के VPN ले KRACK बाट जोगाउँछ? प्याचले के सुधार्छ

KRACK ले Wi-Fi इन्क्रिप्शन तोड्छ भनी शीर्षकले भनेको भरमा तपाईं VPN किन्दै हुनुहुन्छ भने, तपाईं गलत तह सुधार्दै हुनुहुन्छ। 2017 को त्यो खुलासाले WPA2 को चार-चरणीय ह्यान्डशेकविरुद्ध कुञ्जी पुनःस्थापना आक्रमणको परिवार वर्णन गरेको थियो, र सुधार अपरेटिङ सिस्टम अपडेट, वायरलेस ड्राइभर प्याच र राउटर फर्मवेयरका रूपमा आयो। सुरुङले स्थानीय नेटवर्कबाट तपाईंको ट्राफिक लुकाउन सक्छ, तर त्यसको तल पूरा हुने ह्यान्डशेक सुधार्न सक्दैन। त्यसैले पहिलो प्रश्न कुन VPN किन्ने होइन; तपाईंका कुन यन्त्रले अझै प्याच नगरिएको वायरलेस स्ट्याक चलाइरहेका छन् भन्ने हो।

यही भिन्नताले बजेटको चिन्ताको उत्तर पनि दिन्छ। सदस्यता तिर्न नसक्ने व्यक्ति साँचो उपायबाट कहिल्यै बाहिर थिएन, किनकि उपाय निःशुल्क अपडेट थियो। पैसा अब अपडेट नपाउने हार्डवेयर बदल्नमा लाग्छ।

आक्रमणले वास्तवमा के हेरफेर गर्‍यो

WPA2 ले जोडिने बेला चार-चरणीय ह्यान्डशेकमार्फत नयाँ जोडी-कुञ्जी निकाल्छ। पहुँच बिन्दुले नन्स पठाउँछ, क्लाइन्टले आफ्नै नन्सले जवाफ दिन्छ, दुवै पक्षले जोडीको अस्थायी कुञ्जी गणना गर्छन्, र पहुँच बिन्दुले क्लाइन्टले स्वीकार गर्ने सन्देशले पुष्टि गर्छ। कुञ्जी पुनःस्थापना आक्रमणले पासफ्रेज अनुमान गर्नुको सट्टा त्यही क्रममा हस्तक्षेप गर्छ र क्लाइन्टलाई पहिले नै स्थापित गरिसकेको कुञ्जी फेरि स्थापित गर्न बाध्य गर्छ। हरेक पुनःस्थापनले त्यो कुञ्जीसँग जोडिएको प्रेषण नन्स र स्वीकृति पुनःप्ले काउन्टर रिसेट गर्न सक्छ।

ती काउन्टर पछाडि सर्दा अस्वीकार गर्नुपर्ने ट्राफिकको केही भाग फेरि स्वीकार्य हुन्छ। प्रकार र कार्यान्वयनअनुसार रेडियो दायराभित्रको आक्रमणकारीले फ्रेम पुनः चलाउन, डिक्रिप्ट गर्न वा इन्जेक्ट गर्न सक्थ्यो। समूह-कुञ्जी ह्यान्डशेक र छिटो संक्रमण ह्यान्डशेकका आफ्नै प्रकार थिए, त्यसैले सूचनाले एउटाको सट्टा धेरै आक्रमणका नाम सूचीबद्ध गर्‍यो।

Android 6.0 र त्यसपछिको सबैभन्दा नराम्रो अवस्था थियो। यसका wpa_supplicant संस्करणलाई सबै शून्यको कुञ्जी स्थापित गर्न बाध्य पार्न सकिन्थ्यो, जसले पुनःस्थापनले काउन्टर मात्र रिसेट गर्ने प्लेटफर्मभन्दा डिक्रिप्शन धेरै सजिलो बनायो। त्यो विवरणले त्यतिबेलाको सबैभन्दा सामान्य फोन प्लेटफर्ममा सैद्धान्तिक कमजोरीलाई व्यावहारिक कमजोरीबाट अलग गर्‍यो।

