Ali VPN ščiti pred KRACK? Kaj popravi popravek

Če kupujete VPN, ker je naslov trdil, da KRACK lomi šifriranje Wi-Fi, popravljate napačen sloj. Tisto razkritje iz leta 2017 je opisalo družino napadov s ponovno namestitvijo ključa na štirismerno rokovanje WPA2, popravek pa je prišel kot posodobitve operacijskega sistema, popravki brezžičnih gonilnikov in vdelana programska oprema usmerjevalnika. Tunel lahko skrije vaš promet pred lokalnim omrežjem, a ne more popraviti rokovanja, ki se konča pod njim. Zato prvo vprašanje ni, kateri VPN kupiti; temveč, katera od vaših naprav še vedno izvaja nepopravljen brezžični sklad.

Ista razlika odgovarja tudi na skrb glede proračuna. Kdor si ne more privoščiti naročnine, ni bil nikoli izključen iz prave rešitve, ker je bila rešitev brezplačna posodobitev. Denar stane zamenjava strojne opreme, ki je ne prejema več.

Kaj je napad dejansko manipuliral

WPA2 ob pridružitvi izpelje nov parni ključ s štirismernim rokovanjem. Dostopna točka pošlje nonce, odjemalec odgovori s svojim, obe strani izračunata parni prehodni ključ in dostopna točka potrdi s sporočilom, ki ga odjemalec potrdi. Napad s ponovno namestitvijo ključa poseže v to zaporedje namesto ugibanja gesla in prisili odjemalca, da namesti ključ, ki ga je že namestil. Vsaka ponovna namestitev lahko ponastavi nonce pošiljanja in števec ponavljanja sprejema, vezana na ta ključ.

Ko se ti števci premaknejo nazaj, del prometa, ki bi moral biti zavrnjen, spet postane sprejemljiv. Glede na različico in izvedbo je napadalec v radijskem dosegu lahko predvajal okvire, jih dešifriral ali jih vstavil. Rokovanje s skupinskim ključem in rokovanje s hitrim prehodom sta imela svoje različice, zato je priporočilo naštevalo več imen napadov namesto enega.

Android 6.0 in novejši je bil najslabši primer. Njegove različice wpa_supplicant je bilo mogoče prisiliti, da namestijo ključ iz samih ničel, kar je dešifriranje naredilo veliko lažje kot na platformah, kjer je ponovna namestitev le ponastavila števce. Ta podrobnost je ločila teoretično šibkost od praktične na takrat najpogostejši telefonski platformi.

Popravek živi v brezžičnem skladu

Popravek iz nadrejenega dela je supplicantom in dostopnim točkam naročil, naj prezrejo znova poslano sporočilo rokovanja, ko je ključ že nameščen. Popravljene gradnje wpa_supplicant in hostapd so ga vsebovale, distribucije pa so ga prenesle v starejše veje, zato je niz, ki ga izpiše wpa_supplicant -v, izhodišče in ne sodba. Preberite varnostno priporočilo distribucije in potrdite določen popravek, ne le številke različice. Gradnja s staro različico je lahko še vedno popravljena, gradnji z novo različico pa lahko še vedno manjka proizvajalčev prenos.

Oba konca povezave potrebujeta pozornost. Popravljen usmerjevalnik ne popravi prenosnika, ki se z njim poveže, in popravljen prenosnik ne popravi usmerjevalnika. Proizvajalci so objavljali priporočila za vsak izdelek, popravki usmerjevalnikov pa so pogosto zaostajali za posodobitvami telefonov, ker vsak model potrebuje svojo gradnjo vdelane programske opreme. Če zadnja izdaja naprave predhodi priporočilu, jo obravnavajte kot nepopravljeno, dokler proizvajalec ne reče drugače.

Za opremo, ki je ne morete posodobiti, so možnosti ozke in neprivlačne. Umaknite jo, hranite jo stran od omrežij s občutljivim prometom ali jo omejite na segment, kjer so njeni edini vrstniki enako žrtvovani. Nobena od teh možnosti ne vključuje naročnine in nobene ne izboljša izbira drugega ponudnika tunela.

