VPN KRACK-тан қорғай ма? Патч нені түзейді

Егер KRACK Wi-Fi шифрлауын бұзады деген тақырыпқа сеніп VPN сатып алсаңыз, сіз дұрыс емес қабатты жөндеп жатырсыз. 2017 жылғы сол жарияланым WPA2-нің төрт қадамды қол алысуына қарсы кілтті қайта орнату шабуылдарының тобын сипаттаған, ал түзету операциялық жүйе жаңартулары, сымсыз драйвер патчтары және маршрутизатор прошивкасы ретінде келді. Туннель трафигіңізді жергілікті желіден жасыра алады, бірақ оның астында аяқталатын қол алысуды жөндей алмайды. Сондықтан бірінші сұрақ қай VPN сатып алу емес; ол — қай құрылғыңыз әлі патчталмаған сымсыз стекті іске қосып жатқаны.

Дәл осы айырмашылық бюджет алаңына да жауап береді. Жазылымға ақшасы жетпейтін адам нақты шешімнен ешқашан шеттетілген емес, өйткені шешім тегін жаңарту болатын. Ақша жаңарту алмайтын жабдықты ауыстыруға кетеді.

Шабуыл шын мәнінде нені манипуляциялады

WPA2 қосылу кезінде төрт қадамды қол алысу арқылы жаңа жұп кілт шығарады. Кіру нүктесі nonce жібереді, клиент өзінің nonce-імен жауап береді, екі тарап жұптық өтпелі кілтті есептейді, ал кіру нүктесі клиент растайтын хабарламамен бекітеді. Кілтті қайта орнату шабуылы құпиясөзді болжаудың орнына сол реттілікке араласып, клиентті бұрын орнатқан кілтін қайта орнатуға мәжбүр етеді. Әр қайта орнату сол кілтке байланысты жіберу nonce-ін және қабылдау қайталау санағышын қалпына келтіруі мүмкін.

Сол санағыштар артқа жылжығанда, қабылдаудан бас тартылуы тиіс трафиктің бір бөлігі қайта қабылданатын болады. Нұсқа мен іске асыруға байланысты радиожиілік аясындағы шабуылдаушы кадрларды қайталап, олардың шифрын ашып немесе енгізе алды. Топтық кілт қол алысуы мен жылдам ауысу қол алысуының өз нұсқалары болды, сондықтан ескерту бір емес, бірнеше шабуыл атауын тізбеледі.

Android 6.0 және одан кейінгілер ең нашар жағдай болды. Оның wpa_supplicant нұсқаларын түгел нөлдерден тұратын кілт орнатуға мәжбүрлеуге болатын, бұл қайта орнату тек санағыштарды қалпына келтіретін платформаларға қарағанда шифрды ашуды әлдеқайда жеңілдетті. Бұл деталь сол кездегі ең кең тараған телефон платформасында теориялық әлсіздікті практикалық әлсіздіктен ажыратты.

Түзету сымсыз стектің ішінде өмір сүреді

Жоғары деңгейдегі түзету supplicant-тар мен кіру нүктелеріне кілт әлдеқашан орнатылған болса, қайта жіберілген қол алысу хабарламасын елемеуге бұйырды. wpa_supplicant пен hostapd-тың патчталған құрастырулары оны алып жүрді, ал дистрибутивтер оны ескі тармақтарға кері көшірді, сондықтан wpa_supplicant -v басып шығаратын жол — бастапқы нүкте, үкім емес. Дистрибутивтің қауіпсіздік ескертуін оқып, нақты патчты растаңыз, тек нұсқа нөмірін емес. Ескі нұсқаны хабарлайтын құрастыру да түзетілген болуы мүмкін, ал жаңа нұсқалы құрастыруда өндірушінің кері көшірмесі жетіспеуі мүмкін.

Байланыстың екі ұшы да назар аударуды қажет етеді. Жөнделген маршрутизатор оған қосылатын ноутбукты патчтамайды, ал жөнделген ноутбук маршрутизаторды патчтамайды. Өндірушілер өнім бойынша ескертулер жариялады, ал маршрутизатор түзетулері телефон жаңартуларынан жиі қалып отырды, өйткені әр модельге өз прошивка құрастыруы қажет. Егер құрылғының соңғы шығарылымы ескертуден бұрын болса, өндіруші керісінше айтпайынша, оны патчталмаған деп санаңыз.

Жаңарта алмайтын жабдық үшін мүмкіндіктер тар және тартымсыз. Оны пайдаланудан шығарыңыз, құпия трафик тасымалдайтын желілерден алыс ұстаңыз немесе оны тек өздері де сол дәрежеде құрбан етілетін сегментке шектеңіз. Бұл мүмкіндіктердің ешқайсысы жазылымды қажет етпейді және басқа туннель провайдерін таңдаудан ешқайсысы жақсармайды.