सुधार वायरलेस स्ट्याकमै बस्छ

माथिल्लो तहको सुधारले सप्लिकन्ट र पहुँच बिन्दुलाई कुञ्जी पहिले नै स्थापित भइसकेको खण्डमा पुनः पठाइएको ह्यान्डशेक सन्देश बेवास्ता गर्न भन्यो। wpa_supplicant र hostapd का प्याच गरिएका बिल्डमा त्यो थियो, र वितरणहरूले त्यसलाई पुराना शाखामा फर्काए, त्यसैले wpa_supplicant -v ले छाप्ने स्ट्रिङ सुरुवात बिन्दु हो, फैसला होइन। वितरणको सुरक्षा सूचना पढ्नुहोस् र केवल संस्करण नम्बर होइन, ठ्याक्कै त्यो प्याच पुष्टि गर्नुहोस्। पुरानो संस्करण देखाउने बिल्ड पनि सुधारिएको हुन सक्छ, र नयाँ संस्करणको बिल्डमा पनि निर्माताको प्याच नहुन सक्छ।

लिङ्कका दुवै छेउमा ध्यान चाहिन्छ। सुधारिएको राउटरले त्यसमा जोडिने ल्यापटपलाई प्याच गर्दैन, र सुधारिएको ल्यापटपले राउटरलाई प्याच गर्दैन। निर्माताहरूले प्रत्येक उत्पादनका लागि सूचना प्रकाशित गरे, र राउटरका सुधार सामान्यतया फोन अपडेटभन्दा पछि रहन्थे, किनकि प्रत्येक मोडेललाई आफ्नै फर्मवेयर बिल्ड चाहिन्छ। यदि यन्त्रको अन्तिम संस्करण सूचनाभन्दा अघिको हो भने, निर्माताले विपरीत नभनेसम्म त्यसलाई प्याच नगरिएको मान्नुहोस्।

तपाईंले अपडेट गर्न नसक्ने उपकरणका लागि विकल्प साँघुरा र निरस छन्। त्यसलाई सेवाबाट हटाउनुहोस्, संवेदनशील ट्राफिक बोक्ने नेटवर्कबाट टाढा राख्नुहोस्, वा त्यसका एक मात्र साथीहरू पनि उत्तिकै त्याज्य हुने खण्डमा सीमित गर्नुहोस्। यीमध्ये कुनै विकल्पमा सदस्यता छैन, र अर्को सुरुङ प्रदायक रोज्दा कुनै पनि सुध्रिँदैन।

सुरुङले के ढाक्छ

VPN ले सीमा सार्छ। तपाईंको यन्त्रले प्रत्येक प्याकेट इन्क्रिप्ट गरी VPN सर्भरमा पठाउँछ, जसले त्यसलाई डिक्रिप्ट गरी अगाडि पठाउँछ। Wi-Fi लिङ्क हेरफेर गर्ने व्यक्तिले सुरुङका बाहिरी प्याकेट देख्छ, भित्रको पेलोड होइन, त्यसैले लिङ्क-तहका फ्रेम उजागर गर्ने पुनःस्थापना आक्रमणले सुरुङ गरिएको जडानको सामग्री स्वतः उजागर गर्दैन। त्यो सुरक्षा तलको वायरलेस स्ट्याक असुरक्षित रहे पनि टिक्छ, र दुई नियन्त्रण गल्लिएर बुझिने कारण त्यही हो।

सर्त "सुरुङ गरिएको" हो। विभाजित सुरुङिङ, बाइपास सूची वा क्याप्टिभ-पोर्टल अपवादले केही ट्राफिक सुरुङबाहिर पठाउँछन्, र त्यो ट्राफिकलाई त्यसबाट कुनै फाइदा हुँदैन। एउटै नेटवर्कका, क्लाइन्ट कहिल्यै स्थापित नगरेका अन्य यन्त्रको ट्राफिकलाई पनि त्यही लागू हुन्छ। सुरुङ प्रत्येक यन्त्र र प्रत्येक मार्गका लागि लिइने निर्णय हो, कोठाको गुण होइन, र राउटर-तहको VPN ले राउटरबाट साँच्चै जाने मात्र ढाक्छ।

सुरुङले गर्न नसक्ने कुरा ड्राइभर सुधार्नु, डी-अथेन्टिकेसन बाढी रोक्नु वा आक्रमणकारीलाई च्यानल जाम गर्नबाट रोक्नु हो। कहिल्यै भित्र नपस्ने जडानलाई पनि त्यसले सुरक्षित गर्न सक्दैन। यी उपलब्धता र लिङ्क-तहका समस्या हुन्, र सुरुङको साइफर सुट जतिसुकै बलियो भए पनि ती वायरलेस स्ट्याकसँगै रहन्छन्।

