Vai VPN pasargā no KRACK? Ko labo ielāps

Ja jūs pērkat VPN tāpēc, ka virsraksts teica, ka KRACK lauž Wi-Fi šifrēšanu, jūs labojat nepareizo slāni. Tas 2017. gada atklājums aprakstīja atslēgas atkārtotas instalēšanas uzbrukumu saimi pret WPA2 četru soļu roku sasveicināšanos, un labojums ieradās kā operētājsistēmas atjauninājumi, bezvadu draiveru ielāpi un maršrutētāja aparātprogrammatūra. Tunelis var paslēpt jūsu plūsmu no vietējā tīkla, bet nevar salabot roku sasveicināšanos, kas noslēdzas zem tā. Tāpēc pirmais jautājums nav, kuru VPN pirkt; tas ir, kura no jūsu ierīcēm vēl darbojas ar neielāpītu bezvadu steku.

Tā pati atšķirība atbild arī uz budžeta uztraukumu. Tas, kurš nevar atļauties abonementu, nekad nav bijis izslēgts no īstā risinājuma, jo risinājums bija bezmaksas atjauninājums. Naudu maksā aparatūras nomaiņa, kas vairs nesaņem atjauninājumu.

Ko uzbrukums patiešām manipulēja

WPA2 pievienošanās laikā atvasina jaunu pāra atslēgu četru soļu roku sasveicināšanā. Piekļuves punkts nosūta nonce, klients atbild ar savu, abas puses aprēķina pāra pagaidu atslēgu, un piekļuves punkts apstiprina ar ziņojumu, kuru klients apstiprina. Atslēgas atkārtotas instalēšanas uzbrukums iejaukas šajā secībā, nevis min paroli, un liek klientam instalēt atslēgu, kuru tas jau instalēja. Katra atkārtota instalēšana var atiestatīt sūtīšanas nonce un ar šo atslēgu saistīto uztveršanas atkārtošanas skaitītāju.

Kad šie skaitītāji virzās atpakaļ, daļa plūsmas, kas būtu jānoraida, atkal kļūst pieņemama. Atkarībā no varianta un ieviešanas uzbrucējs radio attālumā varēja atkārtot kadrus, tos atšifrēt vai ievadīt. Grupas atslēgas roku sasveicināšanai un ātrās pārejas roku sasveicināšanai bija savi varianti, tāpēc paziņojumā tika uzskaitīti vairāki uzbrukumu nosaukumi, nevis viens.

Android 6.0 un jaunākas bija sliktākais gadījums. Tā wpa_supplicant versijas varēja piespiest instalēt atslēgu, kas sastāv tikai no nullēm, kas atšifrēšanu padarīja daudz vieglāku nekā platformās, kur atkārtota instalēšana tikai atiestatīja skaitītājus. Šī detaļa atdalīja teorētisku ievainojamību no praktiskas toreiz izplatītākajā tālruņa platformā.

Labojums dzīvo bezvadu stekā

Augšupējais labojums lika supplicantiem un piekļuves punktiem ignorēt atkārtoti nosūtītu roku sasveicināšanās ziņojumu, kad atslēga jau ir instalēta. Ielāpīti wpa_supplicant un hostapd būvējumi to nesa, un distribūcijas to pārnesa atpakaļ vecākos zaros, tāpēc virkne, ko izdrukā wpa_supplicant -v, ir sākumpunkts, nevis spriedums. Izlasiet distribūcijas drošības paziņojumu un apstipriniet konkrēto ielāpu, ne tikai versijas numuru. Būvējums, kas ziņo vecu versiju, joprojām var būt labots, un būvējumam ar jaunu versiju joprojām var trūkt ražotāja pārnesuma.

Abiem saites galiem vajadzīga uzmanība. Salabots maršrutētājs nelabo portatīvo datoru, kas tam pievienojas, un salabots portatīvais nelabo maršrutētāju. Ražotāji publicēja paziņojumus par katru produktu, un maršrutētāju labojumi bieži atpalika no tālruņu atjauninājumiem, jo katram modelim vajadzīgs savs aparātprogrammatūras būvējums. Ja ierīces pēdējais izlaidums ir pirms paziņojuma, uzskatiet to par neielāpītu, līdz ražotājs saka citādi.

Aprīkojumam, ko nevarat atjaunināt, izvēles ir šauras un necilas. Izņemiet to no ekspluatācijas, turiet to prom no tīkliem ar sensitīvu plūsmu vai ierobežojiet to segmentā, kur tā vienīgie līdzinieki ir tikpat upurējami. Neviena no šīm izvēlēm neprasa abonementu, un neviena neuzlabojas, izvēloties citu tuneļa pakalpojumu sniedzēju.

