VPN KRACK पासून संरक्षण करते का? पॅच काय दुरुस्त करतो

KRACK Wi-Fi एन्क्रिप्शन तोडते असे शीर्षक वाचून तुम्ही VPN खरेदी करत असाल, तर तुम्ही चुकीचा स्तर दुरुस्त करत आहात। 2017 च्या त्या उघडकीस WPA2 च्या चार-टप्प्यांच्या हस्तांदोलनावरील की पुनर्स्थापन हल्ल्यांचे कुटुंब वर्णन केले होते, आणि दुरुस्ती ऑपरेटिंग सिस्टम अपडेट, वायरलेस ड्रायव्हर पॅच आणि राउटर फर्मवेअर म्हणून आली। टनेल स्थानिक नेटवर्कपासून तुमची रहदारी लपवू शकते, पण त्याखाली पूर्ण होणारे हस्तांदोलन दुरुस्त करू शकत नाही। म्हणून पहिला प्रश्न कोणते VPN खरेदी करायचे हा नाही; तर तुमच्या कोणत्या उपकरणांवर अजूनही पॅच न केलेला वायरलेस स्टॅक चालू आहे हा आहे।

हेच फरक बजेटच्या चिंतेलाही उत्तर देतो। सदस्यता परवडत नाही अशाला खऱ्या उपायापासून कधीच वगळले नव्हते, कारण उपाय मोफत अपडेट होता। पैसे अशा हार्डवेअर बदलण्यात लागतात ज्याला आता अपडेट मिळत नाही।

हल्ल्याने प्रत्यक्षात काय हाताळले

WPA2 जोडणीच्या वेळी चार-टप्प्यांच्या हस्तांदोलनातून नवीन जोडी-की काढते। प्रवेश बिंदू नॉन्स पाठवतो, क्लायंट स्वतःच्या नॉन्सने उत्तर देतो, दोन्ही बाजू जोडीची तात्पुरती की मोजतात, आणि प्रवेश बिंदू क्लायंट मान्य करतो अशा संदेशाने पुष्टी करतो। की पुनर्स्थापन हल्ला पासफ्रेजचा अंदाज लावण्याऐवजी त्या क्रमात हस्तक्षेप करतो आणि क्लायंटला आधीच स्थापित केलेली की पुन्हा स्थापित करण्यास भाग पाडतो। प्रत्येक पुनर्स्थापन त्या कीशी जोडलेला प्रेषण नॉन्स आणि स्वीकृती पुनरावृत्ती काउंटर रीसेट करू शकते।

ती काउंटर मागे गेल्यावर नाकारले जायला हवे होते अशा रहदारीचा काही भाग पुन्हा स्वीकारार्ह होतो। प्रकार आणि अंमलबजावणीनुसार रेडिओ परिघातील हल्लेखोर फ्रेम पुन्हा चालवू, डिक्रिप्ट करू किंवा इंजेक्ट करू शकत होता। गट-की हस्तांदोलन आणि जलद संक्रमण हस्तांदोलनाचे स्वतःचे प्रकार होते, म्हणूनच सूचनेत एकाऐवजी अनेक हल्ल्यांची नावे सूचीबद्ध होती।

Android 6.0 आणि नंतरचे सर्वात वाईट प्रकरण होते। त्याच्या wpa_supplicant आवृत्त्या सर्व शून्यांची की स्थापित करण्यास भाग पाडल्या जाऊ शकत होत्या, ज्यामुळे पुनर्स्थापन फक्त काउंटर रीसेट करणाऱ्या प्लॅटफॉर्मपेक्षा डिक्रिप्शन खूप सोपे होते। त्या तपशिलाने त्या काळातील सर्वात सामान्य फोन प्लॅटफॉर्मवर सैद्धांतिक दुर्बलता वास्तविक दुर्बलतेपासून वेगळी केली।

