KRACK-ൽ നിന്ന് VPN സംരക്ഷിക്കുമോ? പാച്ച് എന്താണ് ശരിയാക്കുന്നത്

KRACK Wi-Fi എൻക്രിപ്ഷൻ തകർക്കുന്നു എന്ന് ഒരു തലക്കെട്ട് പറഞ്ഞതിനാൽ നിങ്ങൾ VPN വാങ്ങുകയാണെങ്കിൽ, നിങ്ങൾ തെറ്റായ പാളിയാണ് നന്നാക്കുന്നത്. 2017-ലെ ആ വെളിപ്പെടുത്തൽ WPA2-ന്റെ നാല്-ഘട്ട ഹാൻഡ്ഷേക്കിനെതിരായ കീ പുനഃസ്ഥാപന ആക്രമണങ്ങളുടെ ഒരു കുടുംബത്തെ വിവരിച്ചു, തിരുത്തൽ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം അപ്ഡേറ്റുകൾ, വയർലെസ് ഡ്രൈവർ പാച്ചുകൾ, റൗട്ടർ ഫേംവെയർ എന്നിവയായി വന്നു. ഒരു ടണലിന് പ്രാദേശിക നെറ്റ്വർക്കിൽ നിന്ന് നിങ്ങളുടെ ട്രാഫിക് മറയ്ക്കാം, പക്ഷേ അതിന് താഴെ പൂർത്തിയാകുന്ന ഹാൻഡ്ഷേക്ക് നന്നാക്കാനാകില്ല. അതിനാൽ ആദ്യ ചോദ്യം ഏത് VPN വാങ്ങണം എന്നല്ല; നിങ്ങളുടെ ഏത് ഉപകരണങ്ങളാണ് ഇപ്പോഴും പാച്ച് ചെയ്യാത്ത വയർലെസ് സ്റ്റാക്ക് പ്രവർത്തിപ്പിക്കുന്നത് എന്നതാണ്.

അതേ വ്യത്യാസം ബജറ്റ് ആശങ്കയ്ക്കും ഉത്തരം നൽകുന്നു. സബ്സ്ക്രിപ്ഷൻ താങ്ങാനാകാത്തയാളെ യഥാർത്ഥ പരിഹാരത്തിൽ നിന്ന് ഒരിക്കലും പുറത്താക്കിയിട്ടില്ല, കാരണം പരിഹാരം സൗജന്യ അപ്ഡേറ്റായിരുന്നു. പണം ചെലവാകുന്നത് ഇനി അപ്ഡേറ്റ് ലഭിക്കാത്ത ഹാർഡ്വെയർ മാറ്റിസ്ഥാപിക്കാനാണ്.

ആക്രമണം യഥാർത്ഥത്തിൽ എന്താണ് കൃത്രിമം ചെയ്തത്

WPA2 ബന്ധിപ്പിക്കുമ്പോൾ നാല്-ഘട്ട ഹാൻഡ്ഷേക്കിലൂടെ പുതിയ ജോടി കീ ഉരുത്തിരിച്ചെടുക്കുന്നു. ആക്സസ് പോയിന്റ് ഒരു നോൺസ് അയയ്ക്കുന്നു, ക്ലയന്റ് സ്വന്തം നോൺസ് കൊണ്ട് ഉത്തരം നൽകുന്നു, ഇരുവശവും ജോടി താൽക്കാലിക കീ കണക്കാക്കുന്നു, ആക്സസ് പോയിന്റ് ക്ലയന്റ് സ്വീകരിക്കുന്ന ഒരു സന്ദേശത്തോടെ സ്ഥിരീകരിക്കുന്നു. കീ പുനഃസ്ഥാപന ആക്രമണം പാസ്ഫ്രെയ്സ് ഊഹിക്കുന്നതിന് പകരം ആ ക്രമത്തിൽ ഇടപെട്ട്, ഇതിനകം ഇൻസ്റ്റാൾ ചെയ്ത കീ ക്ലയന്റിനെ വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യാൻ നിർബന്ധിക്കുന്നു. ഓരോ പുനഃസ്ഥാപനത്തിനും ആ കീയുമായി ബന്ധിപ്പിച്ച ട്രാൻസ്മിറ്റ് നോൺസും സ്വീകരണ പുനഃപ്രവർത്തന കൗണ്ടറും പുനഃസജ്ജമാക്കാം.

