VPN KRACK-аас хамгаалах уу? Нөхөөс юу засдаг вэ

Хэрэв KRACK Wi-Fi шифрлэлтийг эвддэг гэсэн гарчигт итгэж VPN худалдаж авч байгаа бол та буруу давхаргыг засаж байна. 2017 оны тэр ил тод болгох мэдээлэл WPA2-ын дөрвөн шатлалт гар барилтын эсрэг түлхүүрийг дахин суулгах халдлагын бүлгийг тайлбарласан бөгөөд засвар нь үйлдлийн системийн шинэчлэлт, утасгүй драйверын нөхөөс, маршруулагчийн програм хангамж хэлбэрээр ирсэн. Туннель таны урсгалыг орон нутгийн сүлжээнээс нууж чадна, гэхдээ түүний доор дуусах гар барилтыг засаж чадахгүй. Тиймээс эхний асуулт аль VPN худалдаж авах биш; аль төхөөрөмж тань одоо ч нөхөөсгүй утасгүй стек ажиллуулж байгаа нь юм.

Мөн энэ ялгаа төсвийн санаа зовнилд хариулна. Захиалгын төлбөр төлж чадахгүй хүн жинхэнэ шийдлээс хэзээ ч хасагдсан биш, учир нь шийдэл нь үнэгүй шинэчлэлт байсан. Мөнгө зарцуулдаг зүйл бол шинэчлэлт авахаа больсон техник хэрэгслийг солих явдал юм.

Халдлага бодитоор юуг удирдсан бэ

WPA2 холбогдох үед дөрвөн шатлалт гар барилтаар шинэ хос түлхүүр гаргадаг. Хандалтын цэг nonce илгээж, клиент өөрийн nonce-оор хариулж, хоёр тал хосын түр зуурын түлхүүрийг тооцоолж, хандалтын цэг клиентийн баталгаажуулсан мессежээр батална. Түлхүүрийг дахин суулгах халдлага нь нууц үгийг таамаглахын оронд тэр дараалалд халдаж, клиентийг аль хэдийн суулгасан түлхүүрээ дахин суулгахыг албадна. Дахин суулгах бүр тэр түлхүүрт холбогдсон илгээх nonce болон хүлээн авах давталтын тоолуурыг тэглэж болно.

Тэдгээр тоолуур ухрах үед татгалзах ёстой байсан урсгалын нэг хэсэг дахин хүлээн зөвшөөрөгдөнө. Хувилбар, хэрэгжүүлэлтээс хамаарч радио хүрээнд байгаа халдлагч кадруудыг дахин тоглуулж, тайлж эсвэл оруулж чаддаг байсан. Бүлгийн түлхүүрийн гар барилт болон хурдан шилжилтийн гар барилт өөрийн хувилбартай байсан тул мэдэгдэл нэг биш хэд хэдэн халдлагын нэрийг жагсаасан.

Android 6.0 ба түүнээс хойшхи хувилбар хамгийн муу тохиолдол байв. Түүний wpa_supplicant хувилбаруудыг бүхэлдээ тэгээс бүрдсэн түлхүүр суулгахыг албадаж болох бөгөөд энэ нь дахин суулгалт зөвхөн тоолуур тэглэдэг платформуудаас илүү тайлахад хялбар болгосон. Тэр дэлгэрэнгүй мэдээлэл тухайн үеийн хамгийн түгээмэл утасны платформ дээр онолын сул талыг практик сул талаас ялгасан.

Засвар нь утасгүй стек дотор амьдардаг

Дээд түвшний засвар нь supplicant болон хандалтын цэгүүдэд түлхүүр аль хэдийн суусан бол дахин илгээсэн гар барилтын мессежийг үл тоомсорлохыг тушаав. wpa_supplicant болон hostapd-ийн нөхөөстэй бүтээцүүд үүнийг агуулж, түгээлтүүд хуучин салбарууд руу буцааж оруулсан тул wpa_supplicant -v-ийн хэвлэдэг мөр нь эхлэл цэг бөгөөд шийдвэр биш. Түгээлтийн аюулгүй байдлын мэдэгдлийг уншиж, зөвхөн хувилбарын дугаар биш, тодорхой нөхөөсийг баталгаажуулаарай. Хуучин хувилбар мэдээлсэн бүтээц ч зассан байж болно, шинэ хувилбартай бүтээцэд үйлдвэрлэгчийн буцаан оруулалт дутуу байж болно.