दुरुस्ती वायरलेस स्टॅकमध्ये राहते

वरच्या पातळीवरील दुरुस्तीने सप्लिकंट आणि प्रवेश बिंदूंना, की आधीच स्थापित असेल तर पुन्हा पाठवलेला हस्तांदोलन संदेश दुर्लक्षित करायला सांगितले। wpa_supplicant आणि hostapd च्या पॅच केलेल्या बिल्डमध्ये ते होते, आणि वितरणांनी ते जुन्या शाखांमध्ये परत आणले, म्हणून wpa_supplicant -v जी अक्षरमाला छापते ती प्रारंभ बिंदू आहे, निर्णय नाही। वितरणाची सुरक्षा सूचना वाचा आणि केवळ आवृत्ती क्रमांक नाही, तर विशिष्ट पॅचची पुष्टी करा। जुनी आवृत्ती दाखवणारे बिल्डही दुरुस्त असू शकते, आणि नव्या आवृत्तीच्या बिल्डमध्ये उत्पादकाचा पॅच नसू शकतो।

दुव्याच्या दोन्ही टोकांना लक्ष हवे। दुरुस्त केलेला राउटर त्याला जोडणाऱ्या लॅपटॉपला पॅच करत नाही, आणि दुरुस्त केलेला लॅपटॉप राउटरला पॅच करत नाही। उत्पादकांनी प्रत्येक उत्पादनासाठी सूचना प्रकाशित केल्या, आणि राउटरच्या दुरुस्त्या सहसा फोन अपडेटच्या मागे राहत, कारण प्रत्येक मॉडेलला स्वतःचे फर्मवेअर बिल्ड लागते। उपकरणाची शेवटची आवृत्ती सूचनेपूर्वीची असेल, तर उत्पादक विरुद्ध काही सांगेपर्यंत ते पॅच न केलेले माना।

जे उपकरण तुम्ही अपडेट करू शकत नाही त्यासाठी पर्याय अरुंद आणि निरस आहेत। ते बंद करा, संवेदनशील रहदारी वाहणाऱ्या नेटवर्कपासून दूर ठेवा, किंवा त्याचे एकमेव सहकारी तितकेच त्याज्य असलेल्या विभागात ते मर्यादित करा। यापैकी कोणत्याही पर्यायात सदस्यता नाही, आणि दुसरा टनेल पुरवठादार निवडल्याने कोणताही सुधारत नाही।

टनेल काय झाकते

VPN सीमा सरकवते। तुमचे उपकरण प्रत्येक पॅकेट एन्क्रिप्ट करून VPN सर्व्हरला पाठवते, जो ते डिक्रिप्ट करून पुढे पाठवतो। Wi-Fi दुवा हाताळणारा व्यक्ती टनेलची बाहेरील पॅकेट पाहतो, आतील पेलोड नाही, म्हणून दुवा-स्तराच्या फ्रेम उघड करणारा पुनर्स्थापन हल्ला टनेल केलेल्या जोडणीचा आशय स्वयंचलितपणे उघड करत नाही। हे संरक्षण खालील वायरलेस स्टॅक असुरक्षित राहिला तरी टिकते, आणि दोन्ही नियंत्रणे गोंधळली जाण्याचे कारण तेच आहे।

अट "टनेल केलेले" ही आहे। विभाजित टनेलिंग, बायपास यादी किंवा कॅप्टिव्ह-पोर्टल अपवाद काही रहदारी टनेलबाहेर पाठवतात, आणि त्या रहदारीला त्याचा काही फायदा नाही। त्याच नेटवर्कवरील, क्लायंट कधीच स्थापित न केलेल्या इतर उपकरणांच्या रहदारीलाही तेच लागू आहे। टनेल प्रत्येक उपकरणासाठी आणि प्रत्येक मार्गासाठीचा निर्णय आहे, खोलीचा गुणधर्म नाही, आणि राउटर-स्तरीय VPN फक्त राउटरमधून खरोखर जाणारे झाकते।

टनेल जे करू शकत नाही ते म्हणजे ड्रायव्हर दुरुस्त करणे, डी-ऑथेंटिकेशन पूर थांबवणे किंवा हल्लेखोराला चॅनेल जाम करण्यापासून रोखणे। कधीच आत न जाणाऱ्या जोडणीचेही ते संरक्षण करू शकत नाही। हे उपलब्धता आणि दुवा-स्तराचे प्रश्न आहेत, आणि टनेलचा सिफर संच कितीही मजबूत असो, ते वायरलेस स्टॅकसोबतच राहतात।