ആ കൗണ്ടറുകൾ പിന്നോട്ട് നീങ്ങുമ്പോൾ, നിരസിക്കേണ്ടിയിരുന്ന ട്രാഫിക്കിന്റെ ഒരു ഭാഗം വീണ്ടും സ്വീകാര്യമാകുന്നു. വകഭേദത്തെയും നടപ്പാക്കലിനെയും ആശ്രയിച്ച്, റേഡിയോ പരിധിയിലുള്ള ആക്രമണകാരിക്ക് ഫ്രെയിമുകൾ വീണ്ടും പ്ലേ ചെയ്യാനോ ഡീക്രിപ്റ്റ് ചെയ്യാനോ കുത്തിവയ്ക്കാനോ കഴിയുമായിരുന്നു. ഗ്രൂപ്പ്-കീ ഹാൻഡ്ഷേക്കിനും വേഗതയേറിയ സംക്രമണ ഹാൻഡ്ഷേക്കിനും സ്വന്തം വകഭേദങ്ങളുണ്ടായിരുന്നു, അതുകൊണ്ടാണ് അറിയിപ്പിൽ ഒന്നല്ല, നിരവധി ആക്രമണ നാമങ്ങൾ ലിസ്റ്റ് ചെയ്തത്.

Android 6.0-ഉം അതിനുശേഷമുള്ളതും ഏറ്റവും മോശം കേസായിരുന്നു. അതിന്റെ wpa_supplicant പതിപ്പുകളെ പൂർണ്ണമായും പൂജ്യങ്ങളുള്ള ഒരു കീ ഇൻസ്റ്റാൾ ചെയ്യാൻ നിർബന്ധിക്കാമായിരുന്നു, ഇത് പുനഃസ്ഥാപനം കൗണ്ടറുകൾ മാത്രം പുനഃസജ്ജമാക്കുന്ന പ്ലാറ്റ്ഫോമുകളെക്കാൾ ഡീക്രിപ്ഷൻ വളരെ എളുപ്പമാക്കി. ആ വിശദാംശം അക്കാലത്തെ ഏറ്റവും സാധാരണ ഫോൺ പ്ലാറ്റ്ഫോമിൽ സൈദ്ധാന്തിക ബലഹീനതയെ പ്രായോഗിക ബലഹീനതയിൽ നിന്ന് വേർതിരിച്ചു.

തിരുത്തൽ വയർലെസ് സ്റ്റാക്കിലാണ് കഴിയുന്നത്

മുകളിലെ തിരുത്ത്, കീ ഇതിനകം ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടെങ്കിൽ വീണ്ടും അയച്ച ഹാൻഡ്ഷേക്ക് സന്ദേശം അവഗണിക്കാൻ supplicant-കളോടും ആക്സസ് പോയിന്റുകളോടും പറഞ്ഞു. wpa_supplicant-ന്റെയും hostapd-ന്റെയും പാച്ച് ചെയ്ത ബിൽഡുകൾ അത് വഹിച്ചു, വിതരണങ്ങൾ അത് പഴയ ശാഖകളിലേക്ക് തിരികെ കൊണ്ടുപോയി, അതിനാൽ wpa_supplicant -v അച്ചടിക്കുന്ന സ്ട്രിംഗ് ഒരു തുടക്കമാണ്, വിധിയല്ല. വിതരണത്തിന്റെ സുരക്ഷാ അറിയിപ്പ് വായിച്ച് പതിപ്പ് നമ്പർ മാത്രമല്ല, നിർദ്ദിഷ്ട പാച്ച് സ്ഥിരീകരിക്കുക. പഴയ പതിപ്പ് റിപ്പോർട്ട് ചെയ്യുന്ന ബിൽഡും തിരുത്തിയതായിരിക്കാം, പുതിയ പതിപ്പുള്ള ബിൽഡിൽ നിർമ്മാതാവിന്റെ ബാക്ക്പോർട്ട് ഇല്ലായിരിക്കാം.