Холбоосын хоёр төгсгөл анхаарал шаарддаг. Зассан маршруулагч түүнд холбогдсон зөөврийн компьютерьыг нөхөхгүй, зассан зөөврийн компьютер маршруулагчийг нөхөхгүй. Үйлдвэрлэгчид бүтээгдэхүүн тус бүрээр мэдэгдэл нийтэлж, маршруулагчийн засвар нь загвар бүрд өөрийн програм хангамжийн бүтээц шаарддаг тул утасны шинэчлэлтээс ихэвчлэн хоцордог байв. Хэрэв төхөөрөмжийн сүүлийн хувилбар мэдэгдлээс өмнө бол үйлдвэрлэгч эсрэгээр хэлэх хүртэл нөхөөсгүй гэж үзээрэй.

Шинэчилж чадахгүй тоног төхөөрөмжийн хувьд сонголтууд нарийн бөгөөд гоёл чимэггүй. Үүнийг ашиглалтаас гарга, мэдрэмтгий урсгал зөөдөг сүлжээнээс хол байлга, эсвэл түүний цорын ганц хөршүүд нь мөн адил золиослогдох сегментэд хязгаарла. Эдгээр сонголтын аль нь ч захиалга шаарддаггүй бөгөөд өөр туннелийн үйлчилгээ үзүүлэгч сонгох нь алийг нь ч сайжруулахгүй.

Туннель юу хамардаг вэ

VPN хил хязгаарыг зөөдөг. Таны төхөөрөмж пакет бүрийг шифрлэж VPN сервер рүү илгээдэг, тэр нь тайлж цааш дамжуулдаг. Wi-Fi холбоосыг удирддаг хүн туннелийн гаднах пакетуудыг хардаг, доторх ачааг биш, тиймээс холбоосын түвшний кадрыг ил болгодог дахин суулгах халдлага туннелжсэн холболтын агуулгыг автоматаар ил болгодоггүй. Энэ хамгаалалт доорх утасгүй стек эмзэг хэвээр байсан ч үргэлжилдэг бөгөөд хоёр хяналт андуурч байгаагийн шалтгаан яг энэ юм.

Нөхцөл нь "туннелжсэн". Хуваасан туннель, тойрч гарах жагсаалт эсвэл captive порталын үл хамаарах зүйл урсгалын нэг хэсгийг туннелиас гадуур илгээдэг бөгөөд тэр урсгал үүнээс ямар ч ашиг хүртэхгүй. Нэг сүлжээн дэх клиентийг хэзээ ч суулгаагүй бусад төхөөрөмжийн урсгалд ч мөн адил. Туннель бол төхөөрөмж бүр, маршрут бүрт гаргах шийдвэр, өрөөний шинж чанар биш, маршруулагчийн түвшний VPN зөвхөн маршруулагчаар үнэхээр өнгөрдөг зүйлийг хамардаг.

Туннелийн чадахгүй зүйл бол драйверыг засах, баталгаажуулалт цуцлах урсгалыг зогсоох, эсвэл халдлагчийг сувгийг эвдэхээс сэргийлэх юм. Хэзээ ч дотогш ороогүй холболтыг ч хамгаалж чадахгүй. Эдгээр нь хүртээмж, холбоосын түвшний асуудал бөгөөд туннелийн шифр багц хэчнээн хүчтэй байсан ч утасгүй стектэй хамт үлддэг.