HTTPS आणि टनेल वेगवेगळ्या झेपींचे संरक्षण करतात

एका पानाच्या लोडमध्ये तीन वेगळी संरक्षणे असू शकतात: Wi-Fi दुवा, VPN सर्व्हरपर्यंतचे टनेल आणि वेबसाइटपर्यंतचे TLS सत्र। प्रत्येक स्वतंत्रपणे वाटाघाटी होते। वैध प्रमाणपत्र आणि आधुनिक प्रोटोकॉल आवृत्ती असलेले TLS पहिली झेप शत्रुत्वाची असली तरी ब्राउझर आणि साइटमध्ये प्रमाणित एन्क्रिप्शन देते, कारण प्रमाणपत्र तपासणीच बनावटीला स्वतःची की घालण्यापासून रोखते।

त्या तपासणीचे कडांवर कमकुवत मुद्दे आहेत। HTTPS वरून HTTP वर पुनर्निर्देशन, साध्या HTTP वर स्क्रिप्ट लोड करणारे पान, किंवा प्रमाणपत्र इशारा क्लिक करून पुढे जाणारा वापरकर्ता — सर्व रहदारी संरक्षित सत्राबाहेर नेतात। HSTS आणि ब्राउझरची मधली पाने या चुका सामान्य असल्याने आहेत, TLS नाजूक असल्याने नाही।

HTTPS आणि टनेल टिकवल्याने वायरलेस अंमलबजावणी असुरक्षित राहणे थांबत नाही। फ्रेम अजूनही दोषपूर्ण ड्रायव्हरने डिक्रिप्ट होतात; फरक एवढाच की हल्लेखोराला आत काय सापडते आणि तो आशय आधीच दुसऱ्या कशाने संरक्षित होता का।

मिश्र नेटवर्कसाठी दुरुस्तीचा क्रम

प्रवेश बिंदूपासून सुरुवात करा, कारण तेच तुमच्या नियंत्रणातील उपकरण आहे आणि प्रत्येक क्लायंट त्यावर अवलंबून आहे। नंतर क्लायंट ऑपरेटिंग सिस्टम सर्वात जुन्यापासून पाहा, कारण अपडेट मिळणे थांबवलेली प्लॅटफॉर्मच कधीच पॅच होणार नाहीत। ती यादी पूर्ण झाल्यावरच VPN चा निर्णय अर्थपूर्ण ठरतो, आणि तो दुरुस्तीबद्दल नाही, उघडपणाबद्दलचा निर्णय आहे। उलट क्रमाने करणे, आधी टनेल आणि नंतर फर्मवेअर, सदस्यता चालू असेपर्यंत खरा दोष जागेवरच ठेवते।

काय पडताळले ते लिहा, फर्मवेअर आवृत्ती आणि तारीखसह। "अपडेट झालेले" ही अशी स्थिती नाही जिचे नंतर कोणीही ऑडिट करू शकेल।

तीन तपासण्या कामाचा मोठा भाग झाकतात, आणि त्या याच क्रमाने जातात। पहिल्या दोन स्वच्छ आल्या म्हणून तिसरी वगळू नका।

• राउटर फर्मवेअर: स्थापित आवृत्तीची तुलना उत्पादकाच्या सूचना पानाशी करा, अपडेट बटणाशी नाही।
• क्लायंट OS: प्रत्येक फोन, लॅपटॉप आणि टॅबलेटसाठी वायरलेस दुरुस्ती असलेली पॅच पातळी पुष्टी करा।
• उर्वरित: पॅचचा मार्ग नसलेल्या उपकरणांची यादी करा आणि बंद करणे, वेगळे करणे किंवा स्वीकारणे ठरवा।

उर्वरित यादी लांब असल्यास, क्लायंट अलगीकरण असलेले अतिथी नेटवर्क हार्डवेअर बदलत असताना वेळ विकत घेते। नंतर प्रत्येक बँडवर एक ओळखीचा क्लायंट तपासा, निकाल नोंदवा आणि पुढील फर्मवेअर प्रकाशनानंतर पुन्हा तपासा। हार्डवेअरची यादीच पुढील सूचना जलद करते; टनेल त्या दरम्यानची तफावत भरते।