A mbron një VPN nga KRACK? Çfarë rregullon patch-i

Nëse blini një VPN sepse një titull tha se KRACK thyen kriptimin e Wi-Fi, po rregulloni shtresën e gabuar. Ai zbulim i 2017-ës përshkruante një familje sulmesh me reinstalim çelësi ndaj shtrëngimit të duarve me katër drejtime të WPA2, dhe rregullimi erdhi si përditësime të sistemit operativ, patch-e të drejtuesve pa tel dhe firmware i ruterit. Një tunel mund ta fshehë trafikun tuaj nga rrjeti lokal, por nuk mund të rregullojë një shtrëngim duarsh që përfundon nën të. Pra pyetja e parë nuk është cilin VPN të blini; është cila nga pajisjet tuaja ende ekzekuton një stivë pa tel të pa-kompensuar.

I njëjti dallim i përgjigjet edhe shqetësimit të buxhetit. Kush nuk mund të përballojë një abonim nuk u përjashtua kurrë nga ilaçi i vërtetë, sepse ilaçi ishte një përditësim falas. Para kushton zëvendësimi i harduerit që nuk merr më një të tillë.

Çfarë manipulon realisht sulmi

WPA2 nxjerr një çelës të ri çift gjatë shoqërimit përmes një shtrëngimi duarsh me katër drejtime. Pika e aksesit dërgon një nonce, klienti përgjigjet me të vetin, të dyja palët llogarisin çelësin kalimtar çift, dhe pika e aksesit konfirmon me një mesazh që klienti e pranon. Një sulm me reinstalim çelësi ndërhyn në atë sekuencë në vend që të hamendësojë frazën e fshehtë, dhe detyron një klient të instalojë një çelës që e ka instaluar tashmë. Çdo reinstalim mund të rivendosë nonce-in e transmetimit dhe numëruesin e përsëritjes së marrjes të lidhura me atë çelës.

Pasi këta numërues shkojnë prapa, një pjesë e trafikut që duhej të refuzohej bëhet përsëri i pranueshëm. Në varësi të variantit dhe implementimit, një sulmues brenda rrezes radio mund të riprodhonte korniza, t'i dekriptonte ose t'i injektonte. Shtrëngimi i duarve i çelësit të grupit dhe ai i tranzicionit të shpejtë kishin variantet e tyre, prandaj njoftimi renditi disa emra sulmesh në vend të njërit.

Android 6.0 dhe më pas ishte rasti më i keq. Versionet e tij të wpa_supplicant mund të shtyheshin të instalonin një çelës prej tërë zero, gjë që e bënte dekriptimin shumë më të lehtë sesa në platformat ku reinstalimi vetëm rivendoste numëruesit. Ai detaj ndau një dobësi teorike nga një praktike në platformën më të zakonshme të telefonit të asaj kohe.

Rregullimi jeton në stivën pa tel

Korrigjimi nga lart i tha supplicant-ëve dhe pikave të aksesit të injorojnë një mesazh shtrëngimi duarsh të ridërguar pasi çelësi është instaluar tashmë. Ndërtimet e kompensuara të wpa_supplicant dhe hostapd e mbanin, dhe shpërndarjet e sollën përsëri në degët e vjetra, kështu që vargu që shtyp wpa_supplicant -v është pikë nisjeje dhe jo vendim. Lexoni njoftimin e sigurisë të shpërndarjes dhe konfirmoni patch-in konkret, jo vetëm numrin e versionit. Një ndërtim që raporton një version të vjetër mund të jetë ende i rregulluar, dhe një ndërtim me version të ri mund t'i mungojë ende një transferim i prodhuesit.

Të dy skajet e lidhjes kërkojnë vëmendje. Një ruter i rregulluar nuk kompenson laptopin që lidhet me të, dhe një laptop i rregulluar nuk kompenson ruterin. Prodhuesit publikuan njoftime për çdo produkt, dhe rregullimet e ruterëve zakonisht mbeteshin pas përditësimeve të telefonit sepse çdo model kërkon ndërtimin e vet të firmware-it. Nëse lëshimi i fundit i një pajisjeje i paraprin njoftimit, trajtojeni si të pa-kompensuar derisa prodhuesi të thotë ndryshe.