Туннель нені қамтиды

VPN шекараны жылжытады. Құрылғыңыз әр пакетті шифрлап, VPN серверіне жібереді, ол оның шифрын ашып, әрі қарай жібереді. Wi-Fi байланысын манипуляциялайтын адам туннельдің сыртқы пакеттерін көреді, ішіндегі пайдалы жүктемені емес, сондықтан байланыс қабатының кадрларын ашатын қайта орнату шабуылы туннельденген қосылымның мазмұнын автоматты түрде ашпайды. Бұл қорғаныс астындағы сымсыз стек осал күйінде қалса да сақталады, және екі бақылау дәл осы себептен шатастырылады.

Шарт — "туннельденген". Бөлінген туннельдеу, айналып өту тізімі немесе captive портал ерекшелігі трафиктің бір бөлігін туннельден тыс жібереді, ал бұл трафик одан еш пайда көрмейді. Сол желідегі клиентті ешқашан орнатпаған басқа құрылғылардың трафигі де солай. Туннель — әр құрылғы мен әр маршрут үшін қабылданатын шешім, бөлменің қасиеті емес, ал маршрутизатор деңгейіндегі VPN тек шынымен маршрутизатор арқылы өтетіндерді қамтиды.

Туннель драйверді жөндей алмайды, аутентификацияны жою ағынын тоқтата алмайды немесе шабуылдаушының арнаны бітеуіне кедергі жасай алмайды. Ол ешқашан ішіне кірмейтін қосылымды да қорғай алмайды. Бұлар қолжетімділік және байланыс қабатының мәселелері, және туннельдегі шифрлар жиынтығы қаншалықты күшті болса да, олар сымсыз стекпен бірге қалады.

HTTPS пен туннель әртүрлі секірістерді қорғайды

Бір бетті жүктеу үш түрлі қорғанысты қамтуы мүмкін: Wi-Fi байланысы, VPN серверіне туннель және веб-сайтқа TLS сессиясы. Олардың әрқайсысы жеке келісіледі. Жарамды сертификат пен заманауи хаттама нұсқасы бар TLS бірінші секіріс дұшпандық болса да браузер мен сайт арасында аутентификацияланған шифрлауды береді, өйткені сертификатты тексеру алдамшының өз кілтін қоюына кедергі жасайтын нәрсе.

Бұл тексерудің шеттерінде әлсіз тұстар бар. HTTPS-тен HTTP-ке қайта бағыттау, скрипттерді қарапайым HTTP арқылы жүктейтін бет немесе сертификат ескертуін басып өтетін пайдаланушы — бәрі трафикті қорғалған сессиядан тысқары шығарады. HSTS мен браузердің аралық беттері бұл қателер жиі болғандықтан бар, TLS нәзік болғандықтан емес.

HTTPS пен туннельді ұстау сымсыз іске асыруды осал болудан қалдырмайды. Кадрлар әлі де ақаулы драйвермен шифрдан шығарылады; айырмашылық — шабуылдаушының олардың ішінен не табатынында және бұл мазмұн бұрын басқа нәрсемен қорғалған ба, жоқ па.

Аралас желі үшін жөндеу тәртібі

Кіру нүктесінен бастаңыз, өйткені ол сіз басқаратын және әр клиент тәуелді құрылғы. Содан кейін клиенттердің операциялық жүйелерін ең ескісінен бастап қарап шығыңыз, өйткені жаңарту алуды тоқтатқан платформалар ешқашан патчталмайтындар. Тек сол тізім біткеннен кейін ғана VPN туралы шешім мағыналы болады, және ол жөндеу емес, әсер ету туралы шешім. Кері тәртіпте жасау, яғни алдымен туннель, кейін прошивка, нақты ақауды жазылым жалғасқанша орнында қалдырады.

Нені тексергеніңізді жазыңыз, прошивка нұсқасы мен күнін қоса. "Жаңартылған" — кейін ешкім тексере алмайтын күй.

Үш тексеру жұмыстың көп бөлігін қамтиды және олар осы тәртіппен жүреді. Алғашқы екеуі таза қайтты деп үшіншісін өткізіп жібермеңіз.

• Маршрутизатор прошивкасы: орнатылған нұсқаны өндірушінің ескерту бетімен салыстырыңыз, жаңарту түймесімен емес.
• Клиент ОЖ: әр телефон, ноутбук және планшет үшін сымсыз түзетуді қамтитын патч деңгейін растаңыз.
• Қалдықтар: патч жолы жоқ құрылғыларды тізіп, шығару, оқшаулау немесе қабылдау туралы шешім қабылдаңыз.

Егер қалдықтар тізімі ұзақ болса, клиент оқшаулауы бар қонақ желісі жабдық ауыстырылғанша уақыт сатып алады. Содан кейін әр диапазонда бір таныс клиентті сынап, нәтижені жазып, келесі прошивка шығарылымынан кейін қайта тексеріңіз. Жабдық тізімі келесі ескертуді жылдам ететін нәрсе; туннель сол арадағы олқылықты жабатын нәрсе.