Schützt eng VPN géint KRACK? Wat de Patch reparéiert

Wann Dir eng VPN kaaft, well eng Iwwerschrift gesot huet, KRACK briechen d'Wi-Fi-Verschlësselung, reparéiert Dir déi falsch Schicht. Déi Verëffentlechung vun 2017 huet eng Famill vun Attacke mat Schlëssel-Neuinstallatioun op de véier-Wee-Handshake vun WPA2 beschriwwen, an d'Reparatur koum als Betribssystem-Updates, Patches fir drahtlos Treiber a Router-Firmware. En Tunnel kann Ären Trafic virum lokalen Netz verstoppen, awer en kann en Handshake net reparéieren, deen ënner him fäerdeg gëtt. Dofir ass déi éischt Fro net wéi eng VPN kaaft; et ass wéi eng vun Ären Apparaten nach en ongpatchte drahtlose Stack lafen.

Déi selwecht Ënnerscheedung beäntwert d'Suerg ëm de Budget. Wien sech en Abonnement net leeschte kann, war ni vun der richteger Léisung ausgeschloss, well d'Léisung en gratis Update war. Geld kascht et, Hardware ze ersetzen, déi keen Update méi kritt.

Wat den Attack tatsächlech manipuléiert huet

WPA2 leet bei der Associatioun en neie Pair-Schlëssel duerch en véier-Wee-Handshake of. Den Access Point schéckt eng Nonce, de Client äntwert mat senger eegener, béid Säiten berechnen de Pair-Schlëssel fir eng kuerz Zäit, an den Access Point bestätegt mat enger Noriicht, déi de Client bestätegt. En Attack mat Schlëssel-Neuinstallatioun stéiert déi Sequenz amplaz d'Passphrase ze roden, an zwéngt e Client e Schlëssel z'installéieren, deen en schonn installéiert huet. All Neuinstallatioun kann d'Send-Nonce an de Empfangs-Widderhuelungszähler zerécksetzen, déi un dee Schlëssel gebonne sinn.

Soubal déi Zähler zréck goen, gëtt en Deel vum Trafic, dee sollt ofgeleent ginn, erëm akzeptabel. Ofhängeg vun der Variant an der Implementatioun konnt en Ugräifer a Radio-Reechwäit Frames erëm spillen, se entschlësselen oder se injizéieren. De Gruppeschlëssel-Handshake an de Handshake fir de séieren Iwwergang haten hir eege Varianten, dofir huet den Avis verschidden Attackennimm opgezielt an net just een.

Android 6.0 a méi spéit war de schlëmmste Fall. Seng wpa_supplicant-Versiounen konnten dozou gezwonge ginn, e Schlëssel aus lauter Nullen z'installéieren, wat d'Entschlësselung vill méi einfach gemaach huet wéi op Plattformen, wou d'Neuinstallatioun just Zähler zeréckgesat huet. Dee Detail huet eng theoretesch Schwächt vun enger praktescher op der deemools verbreetster Telefonsplattform getrennt.

D'Reparatur läit am drahtlosen Stack

D'Korrektur vun uewen huet de Supplicanten an den Access Points gesot, eng nei geschéckt Handshake-Noriicht ze ignoréieren, soubal de Schlëssel schonn installéiert ass. Gepatchte Builds vu wpa_supplicant an hostapd hunn se gedroen, an d'Distributiounen hu se an eeler Branchen zréckportéiert, dofir ass d'Zeecheketten, déi wpa_supplicant -v dréckt, en Ausgangspunkt an net en Urteel. Liest den Sécherheetsavis vun der Distributioun a bestätegt de konkrete Patch, net nëmmen d'Versiounsnummer. E Build, deen eng al Versioun mëldet, kann nach ëmmer reparéiert sinn, an e Build mat enger neier kann nach ëmmer e Backport vum Hiersteller vermëssen.

Béid Enner vun der Verbindung brauchen Opmierksamkeet. En reparéierten Router patch sech net de Laptop, dee sech mat him verbënnt, an en reparéierten Laptop patch sech net de Router. D'Hiersteller hunn Avisen pro Produkt publizéiert, an d'Router-Reparaturen sinn dacks hannert den Telefon-Updates bliwwen, well all Modell säin eegene Firmware-Build brauch. Wann déi lescht Verëffentlechung vun engem Apparat virum Avis läit, behandelt en als ongepatcht, bis den Hiersteller anescht seet.

Fir Ausrüstung, déi Dir net updaten kënnt, sinn d'Optiounen enk an onglamouréis. Setzt se ausser Betrib, haalt se ewech vun Netzwierker mat sensiblen Trafic, oder beschränkt se op en Segment, wou seng eenzeg Gläichgestallt genee esou entbehrlech sinn. Keng vun dësen Optiounen enthält en Abonnement, a keng gëtt besser doduerch, datt een en aneren Tunnel-Provider wielt.