ലിങ്കിന്റെ രണ്ടറ്റത്തിനും ശ്രദ്ധ വേണം. നന്നാക്കിയ റൗട്ടർ അതുമായി ബന്ധിപ്പിക്കുന്ന ലാപ്ടോപ്പ് പാച്ച് ചെയ്യുന്നില്ല, നന്നാക്കിയ ലാപ്ടോപ്പ് റൗട്ടർ പാച്ച് ചെയ്യുന്നില്ല. നിർമ്മാതാക്കൾ ഓരോ ഉൽപ്പന്നത്തിനും അറിയിപ്പുകൾ പ്രസിദ്ധീകരിച്ചു, ഓരോ മോഡലിനും സ്വന്തം ഫേംവെയർ ബിൽഡ് വേണ്ടതിനാൽ റൗട്ടർ തിരുത്തലുകൾ പലപ്പോഴും ഫോൺ അപ്ഡേറ്റുകൾക്ക് പിന്നിലായിരുന്നു. ഒരു ഉപകരണത്തിന്റെ അവസാന റിലീസ് അറിയിപ്പിന് മുമ്പാണെങ്കിൽ, നിർമ്മാതാവ് വിപരീതം പറയുന്നതുവരെ അതിനെ പാച്ച് ചെയ്യാത്തതായി കണക്കാക്കുക.

നിങ്ങൾക്ക് അപ്ഡേറ്റ് ചെയ്യാനാകാത്ത ഉപകരണങ്ങൾക്ക്, ഓപ്ഷനുകൾ ഇടുങ്ങിയതും ആകർഷകമല്ലാത്തതുമാണ്. അത് ഉപയോഗത്തിൽ നിന്ന് ഒഴിവാക്കുക, സൂക്ഷ്മ ട്രാഫിക് വഹിക്കുന്ന നെറ്റ്വർക്കുകളിൽ നിന്ന് അകറ്റി നിർത്തുക, അല്ലെങ്കിൽ അതിന്റെ ഏക സഹചരന്മാരും തുല്യമായി ഉപേക്ഷിക്കാവുന്ന ഒരു സെഗ്മെന്റിലേക്ക് പരിമിതപ്പെടുത്തുക. ഈ ഓപ്ഷനുകളിൽ ഒന്നും സബ്സ്ക്രിപ്ഷൻ ആവശ്യപ്പെടുന്നില്ല, മറ്റൊരു ടണൽ ദാതാവിനെ തിരഞ്ഞെടുക്കുന്നതുകൊണ്ട് ഒന്നും മെച്ചപ്പെടുന്നുമില്ല.

ടണൽ എന്താണ് ഉൾക്കൊള്ളുന്നത്

VPN അതിർത്തി നീക്കുന്നു. നിങ്ങളുടെ ഉപകരണം ഓരോ പാക്കറ്റും എൻക്രിപ്റ്റ് ചെയ്ത് VPN സെർവറിലേക്ക് അയയ്ക്കുന്നു, അത് അത് ഡീക്രിപ്റ്റ് ചെയ്ത് മുന്നോട്ട് അയയ്ക്കുന്നു. Wi-Fi ലിങ്ക് കൃത്രിമം ചെയ്യുന്നയാൾ ടണലിന്റെ പുറം പാക്കറ്റുകൾ കാണുന്നു, അകത്തെ പേലോഡ് അല്ല, അതിനാൽ ലിങ്ക് പാളിയിലെ ഫ്രെയിമുകൾ വെളിപ്പെടുത്തുന്ന പുനഃസ്ഥാപന ആക്രമണം ടണലിട്ട കണക്ഷന്റെ ഉള്ളടക്കം സ്വയമേവ വെളിപ്പെടുത്തുന്നില്ല. ആ സംരക്ഷണം താഴെയുള്ള വയർലെസ് സ്റ്റാക്ക് ദുർബലമായി തുടരുമ്പോഴും നിലനിൽക്കുന്നു, രണ്ട് നിയന്ത്രണങ്ങൾ കൂടിക്കുഴയുന്നതിന്റെ കാരണം അതുതന്നെ.

വ്യവസ്ഥ "ടണലിട്ടത്" എന്നതാണ്. വിഭജിത ടണലിംഗ്, ബൈപാസ് ലിസ്റ്റ് അല്ലെങ്കിൽ ക്യാപ്റ്റീവ് പോർട്ടൽ ഒഴിവാക്കൽ ചില ട്രാഫിക് ടണലിന് പുറത്തേക്ക് അയയ്ക്കുന്നു, ആ ട്രാഫിക്കിന് അതിൽ നിന്ന് പ്രയോജനമില്ല. അതേ നെറ്റ്വർക്കിലുള്ള, ക്ലയന്റ് ഒരിക്കലും ഇൻസ്റ്റാൾ ചെയ്യാത്ത മറ്റ് ഉപകരണങ്ങളുടെ ട്രാഫിക്കിനും ഇതുതന്നെ. ടണൽ ഓരോ ഉപകരണത്തിനും ഓരോ റൂട്ടിനും എടുക്കുന്ന തീരുമാനമാണ്, മുറിയുടെ സ്വഭാവമല്ല, റൗട്ടർ തലത്തിലുള്ള VPN യഥാർത്ഥത്തിൽ റൗട്ടറിലൂടെ കടന്നുപോകുന്നത് മാത്രം ഉൾക്കൊള്ളുന്നു.

