VPN KRACK-тан коргойбу? Патч эмнени оңдойт

Эгер KRACK Wi-Fi шифрлөөсүн бузат деген аталышка ишенип VPN сатып алсаңыз, сиз туура эмес катмарды оңдоп жатасыз. 2017-жылкы ошол жарыя WPA2нин төрт баскычтуу кол алышуусуна каршы ачкычты кайра орнотуу чабуулдарынын үй-бүлөсүн сүрөттөгөн, ал эми оңдоо операциялык системанын жаңыртуулары, зымсыз драйвер патчтары жана маршрутизатор прошивкасы катары келген. Туннель трафигиңизди жергиликтүү тармактан жашыра алат, бирок анын астында аяктаган кол алышууну оңдой албайт. Ошондуктан биринчи суроо кайсы VPN сатып алуу эмес; ал — кайсы түзмөгүңүз дагы эле патчталбаган зымсыз стекти иштетип жатканы.

Ушул эле айырма бюджет тынчсыздануусуна да жооп берет. Жазылууга акчасы жетпеген адам чыныгы чечимден эч качан четтетилген эмес, анткени чечим акысыз жаңыртуу болчу. Акча жаңыртуу албаган жабдууну алмаштырууга кетет.

Чабуул чындыгында эмнени манипуляциялаган

WPA2 кошулуу учурунда төрт баскычтуу кол алышуу аркылуу жаңы жуп ачкычты чыгарат. Кирүү чекити nonce жөнөтөт, кардар өзүнүн nonce менен жооп берет, эки тарап тең жуптук өтмө ачкычты эсептейт, ал эми кирүү чекити кардар ырастаган билдирүү менен бекемдейт. Ачкычты кайра орнотуу чабуулу сырсөздү болжолдоонун ордуна ошол ырааттуулукка кийлигишип, кардарды мурун орноткон ачкычын кайра орнотууга мажбурлайт. Ар бир кайра орнотуу ошол ачкычка байланган жөнөтүү nonce жана кабыл алуу кайталоо эсептегичин кайра коюшу мүмкүн.

Ошол эсептегичтер артка жылганда, четке кагылышы керек болгон трафиктин бир бөлүгү кайра кабыл алынат. Вариант менен ишке ашырууга жараша, радио аралыктагы чабуулчу кадрларды кайра ойнотуп, алардын шифрин ачып же киргизип алган. Топтук ачкыч кол алышуусунун жана тез өтүү кол алышуусунун өз варианттары бар болчу, ошондуктан эскертүү бир эмес, бир нече чабуулдун атын тизген.

Android 6.0 жана андан кийинкилер эң начар учур болду. Анын wpa_supplicant версияларын толук нөлдөрдөн турган ачкычты орнотууга мажбурлоого болот эле, бул кайра орнотуу эсептегичтерди гана кайра койгон платформаларга караганда шифрди ачууну бир кыйла жеңилдетти. Ошол деталь ошол кездеги эң кеңири таралган телефон платформасында теориялык алсыздыкты практикалык алсыздыктан бөлүп турду.

Оңдоо зымсыз стектин ичинде жашайт

Жогорку деңгээлдеги оңдоо supplicant жана кирүү чекиттерине ачкыч мурун орнотулган болсо, кайра жөнөтүлгөн кол алышуу билдирүүсүн этибарга албоону буйруду. wpa_supplicant жана hostapd'дун патчталган курулуштары аны алып жүрдү, ал эми дистрибутивдер аны эски бутактарга кайра көчүрдү, ошондуктан wpa_supplicant -v басып чыгарган сап — баштапкы чекит, өкүм эмес. Дистрибутивдин коопсуздук эскертүүсүн окуп, так патчты ырастаңыз, версия номерин гана эмес. Эски версияны билдирген курулуш да оңдолгон болушу мүмкүн, ал эми жаңы версиялуу курулушта өндүрүүчүнүн кайра көчүрмөсү жетишпеши мүмкүн.

Байланыштын эки учу тең көңүл бурууну талап кылат. Оңдолгон маршрутизатор ага туташкан ноутбукту патчтабайт, ал эми оңдолгон ноутбук маршрутизаторду патчтабайт. Өндүрүүчүлөр ар бир продукт боюнча эскертүүлөрдү жарыялашты, ал эми маршрутизатор оңдоолору телефон жаңыртууларынан артта калышчу, анткени ар бир моделге өзүнүн прошивка курулушу керек. Эгер түзмөктүн акыркы чыгарылышы эскертүүдөн мурун болсо, өндүрүүчү тескерисин айтпайынча аны патчталбаган деп эсептеңиз.

Жаңырта албаган жабдуу үчүн мүмкүнчүлүктөр тар жана жагымсыз. Аны пайдалануудан чыгарыңыз, купуя трафик ташыган тармактардан алыс кармаңыз же анын жалгыз шериктери да ошондой эле курмандыкка чалынуучу сегментке чектеңиз. Бул мүмкүнчүлүктөрдүн бири да жазылууну талап кылбайт жана башка туннель провайдерин тандоодон эч бири жакшырбайт.