Kaj tunel pokriva

VPN premakne mejo. Vaša naprava šifrira vsak paket in ga pošlje strežniku VPN, ki ga dešifrira in posreduje naprej. Kdor manipulira s povezavo Wi-Fi, vidi zunanje pakete tunela, ne koristnega tovora v njih, zato napad s ponovno namestitvijo, ki razkrije okvire povezavnega sloja, ne razkrije samodejno vsebine tunelirane povezave. Ta zaščita velja tudi takrat, ko brezžični sklad pod njo ostaja ranljiv, in prav zato se ta dva nadzora zamenjujeta.

Pogoj je "tunelirano". Razdeljeno tuneliranje, seznam zaobida ali izjema za ujetniški portal pošljejo del prometa izven tunela in ta promet od njega nima nič. Enako velja za promet drugih naprav v istem omrežju, ki odjemalca nikoli niso namestile. Tunel je odločitev za vsako napravo in vsako pot, ne lastnost sobe, in VPN na ravni usmerjevalnika pokriva le tisto, kar resnično gre skozi usmerjevalnik.

Tunel ne more popraviti gonilnika, ustaviti poplave deavtentikacije ali preprečiti napadalcu, da moti kanal. Ne more zaščititi niti povezave, ki vanj nikoli ne vstopi. To so težave razpoložljivosti in povezavnega sloja in ostanejo pri brezžičnem skladu ne glede na to, kako močan je šifrirni nabor tunela.

HTTPS in tunel ščitita različne skoke

Eno nalaganje strani lahko vključuje tri ločene zaščite: povezavo Wi-Fi, tunel do strežnika VPN in sejo TLS do spletnega mesta. Vsaka se pogaja neodvisno. TLS z veljavnim potrdilom in sodobno različico protokola vam da overjeno šifriranje med brskalnikom in mestom tudi, ko je prvi skok sovražen, ker prav preverjanje potrdila prepreči prevarantu, da bi podtaknil svoj ključ.

To preverjanje ima šibke točke na robovih. Preusmeritev s HTTPS na HTTP, stran, ki naloži skripte po navadnem HTTP, ali uporabnik, ki klikne skozi opozorilo o potrdilu, vsi prestavijo promet izven zaščitene seje. HSTS in vmesne strani brskalnika obstajajo zato, ker so te napake pogoste, ne zato, ker bi bil TLS krhek.

Ohranjanje HTTPS in tunela ne naredi brezžične izvedbe neodporne. Okvire še vedno dešifrira okvarjen gonilnik; razlika je, kaj napadalec najde v njih in ali je bila ta vsebina že zaščitena z nečim drugim.

Vrstni red popravil za mešano omrežje

Začnite z dostopno točko, ker je to naprava, ki jo nadzorujete in od katere je odvisen vsak odjemalec. Nato pojdite skozi operacijske sisteme odjemalcev, od najstarejših, saj so platforme, ki so prenehale prejemati posodobitve, tiste, ki ne bodo nikoli popravljene. Šele ko je ta popis končan, ima odločitev o VPN smisel, in to je odločitev o izpostavljenosti, ne o popravilu. Če to storite v obratnem vrstnem redu, najprej tunel in nato vdelana programska oprema, ostane dejanska napaka na svojem mestu, dokler traja naročnina.

Zapišite, kaj ste preverili, vključno z različico vdelane programske opreme in datumom. "Posodobljeno" ni stanje, ki bi ga kdo lahko pozneje revidiral.

Tri preverjanja pokrijejo večino dela in gredo v tem vrstnem redu. Tretjega ne preskočite samo zato, ker sta prva dva prišla čista.

• Vdelana programska oprema usmerjevalnika: primerjajte nameščeno različico s stranjo priporočil proizvajalca, ne z gumbom za posodobitev.
• Odjemalčev OS: potrdite raven popravkov, ki vključuje brezžični popravek za vsak telefon, prenosnik in tablico.
• Ostanki: naštejte naprave brez poti popravka in se odločite za umik, izolacijo ali sprejem.

Če je seznam ostankov dolg, gostujoče omrežje z izolacijo odjemalcev kupi čas, medtem ko se strojna oprema zamenjuje. Nato preizkusite enega znanega odjemalca v vsakem pasu, zapišite rezultat in po naslednji izdaji vdelane programske opreme preverite znova. Popis strojne opreme je tisto, kar naredi naslednje priporočilo hitro; tunel je tisto, kar medtem pokrije vrzel.