ടണലിന് ചെയ്യാനാകാത്തത് ഡ്രൈവർ നന്നാക്കുക, ഡീഓതന്റിക്കേഷൻ പ്രവാഹം നിർത്തുക, അല്ലെങ്കിൽ ആക്രമണകാരി ചാനൽ ജാം ചെയ്യുന്നത് തടയുക എന്നിവയാണ്. ഒരിക്കലും അതിൽ പ്രവേശിക്കാത്ത ഒരു കണക്ഷനെയും അതിന് സംരക്ഷിക്കാനാകില്ല. ഇവ ലഭ്യതയുടെയും ലിങ്ക് പാളിയുടെയും പ്രശ്നങ്ങളാണ്, ടണലിലെ സൈഫർ സ്യൂട്ട് എത്ര ശക്തമായാലും അവ വയർലെസ് സ്റ്റാക്കിനൊപ്പം തുടരുന്നു.

HTTPS-ഉം ടണലും വ്യത്യസ്ത ഹോപ്പുകളെ സംരക്ഷിക്കുന്നു

ഒരു പേജ് ലോഡിൽ മൂന്ന് വേറിട്ട സംരക്ഷണങ്ങൾ ഉണ്ടാകാം: Wi-Fi ലിങ്ക്, VPN സെർവറിലേക്കുള്ള ടണൽ, വെബ്സൈറ്റിലേക്കുള്ള TLS സെഷൻ. ഓരോന്നും സ്വതന്ത്രമായി ചർച്ച ചെയ്യുന്നു. സാധുവായ സർട്ടിഫിക്കറ്റും ആധുനിക പ്രോട്ടോക്കോൾ പതിപ്പുമുള്ള TLS, ആദ്യ ഹോപ്പ് ശത്രുതാപരമായിരുന്നാലും ബ്രൗസറും സൈറ്റും തമ്മിൽ പ്രാമാണീകരിച്ച എൻക്രിപ്ഷൻ നൽകുന്നു, കാരണം സർട്ടിഫിക്കറ്റ് പരിശോധനയാണ് വ്യാജനെ സ്വന്തം കീ ഉൾപ്പെടുത്തുന്നതിൽ നിന്ന് തടയുന്നത്.

ആ പരിശോധനയ്ക്ക് അരികുകളിൽ ദുർബലമായ സ്ഥലങ്ങളുണ്ട്. HTTPS-ൽ നിന്ന് HTTP-ലേക്കുള്ള റീഡയറക്ട്, സാധാരണ HTTP-യിൽ സ്ക്രിപ്റ്റുകൾ ലോഡ് ചെയ്യുന്ന പേജ്, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് മുന്നറിയിപ്പ് ക്ലിക്ക് ചെയ്ത് കടക്കുന്ന ഉപയോക്താവ് — എല്ലാം ട്രാഫിക് സംരക്ഷിത സെഷന് പുറത്തേക്ക് നീക്കുന്നു. HSTS-ഉം ബ്രൗസറിന്റെ ഇടയ്ക്കുള്ള പേജുകളും ഉള്ളത് ആ തെറ്റുകൾ സാധാരണമായതുകൊണ്ടാണ്, TLS ദുർബലമായതുകൊണ്ടല്ല.

HTTPS-ഉം ടണലും നിലനിർത്തുന്നത് വയർലെസ് നടപ്പാക്കലിനെ ദുർബലമല്ലാതാക്കുന്നില്ല. ഫ്രെയിമുകൾ ഇപ്പോഴും കുറ്റമുള്ള ഡ്രൈവർ ഡീക്രിപ്റ്റ് ചെയ്യുന്നു; വ്യത്യാസം ആക്രമണകാരി അവയ്ക്കുള്ളിൽ എന്ത് കണ്ടെത്തുന്നു, ആ ഉള്ളടക്കം മുമ്പേ മറ്റെന്തെങ്കിലും കൊണ്ട് സംരക്ഷിക്കപ്പെട്ടിരുന്നോ എന്നതിലാണ്.