Wat en Tunnel deckt

Eng VPN verréckelt d'Grenz. Ären Apparat verschlësselt all Paket a schéckt en op en VPN-Server, deen en entschlësselt an weiderschéckt. Wien d'Wi-Fi-Verbindung manipuléiert, gesäit baussenzeg Tunnelpaketen, net d'Payload dobannen, dofir deckt en Attack mat Schlëssel-Neuinstallatioun, deen d'Frames vun der Verbindungsschicht opdeckt, net automatesch den Inhalt vun der getunnelter Verbindung op. Dee Schutz hält och, wärend den drahtlose Stack drënner verwundbar bleift, an dat ass genee de Grond, firwat déi zwou Kontrollen verwiesselt ginn.

D'Konditioun ass "getunnelt". Split-Tunneling, eng Ëmgee-Lëscht oder eng Ausnam fir e Captive Portal schécken en Deel vum Trafic baussent den Tunnel, an deen Trafic huet keen Avantage dovun. Datselwecht gëllt fir den Trafic vun aneren Apparaten am selwechten Netz, déi de Client ni installéiert hunn. En Tunnel ass eng Entscheedung pro Apparat a pro Route, net eng Eegeschaft vum Raum, an eng VPN op Router-Niveau deckt nëmmen dat, wat wierklech duerch de Router geet.

Wat den Tunnel net kann, ass den Treiber reparéieren, eng Deauthentifikatiounsflut stoppen oder en Ugräifer dovun ofhalen, de Kanal ze stéieren. En kann och keng Verbindung schützen, déi ni eran geet. Dat si Problemer mat der Disponibilitéit an der Verbindungsschicht, an se bleiwen beim drahtlosen Stack, egal wéi staark d'Cipher-Suite um Tunnel ass.

HTTPS an den Tunnel schützen verschidde Spréng

Ee Säiteluede kann dräi getrennte Schutzmechanismen enthalen: d'Wi-Fi-Verbindung, den Tunnel zum VPN-Server an d'TLS-Sessioun zur Websäit. Jiddwereen gëtt onofhängeg ausgehandelt. TLS mat engem gültege Zertifikat an enger moderner Protokollversioun gëtt Iech authentifizéiert Verschlësselung tëscht Browser a Säit och wann den éischte Sprong feindlech ass, well d'Zertifikatskontroll dat ass, wat en Imposter dovun ofhält, säin eegene Schlëssel ze ersetzen.

Déi Kontroll huet schwaach Punkten un de Ränner. Eng Ëmleedung vun HTTPS op HTTP, eng Säit déi Skripte iwwer einfachen HTTP luedt, oder e Benotzer deen duerch eng Zertifikatswarnung klickt, bréngen alle Trafic baussent der geschützter Sessioun. HSTS an d'Zwëschesäite vum Browser existéieren, well déi Feeler heefeg sinn, net well TLS brécheg ass.

HTTPS an en Tunnel ze behalen mécht d'drahtlos Implementatioun net onverwundbar. D'Frames gi weiderhi vun engem defekten Treiber entschlësselt; den Ënnerscheed ass wat den Ugräifer dobannen fënnt an ob deen Inhalt schonn duerch eppes anescht geschützt war.

Reparaturuerdnung fir en gemëschten Netz

Fänkt mam Access Point un, well dat den Apparat ass, deen Dir kontrolléiert an op deen all Client ugewise ass. Gitt duerno d'Betribssystemer vun de Clienten duerch, déi eelst fir d'éischt, well Plattformen, déi opgehalen hunn Updates ze kréien, déi sinn, déi ni gepatcht ginn. Eréischt nodeem déi Inventur fäerdeg ass, mécht eng VPN-Entscheedung Sënn, an et ass eng Entscheedung iwwer d'Expositioun, net iwwer d'Reparatur. Et an der ëmgedréiter Uerdnung ze maachen, Tunnel fir d'éischt a Firmware duerno, léisst de richtege Feeler op senger Plaz soulaang d'Abonnement dauert.

Schreift op, wat Dir verifizéiert hutt, inklusiv der Firmware-Versioun an dem Datum. "Aktualiséiert" ass keen Zoustand, deen een duerno auditëiere kann.

Dräi Kontrollen decken de gréissten Deel vun der Aarbecht, an se ginn an dëser Uerdnung. Sprangt déi drëtt net aus, just well déi éischt zwou propper zréckkoumen.

• Router-Firmware: vergläicht d'installéiert Versioun mat der Avis-Säit vum Hiersteller, net mam Update-Knäppchen.
• Client-OS: bestätegt de Patch-Niveau, deen d'drahtlos Korrektur fir all Telefon, Laptop an Tablet enthält.
• Reschter: lëscht Apparaten ouni Patch-Wee op a entscheed iwwer Ausserbetribsetzen, Isoléieren oder Akzeptéieren.

Wann d'Reschtlëscht laang ass, keeft en Gaaschtnetz mat Client-Isolatioun Zäit, wärend d'Hardware ersat gëtt. Test duerno een bekannte Client op all Band, notéiert d'Resultat a kontrolléiert nom nächste Firmware-Release erëm. D'Hardware-Inventur ass dat, wat den nächsten Avis séier mécht; den Tunnel ass dat, wat d'Lück tëschenduerch deckt.