ არ არის მდგომარეობა, რომლის აუდიტიც ვინმემ მოგვიანებით შეძლოს.

სამი შემოწმება ფარავს სამუშაოს უდიდეს ნაწილს, და ისინი ამ რიგით მიდის. ნუ გამოტოვებთ მესამეს მხოლოდ იმიტომ, რომ პირველი ორი სუფთად დაბრუნდა.

• როუტერის firmware: შეადარეთ დაყენებული ვერსია მწარმოებლის ცნობების გვერდს და არა განახლების ღილაკს.
• კლიენტის OS: დაადასტურეთ პაჩების დონე, რომელიც მოიცავს უსადენო შესწორებას თითოეული ტელეფონისთვის, ლეპტოპისთვის და პლანშეტისთვის.
• ნარჩენები: ჩამოთვალეთ მოწყობილობები პაჩის გზის გარეშე და გადაწყვიტეთ გაყვანა, იზოლაცია ან მიღება.

თუ ნარჩენების სია გრძელია, კლიენტების იზოლაციის მქონე სასტუმრო ქსელი დროს ყიდულობს, სანამ აპარატურა შეიცვლება. შემდეგ გამოსცადეთ ერთი ცნობილი კლიენტი თითოეულ დიაპაზონში, ჩაწერეთ შედეგი და ხელახლა შეამოწმეთ შემდეგი firmware-ის გამოშვების შემდეგ. აპარატურის ინვენტარიზაციაა ის, რაც შემდეგ ცნობას სწრაფს ხდის; გვირაბია ის, რაც ამასობაში ღრმულს ფარავს.