മിശ്രിത നെറ്റ്വർക്കിനുള്ള തിരുത്തൽ ക്രമം

ആക്സസ് പോയിന്റിൽ നിന്ന് തുടങ്ങുക, കാരണം അതാണ് നിങ്ങൾ നിയന്ത്രിക്കുന്നതും ഓരോ ക്ലയന്റും ആശ്രയിക്കുന്നതുമായ ഉപകരണം. തുടർന്ന് ക്ലയന്റ് ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിലൂടെ കടക്കുക, ഏറ്റവും പഴയതിൽ നിന്ന്, കാരണം അപ്ഡേറ്റുകൾ സ്വീകരിക്കുന്നത് നിർത്തിയ പ്ലാറ്റ്ഫോമുകളാണ് ഒരിക്കലും പാച്ച് ചെയ്യപ്പെടാത്തത്. ആ ഇൻവെന്ററി പൂർത്തിയായതിന് ശേഷം മാത്രമേ VPN തീരുമാനത്തിന് അർത്ഥമുള്ളൂ, അത് തിരുത്തലിനെക്കുറിച്ചല്ല, എക്സ്പോഷറിനെക്കുറിച്ചുള്ള തീരുമാനമാണ്. വിപരീത ക്രമത്തിൽ ചെയ്യുന്നത്, ആദ്യം ടണൽ പിന്നീട് ഫേംവെയർ, സബ്സ്ക്രിപ്ഷൻ നിലനിൽക്കുന്നിടത്തോളം യഥാർത്ഥ വീഴ്ച അതിന്റെ സ്ഥാനത്ത് നിർത്തുന്നു.

എന്താണ് പരിശോധിച്ചതെന്ന് എഴുതുക, ഫേംവെയർ പതിപ്പും തീയതിയും ഉൾപ്പെടെ. "അപ്ഡേറ്റ് ചെയ്തു" എന്നത് പിന്നീട് ആർക്കും ഓഡിറ്റ് ചെയ്യാനാകാത്ത ഒരു അവസ്ഥയാണ്.

മൂന്ന് പരിശോധനകൾ ജോലിയുടെ ഭൂരിഭാഗവും ഉൾക്കൊള്ളുന്നു, അവ ഈ ക്രമത്തിലാണ് പോകുന്നത്. ആദ്യ രണ്ടെണ്ണം വൃത്തിയായി വന്നു എന്ന കാരണത്താൽ മൂന്നാമത്തേത് ഒഴിവാക്കരുത്.

• റൗട്ടർ ഫേംവെയർ: ഇൻസ്റ്റാൾ ചെയ്ത പതിപ്പിനെ അപ്ഡേറ്റ് ബട്ടണുമായല്ല, നിർമ്മാതാവിന്റെ അറിയിപ്പ് പേജുമായി താരതമ്യം ചെയ്യുക.
• ക്ലയന്റ് OS: ഓരോ ഫോൺ, ലാപ്ടോപ്പ്, ടാബ്ലെറ്റ് എന്നിവയ്ക്കുള്ള വയർലെസ് തിരുത്തൽ ഉൾപ്പെടുന്ന പാച്ച് നില സ്ഥിരീകരിക്കുക.
• ശേഷിപ്പുകൾ: പാച്ച് വഴിയില്ലാത്ത ഉപകരണങ്ങൾ ലിസ്റ്റ് ചെയ്ത് ഒഴിവാക്കൽ, വേർതിരിക്കൽ, അല്ലെങ്കിൽ സ്വീകരണം എന്നിവയിൽ തീരുമാനിക്കുക.

ശേഷിപ്പുകളുടെ പട്ടിക നീളമുള്ളതാണെങ്കിൽ, ക്ലയന്റ് വേർതിരിക്കലുള്ള അതിഥി നെറ്റ്വർക്ക് ഹാർഡ്വെയർ മാറ്റിസ്ഥാപിക്കുന്നതുവരെ സമയം വാങ്ങുന്നു. പിന്നീട് ഓരോ ബാൻഡിലും ഒരു അറിയപ്പെടുന്ന ക്ലയന്റ് പരീക്ഷിച്ച് ഫലം രേഖപ്പെടുത്തി, അടുത്ത ഫേംവെയർ റിലീസിന് ശേഷം വീണ്ടും പരിശോധിക്കുക. ഹാർഡ്വെയർ ഇൻവെന്ററിയാണ് അടുത്ത അറിയിപ്പ് വേഗത്തിലാക്കുന്നത്; ടണലാണ് അതിനിടയിലെ വിടവ് മൂടുന്നത്.