Tgħin VPN kontra KRACK? X'jissewwa t-tiġdid

Jekk qed tixtri VPN għax xi titlu qal li KRACK tkisser l-encryption tal-Wi-Fi, qed issewwi s-saff ħażin. Dak l-iżvelar tal-2017 iddeskriva familja ta' attakki ta' installazzjoni mill-ġdid tal-muftieħ fuq l-idejn b'erba' passi tal-WPA2, u t-tiswija waslet bħala aġġornamenti tas-sistema operattiva, patches tad-drivers bla wajer u firmware tar-router. Tunnel jista' jaħbi t-traffiku tiegħek min-netwerk lokali, iżda ma jistax issewwi idejn li jispiċċaw taħtu. Għalhekk l-ewwel mistoqsija mhijiex liema VPN tixtri; hija liema mill-apparati tiegħek għadha taħdem b'stack bla wajer mingħajr patch.

L-istess distinzjoni twieġeb ukoll il-ħsieb tal-baġit. Min ma jistax jaffordja abbonament qatt ma nżamm barra mill-veru rimedju, għax ir-rimedju kien aġġornament b'xejn. Flus jiswew biex tibdel hardware li ma jibqax jirċievi aġġornament.

X'inmanipula tassew l-attakk

WPA2 joħroġ muftieħ ġdid tal-par waqt l-assoċjazzjoni permezz ta' idejn b'erba' passi. Il-punt ta' aċċess jibgħat nonce, il-klijent iwieġeb b'wieħed tiegħu, iż-żewġ naħat jikkalkulaw il-muftieħ tranżitorju tal-par, u l-punt ta' aċċess jikkonferma b'messaġġ li l-klijent jirrikonoxxi. Attakk ta' installazzjoni mill-ġdid tal-muftieħ jindaħal f'dik is-sekwenza minflok ma jaqta' l-frażi tal-password, u jġiegħel klijent jinstalla muftieħ li diġà installa. Kull installazzjoni mill-ġdid tista' terġa' tiffissa n-nonce tat-trażmissjoni u l-kontatur tal-ripetizzjoni tar-riċeviment marbuta ma' dak il-muftieħ.

Ladarba dawk il-kontaturi jimxu lura, parti mit-traffiku li kellu jiġi miċħud terġa' ssir aċċettabbli. Skont il-varjant u l-implimentazzjoni, attakkant fil-firxa tar-radju seta' jirriproduċi frejms, jiddeċifrahom jew jinjettahom. L-idejn tal-muftieħ tal-grupp u l-idejn tat-tranżizzjoni mgħaġġla kellhom il-varjanti tagħhom, u għalhekk l-avviż elenka bosta ismijiet ta' attakki minflok wieħed.

Android 6.0 u wara kien l-agħar każ. Il-verżjonijiet tiegħu ta' wpa_supplicant setgħu jiġu sfurzati jinstallaw muftieħ kollu żero, li għamel id-deċifrar ħafna aktar faċli milli fuq pjattaformi fejn l-installazzjoni mill-ġdid kienet biss terġa' tiffissa l-kontaturi. Dak id-dettall issepara dgħjufija teoretika minn waħda prattika fuq l-aktar pjattaforma tat-telefon komuni ta' dak iż-żmien.

It-tiswija tgħix fl-stack bla wajer

Il-korrezzjoni mill-ogħla livell qalet lis-supplicants u lill-punti ta' aċċess biex jinjoraw messaġġ tal-idejn mibgħut mill-ġdid ladarba l-muftieħ ikun diġà installat. Il-builds patched ta' wpa_supplicant u hostapd ġarrewha, u d-distribuzzjonijiet ġabuha lura fil-fergħat eqdem, għalhekk is-sekwenza li tipprintja wpa_supplicant -v hija punt tat-tluq u mhux sentenza. Aqra l-avviż tas-sigurtà tad-distribuzzjoni u kkonferma l-patch speċifiku, mhux biss in-numru tal-verżjoni. Build li jirrapporta verżjoni qadima xorta jista' jkun imsewwi, u build b'verżjoni ġdida xorta jista' jkun nieqes backport tal-manifattur.

Iż-żewġt itruf tal-link jeħtieġu attenzjoni. Router imsewwi ma jsewwix il-laptop li jgħaqqad miegħu, u laptop imsewwi ma jsewwix ir-router. Il-manifatturi ppubblikaw avviżi għal kull prodott, u t-tiswijiet tar-router spiss kienu jibqgħu lura mill-aġġornamenti tat-telefon għax kull mudell jeħtieġ build tal-firmware tiegħu. Jekk l-aħħar rilaxx ta' apparat jippreċedi l-avviż, ittrattah bħala mingħajr patch sakemm il-manifattur jgħid mod ieħor.

Għal tagħmir li ma tistax taġġorna, l-għażliet huma dojoq u mhux glamurużi. Irtirah, żommu 'l bogħod min-netwerks li jġorru traffiku sensittiv, jew illimitaħ għal segment fejn l-uniċi pari tiegħu huma daqstant jistgħu jiġu sagrifikati. L-ebda waħda minn dawn l-għażliet ma tinvolvi abbonament, u l-ebda waħda ma titjieb billi tagħżel fornitur ieħor tat-tunnel.