HTTPS र सुरुङले फरक फड्कोको रक्षा गर्छन्

एउटै पृष्ठ लोडमा तीन अलग सुरक्षा हुन सक्छन्: Wi-Fi लिङ्क, VPN सर्भरसम्मको सुरुङ र वेबसाइटसम्मको TLS सत्र। प्रत्येक स्वतन्त्र रूपमा वार्ता हुन्छ। वैध प्रमाणपत्र र आधुनिक प्रोटोकल संस्करण भएको TLS ले पहिलो फड्को शत्रुतापूर्ण भए पनि ब्राउजर र साइटबीच प्रमाणित इन्क्रिप्शन दिन्छ, किनकि प्रमाणपत्र जाँचले नै ठगलाई आफ्नै कुञ्जी घुसाउनबाट रोक्छ।

त्यो जाँचका छेउमा कमजोर ठाउँ छन्। HTTPS बाट HTTP मा पुनःनिर्देशन, साधारण HTTP मा स्क्रिप्ट लोड गर्ने पृष्ठ, वा प्रमाणपत्र चेतावनी क्लिक गरेर अगाडि बढ्ने प्रयोगकर्ता सबैले ट्राफिक सुरक्षित सत्रबाहिर सार्छन्। HSTS र ब्राउजरका बीचका पृष्ठहरू ती गल्ती सामान्य भएकाले छन्, TLS नाजुक भएकाले होइन।

HTTPS र सुरुङ कायम राख्दा वायरलेस कार्यान्वयन असुरक्षित हुनबाट रोकिँदैन। फ्रेम अझै दोषपूर्ण ड्राइभरले डिक्रिप्ट गर्छ; फरक यति मात्र हो कि आक्रमणकारीले भित्र के भेट्छ र त्यो सामग्री पहिले नै अरू कुनै कुराले सुरक्षित थियो कि थिएन।

मिश्रित नेटवर्कका लागि सुधारको क्रम

पहुँच बिन्दुबाट सुरु गर्नुहोस्, किनकि त्यो तपाईंको नियन्त्रणमा रहेको र हरेक क्लाइन्ट निर्भर यन्त्र हो। त्यसपछि क्लाइन्ट अपरेटिङ सिस्टमहरू सबैभन्दा पुरानोदेखि हेर्नुहोस्, किनकि अपडेट पाउन छाडेका प्लेटफर्महरू नै कहिल्यै प्याच नहुने हुन्। त्यो सूची सकिएपछि मात्र VPN को निर्णय अर्थपूर्ण हुन्छ, र त्यो सुधारको होइन, जोखिमको निर्णय हो। उल्टो क्रममा गर्दा, पहिले सुरुङ र पछि फर्मवेयर, सदस्यता चल्ने बेलासम्म साँचो दोष आफ्नै ठाउँमा रहन्छ।

के जाँच्नुभयो लेख्नुहोस्, फर्मवेयर संस्करण र मितिसहित। "अपडेट भएको" त्यस्तो अवस्था होइन जुन पछि कसैले अडिट गर्न सकोस्।

तीन जाँचले कामको धेरै भाग ढाक्छन्, र ती यही क्रममा जान्छन्। पहिला दुई सफा आए भन्दैमा तेस्रो नछोड्नुहोस्।

• राउटर फर्मवेयर: स्थापित संस्करणलाई अपडेट बटनसँग होइन, निर्माताको सूचना पृष्ठसँग तुलना गर्नुहोस्।
• क्लाइन्ट OS: प्रत्येक फोन, ल्यापटप र ट्याब्लेटका लागि वायरलेस सुधार समेट्ने प्याच स्तर पुष्टि गर्नुहोस्।
• बाँकी: प्याचको बाटो नभएका यन्त्र सूचीबद्ध गर्नुहोस् र हटाउने, अलग गर्ने वा स्वीकार गर्ने निर्णय गर्नुहोस्।

बाँकीको सूची लामो भए, क्लाइन्ट अलगीकरण भएको अतिथि नेटवर्कले हार्डवेयर फेरिँदै गर्दा समय किन्छ। त्यसपछि प्रत्येक ब्यान्डमा एक चिनिएको क्लाइन्ट परीक्षण गर्नुहोस्, नतिजा लेख्नुहोस् र अर्को फर्मवेयर प्रकाशनपछि फेरि जाँच्नुहोस्। हार्डवेयरको सूचीले नै अर्को सूचना छिटो बनाउँछ; सुरुङले त्यसबीचको खाडल ढाक्छ।