Ko tunelis tomēr sedz

VPN pārvieto robežu. Jūsu ierīce šifrē katru paketi un nosūta to VPN serverim, kas to atšifrē un pārsūta tālāk. Tas, kurš manipulē ar Wi-Fi saiti, redz tuneļa ārējās paketes, nevis lietderīgo kravu tajās, tāpēc atkārtotas instalēšanas uzbrukums, kas atklāj saites slāņa kadrus, automātiski neatklāj tunelētā savienojuma saturu. Šī aizsardzība saglabājas arī tad, kad bezvadu steks zem tās joprojām ir ievainojams, un tieši tāpēc abas kontroles tiek sajauktas.

Nosacījums ir "tunelēts". Sadalītā tunelēšana, apiešanas saraksts vai captive portāla izņēmums nosūta daļu plūsmas ārpus tuneļa, un šī plūsma no tā neko neiegūst. Tāpat arī citu tajā pašā tīklā esošo ierīču plūsma, kas nekad nav instalējušas klientu. Tunelis ir lēmums katram ierīcei un katram maršrutam, nevis telpas īpašība, un VPN maršrutētāja līmenī sedz tikai to, kas tiešām iet caur maršrutētāju.

Ko tunelis nevar, tas ir salabot draiveri, apturēt deautentifikācijas plūdu vai neļaut uzbrucējam traucēt kanālu. Tas arī nevar aizsargāt savienojumu, kas tajā nekad neieplūst. Tie ir pieejamības un saites slāņa jautājumi, un tie paliek ar bezvadu steku, lai cik spēcīgs būtu tuneļa šifru komplekts.

HTTPS un tunelis aizsargā dažādus lēcienus

Viena lapas ielāde var ietvert trīs atsevišķas aizsardzības: Wi-Fi saiti, tuneli uz VPN serveri un TLS sesiju ar vietni. Katra no tām tiek apspriesta patstāvīgi. TLS ar derīgu sertifikātu un mūsdienīgu protokola versiju dod jums autentificētu šifrēšanu starp pārlūku un vietni arī tad, kad pirmais lēciens ir naidīgs, jo tieši sertifikāta pārbaude neļauj krāpniekam ievietot savu atslēgu.

Šai pārbaudei ir vājas vietas malās. Pāradresācija no HTTPS uz HTTP, lapa, kas ielādē skriptus pa vienkāršu HTTP, vai lietotājs, kas klikšķina cauri sertifikāta brīdinājumam, visi pārvieto plūsmu ārpus aizsargātās sesijas. HSTS un pārlūka starplapas pastāv tāpēc, ka šīs kļūdas ir biežas, nevis tāpēc, ka TLS būtu trausls.

HTTPS un tuneļa saglabāšana nepadara bezvadu ieviešanu neievainojamu. Kadrus joprojām atšifrē bojāts draiveris; atšķirība ir tajā, ko uzbrucējs atrod to iekšienē un vai šis saturs jau bija aizsargāts ar kaut ko citu.

Labošanas kārtība jauktam tīklam

Sāciet ar piekļuves punktu, jo tas ir ierīce, ko jūs kontrolējat un no kuras atkarīgs katrs klients. Pēc tam izstaigājiet klientu operētājsistēmas, no vecākajām, jo platformas, kas pārstājušas saņemt atjauninājumus, ir tās, kas nekad netiks ielāpītas. Tikai pēc šī inventāra pabeigšanas VPN lēmumam ir jēga, un tas ir lēmums par pakļautību, nevis par labošanu. Darot to pretējā kārtībā, vispirms tunelis un pēc tam aparātprogrammatūra, faktiskais defekts paliek savā vietā, kamēr vien abonements ilgst.

Pierakstiet, ko pārbaudījāt, tostarp aparātprogrammatūras versiju un datumu. "Atjaunināts" nav stāvoklis, ko kāds vēlāk varētu auditēt.

Trīs pārbaudes sedz lielāko daļu darba, un tās iet šādā kārtībā. Neizlaidiet trešo tikai tāpēc, ka pirmās divas atgriezās tīras.

• Maršrutētāja aparātprogrammatūra: salīdziniet instalēto versiju ar ražotāja paziņojumu lapu, nevis ar atjaunināšanas pogu.
• Klienta OS: apstipriniet ielāpu līmeni, kas ietver bezvadu labojumu katram tālrunim, portatīvajam datoram un planšetdatoram.
• Atlikumi: uzskaitiet ierīces bez ielāpa ceļa un izlemiet izņemt, izolēt vai pieņemt.

Ja atlikumu saraksts ir garš, viesu tīkls ar klientu izolāciju nopērk laiku, kamēr aparatūra tiek nomainīta. Pēc tam pārbaudiet vienu zināmu klientu katrā joslā, pierakstiet rezultātu un pārbaudiet vēlreiz pēc nākamā aparātprogrammatūras izlaiduma. Aparatūras inventārs ir tas, kas padara nākamo paziņojumu ātru; tunelis ir tas, kas sedz plaisu tikmēr.