Туннель эмнени камтыйт

VPN чекти жылдырат. Түзмөгүңүз ар бир пакетти шифрлеп VPN серверине жөнөтөт, ал анын шифрин ачып, андан ары өткөрөт. Wi-Fi байланышын манипуляциялаган адам туннелдин сырткы пакеттерин көрөт, ичиндеги пайдалуу жүктү эмес, ошондуктан байланыш катмарынын кадрларын ачкан кайра орнотуу чабуулу туннелден өткөн байланыштын мазмунун автоматтык түрдө ачпайт. Бул коргоо астындагы зымсыз стек алсыз бойдон калганда да сакталат, жана эки көзөмөл ушул себептен чаташтырылат.

Шарт — "туннелден өткөн". Бөлүнгөн туннелдөө, айланып өтүү тизмеси же captive порталдын өзгөчөлүгү трафиктин бир бөлүгүн туннелден тышкары жөнөтөт, ал эми ал трафик андан эч пайда көрбөйт. Ошол эле тармактагы, кардарды эч качан орнотпогон башка түзмөктөрдүн трафиги да ошондой. Туннель — ар бир түзмөк жана ар бир маршрут үчүн кабыл алынуучу чечим, бөлмөнүн касиети эмес, ал эми маршрутизатор деңгээлиндеги VPN маршрутизатор аркылуу чындап өткөндөрдү гана камтыйт.

Туннель драйверди оңдой албайт, аутентификацияны жокко чыгаруу агымын токтото албайт же чабуулчунун каналды бүтөөсүнө тоскоол боло албайт. Ал эч качан ичине кирбеген байланышты да коргой албайт. Булар жеткиликтүүлүк жана байланыш катмарынын маселелери, жана туннелдеги шифрлер жыйындысы канчалык күчтүү болбосун, алар зымсыз стек менен бирге калат.

HTTPS жана туннель ар кандай секириктерди коргойт

Бир барак жүктөө үч түрдүү коргоону камтышы мүмкүн: Wi-Fi байланышы, VPN серверине туннель жана веб-сайтка TLS сессиясы. Алардын ар бири өзүнчө сүйлөшүлөт. Жарактуу сертификат жана заманбап протокол версиясы бар TLS биринчи секирик душмандык болсо да браузер менен сайттын ортосунда аутентификацияланган шифрлөөнү берет, анткени сертификатты текшерүү алдамчынын өз ачкычын коюшуна тоскоол болгон нерсе.

Бул текшерүүнүн четтеринде алсыз жерлер бар. HTTPSтен HTTPге багыттоо, скрипттерди жөнөкөй HTTP аркылуу жүктөгөн барак же сертификат эскертүүсүн басып өткөн колдонуучу — баары трафикти корголгон сессиядан тышкары чыгарат. HSTS жана браузердин аралык барактары бул каталар кеңири таралгандыктан бар, TLS назик болгондуктан эмес.

HTTPS жана туннелди сактоо зымсыз ишке ашырууну алсыз бойдон калтырат. Кадрлар дагы эле бузук драйвер менен шифринен чыгарылат; айырма — чабуулчу алардын ичинен эмнени табат жана ал мазмун мурун башка нерсе менен корголгонбу.

Аралаш тармак үчүн оңдоо тартиби

Кирүү чекитинен баштаңыз, анткени ал сиз көзөмөлдөгөн жана ар бир кардар көз каранды болгон түзмөк. Андан кийин кардарлардын операциялык системаларын эң эскисинен баштап карап чыгыңыз, анткени жаңыртуу алууну токтоткон платформалар эч качан патчталбайт. Ошол тизме бүткөндөн кийин гана VPN тууралуу чечим маанилүү болот, жана ал оңдоо эмес, таасир тууралуу чечим. Тескери тартипте жасоо, башта туннель анан прошивка, чыныгы кемчиликти жазылуу уланганча ордунда калтырат.

Эмнени текшергениңизди жазыңыз, прошивка версиясы жана күнү менен. "Жаңыртылган" — кийин эч ким текшере албаган абал.

Үч текшерүү иштин көп бөлүгүн камтыйт жана алар ушул тартипте жүрөт. Биринчи экөө таза келди деп үчүнчүсүн өткөрүп жибербеңиз.

• Маршрутизатор прошивкасы: орнотулган версияны өндүрүүчүнүн эскертүү баракчасы менен салыштырыңыз, жаңыртуу баскычы менен эмес.
• Кардар ОС: ар бир телефон, ноутбук жана планшет үчүн зымсыз оңдоону камтыган патч деңгээлин ырастаңыз.
• Калдыктар: патч жолу жок түзмөктөрдү тизип, чыгаруу, обочолонуу же кабыл алуу тууралуу чечим кабыл алыңыз.

Эгер калдыктардын тизмеси узун болсо, кардарды обочологон конок тармагы жабдуу алмаштырылганга чейин убакыт сатып алат. Андан кийин ар бир диапазондо бир тааныш кардарды сынап, натыйжаны жазып, кийинки прошивка чыгарылышынан кийин кайра текшериңиз. Жабдуу тизмеси кийинки эскертүүнү тез кылат; туннель ошол аралыктагы боштукту жабат.