X'ikopri tunnel

VPN iċċaqlaq il-konfini. L-apparat tiegħek jienkriptja kull pakkett u jibagħtu lil server VPN, li jiddeċifrah u jgħaddih 'il quddiem. Min jimmanipula l-link Wi-Fi jara l-pakketti ta' barra tat-tunnel, mhux il-payload ġewwa fihom, għalhekk attakk ta' installazzjoni mill-ġdid li jesponi frejms tas-saff tal-link mhux awtomatikament jesponi l-kontenut tal-konnessjoni tunneled. Dak il-protezzjoni jżomm anki meta l-stack bla wajer taħtu jibqa' vulnerabbli, u huwa eżattament għalhekk li ż-żewġ kontrolli jiġu konfużi.

Il-kundizzjoni hija "tunneled". It-tunneling maqsum, lista tal-bypass jew eċċezzjoni tal-captive portal jibagħtu parti mit-traffiku barra mit-tunnel, u dak it-traffiku ma jieħu l-ebda benefiċċju minnu. L-istess għat-traffiku ta' apparati oħra fl-istess netwerk li qatt ma installaw il-klijent. Tunnel huwa deċiżjoni għal kull apparat u kull rotta, mhux proprjetà tal-kamra, u VPN fil-livell tar-router ikopri biss dak li verament jgħaddi mir-router.

Dak li t-tunnel ma jistax jagħmel huwa jsewwi d-driver, iwaqqaf għargħar ta' deawtentikazzjoni jew iżomm attakkant milli jxekkel il-kanal. Ma jistax lanqas jipproteġi konnessjoni li qatt ma tidħol fih. Dawn huma problemi ta' disponibilità u tas-saff tal-link, u jibqgħu mal-stack bla wajer kemm ikun b'saħħtu s-sett taċ-ċifrar fuq it-tunnel.

HTTPS u t-tunnel jipproteġu qabżiet differenti

Tagħbija waħda ta' paġna tista' tinvolvi tliet protezzjonijiet separati: il-link Wi-Fi, it-tunnel lejn is-server VPN u s-sessjoni TLS lejn il-websajt. Kull waħda tiġi negozjata b'mod indipendenti. TLS b'ċertifikat validu u verżjoni moderna tal-protokoll jagħtik encryption awtentikata bejn il-browser u s-sit anki meta l-ewwel qabża hija ostili, għax il-verifika taċ-ċertifikat hija dik li żżomm impostur milli jissostitwixxi l-muftieħ tiegħu stess.

Dik il-verifika għandha punti dgħajfa fit-truf. Ridirezzjoni minn HTTPS għal HTTP, paġna li tgħabbi skripts fuq HTTP sempliċi, jew utent li jikklikkja permezz ta' twissija taċ-ċertifikat kollha jċaqalqu t-traffiku barra mis-sessjoni protetta. HSTS u l-paġni intermedji tal-browser jeżistu għax dawk l-iżbalji huma komuni, mhux għax TLS huwa fraġli.

Li żżomm HTTPS u tunnel ma jagħmilx l-implimentazzjoni bla wajer mhux vulnerabbli. Il-frejms għadhom jiġu deċifrati minn driver difettuż; id-differenza hija dak li jħalli l-attakkant ġewwa fihom u jekk dak il-kontenut kienx diġà protett b'xi ħaġa oħra.

Ordni tat-tiswija għal netwerk imħallat

Ibda mill-punt ta' aċċess, għax huwa l-apparat li tikkontrolla u li fuqu jiddependi kull klijent. Imbagħad għaddi mis-sistemi operattivi tal-klijenti, mill-eqdem, għax il-pjattaformi li waqfu jirċievu aġġornamenti huma dawk li qatt mhu se jiġu patched. Biss wara li dak l-inventarju jitlesta d-deċiżjoni dwar il-VPN tagħmel sens, u hija deċiżjoni dwar l-espożizzjoni, mhux dwar it-tiswija. Li tagħmilha fl-ordni opposta, tunnel l-ewwel u firmware wara, iħalli d-difett reali f'postu sakemm iddum l-abbonament.

Ikteb x'ivverifikajt, inkluż il-verżjoni tal-firmware u d-data. "Aġġornat" mhuwiex stat li xi ħadd jista' jauditah aktar tard.

Tliet verifiki jkopru l-biċċa l-kbira tax-xogħol, u jmorru f'dan l-ordni. Tinqabżix it-tielet waħda biss għax l-ewwel tnejn ġew lura nodfa.

• Firmware tar-router: qabbel il-verżjoni installata mal-paġna tal-avviżi tal-manifattur, mhux mal-buttuna tal-aġġornament.
• OS tal-klijent: ikkonferma l-livell tal-patches li jinkludi t-tiswija bla wajer għal kull telefon, laptop u tablet.
• Fdalijiet: elenka apparati mingħajr triq tal-patch u iddeċiedi rtirar, iżolament jew aċċettazzjoni.

Jekk il-lista tal-fdalijiet hija twila, netwerk tal-mistiedna b'iżolament tal-klijent jixtri ħin waqt li l-hardware jiġi sostitwit. Imbagħad ittestja klijent wieħed magħruf fuq kull faxxa, innota r-riżultat u erġa' verifika wara r-rilaxx tal-firmware li jmiss. L-inventarju tal-hardware huwa dak li jagħmel l-avviż li jmiss malajr; it-tunnel huwa dak li jkopri l-vojt sadanittant.