HTTPS болон туннель өөр үсрэлтүүдийг хамгаалдаг

Нэг хуудас ачаалахад гурван тусдаа хамгаалалт оролцож болно: Wi-Fi холбоос, VPN сервер рүү туннель, вэбсайт руу TLS сесс. Тус бүр бие даан хэлэлцэгддэг. Хүчинтэй гэрчилгээ, орчин үеийн протоколын хувилбар бүхий TLS нь эхний үсрэлт дайсагнасан ч хөтөч болон сайтын хооронд баталгаажсан шифрлэлт өгдөг, учир нь гэрчилгээний шалгалт нь хуурамчийг өөрийн түлхүүрийг оруулахаас сэргийлдэг зүйл юм.

Тэр шалгалт ирмэг дээр сул цэгүүдтэй. HTTPS-ээс HTTP руу чиглүүлэх, энгийн HTTP-ээр скрипт ачаалдаг хуудас, эсвэл гэрчилгээний анхааруулгыг товчлуурдаж өнгөрөх хэрэглэгч бүгд урсгалыг хамгаалагдсан сессээс гадуур зөөдөг. HSTS болон хөтчийн завсрын хуудсууд тэдгээр алдаа түгээмэл учраас байдаг, TLS эмзэг учраас биш.

HTTPS болон туннелийг хадгалах нь утасгүй хэрэгжүүлэлтийг эмзэг бус болгодоггүй. Кадруудыг алдаатай драйвер тайлдаг хэвээр; ялгаа нь халдлагч тэдгээрийн дотор юу олдог, тэр агуулга өмнө нь өөр зүйлээр хамгаалагдсан эсэхэд байна.

Холимог сүлжээний засварын дараалал

Хандалтын цэгээс эхэл, учир нь тэр бол таны хянадаг, клиент бүрээс хамаардаг төхөөрөмж. Дараа нь клиентийн үйлдлийн системүүдийг хамгийн хуучинаас нь эхлэн үзээрэй, учир нь шинэчлэлт авахаа больсон платформууд хэзээ ч нөхөгдөхгүй. Тэр бүртгэл дууссаны дараа л VPN-ийн шийдвэр утга учиртай бөгөөд энэ нь засвар биш, илрэлтийн тухай шийдвэр юм. Эсрэг дарааллаар хийх, эхлээд туннель дараа нь програм хангамж нь бодит алдааг захиалга үргэлжилсэн хугацаанд байранд нь үлдээдэг.

Юу шалгаснаа бичээрэй, програм хангамжийн хувилбар, огноог оруулан. "Шинэчлэгдсэн" бол дараа нь хэн ч аудит хийж чадахгүй төлөв юм.

Гурван шалгалт ажлын ихэнх хэсгийг хамардаг бөгөөд тэдгээр нь энэ дарааллаар явна. Эхний хоёр цэвэр гарсан гэж гурав дахь шалгалтыг алга бүү орхи.

• Маршруулагчийн програм хангамж: суулгасан хувилбарыг шинэчлэх товчлууртай биш, үйлдвэрлэгчийн мэдэгдлийн хуудастай харьцуул.
• Клиентийн OS: утас, зөөврийн компьютер, таблет бүрийн утасгүй засварыг агуулсан нөхөөсийн түвшинг баталгаажуул.
• Үлдэгдэл: нөхөөсийн замгүй төхөөрөмжүүдийг жагсааж, ашиглалтаас гаргах, тусгаарлах эсвэл хүлээн зөвшөөрөх эсэхийг шийд.

Хэрэв үлдэгдлийн жагсаалт урт бол клиентийг тусгаарласан зочны сүлжээ техник хэрэгсэл солигдох хүртэл цаг хугацаа худалдаж авна. Дараа нь зурвас бүр дээр нэг танигдсан клиентийг туршиж, үр дүнг бичээд, дараагийн програм хангамжийн хувилбарын дараа дахин шалга. Техник хэрэгслийн бүртгэл нь дараагийн мэдэгдлийг хурдан болгодог зүйл; туннель нь энэ хооронд завсарыг хамардаг.