Për pajisjet që nuk mund t'i përditësoni, opsionet janë të ngushta dhe pa shkëlqim. Tërhiqeni, mbani larg rrjeteve që mbajnë trafik të ndjeshëm, ose kufizojeni në një segment ku të vetmit shokë të tij janë po aq të sakrifikueshëm. Asnjë prej këtyre opsioneve nuk përfshin një abonim, dhe asnjëri nuk përmirësohet duke zgjedhur një ofrues tjetër tuneli.

Çfarë mbulon një tunel

Një VPN e zhvendos kufirin. Pajisja juaj kripton çdo paketë dhe e dërgon te një server VPN, i cili e dekripton dhe e përçon më tej. Kush manipulon lidhjen Wi-Fi sheh paketat e jashtme të tunelit, jo ngarkesën brenda tyre, kështu që një sulm me reinstalim që ekspozon kornizat e shtresës së lidhjes nuk ekspozon automatikisht përmbajtjen e lidhjes së tunelizuar. Ajo mbrojtje qëndron edhe kur stiva pa tel poshtë saj mbetet e cenueshme, dhe pikërisht për këtë ngatërrohen dy kontrollet.

Kualifikimi është "i tunelizuar". Tunelizimi i ndarë, një listë anashkalimi ose një përjashtim për portalin e zënë dërgojnë një pjesë të trafikut jashtë tunelit, dhe ai trafik nuk përfiton asgjë prej tij. E njëjta gjë vlen për trafikun e pajisjeve të tjera në të njëjtin rrjet që nuk e kanë instaluar kurrë klientin. Tuneli është një vendim për çdo pajisje dhe çdo rrugë, jo një veti e dhomës, dhe një VPN në nivel ruteri mbulon vetëm atë që kalon vërtet përmes ruterit.

Ajo që tuneli nuk mund të bëjë është të rregullojë drejtuesin, të ndalojë një përmbytje çdeautentikimi ose të pengojë një sulmues të bllokojë kanalin. Nuk mund të mbrojë as një lidhje që nuk hyn kurrë në të. Këto janë probleme disponueshmërie dhe shtrese lidhjeje, dhe mbeten me stivën pa tel sado i fortë të jetë grupi i shifrave në tunel.

HTTPS dhe tuneli mbrojnë kërcime të ndryshme

Një ngarkim i vetëm faqe mund të përfshijë tre mbrojtje të ndara: lidhjen Wi-Fi, tunelin drejt serverit VPN dhe sesionin TLS drejt faqes. Secila negociohet në mënyrë të pavarur. TLS me një certifikatë të vlefshme dhe një version modern protokolli ju jep kriptim të vërtetuar midis shfletuesit dhe faqes edhe kur kërcimi i parë është armiqësor, sepse verifikimi i certifikatës është ai që pengon një mashtrues të zëvendësojë çelësin e vet.

Ai verifikim ka pika të dobëta në skaje. Një ridrejtim nga HTTPS në HTTP, një faqe që ngarkon skripte përmes HTTP të thjeshtë, ose një përdorues që klikon përmes një paralajmërimi certifikate — të gjitha e zhvendosin trafikun jashtë sesionit të mbrojtur. HSTS dhe faqet e ndërmjetme të shfletuesit ekzistojnë sepse ato gabime janë të zakonshme, jo sepse TLS është i brishtë.

Mbajtja e HTTPS dhe e një tuneli nuk e bën implementimin pa tel të paprekshëm. Kornizat dekriptohen ende nga një drejtues me defekt; ndryshimi është çfarë gjen sulmuesi brenda tyre dhe nëse ai përmbajtje ishte mbrojtur tashmë nga diçka tjetër.

Rendi i rregullimit për një rrjet të përzier

Filloni me pikën e aksesit, sepse është pajisja që kontrolloni dhe nga e cila varet çdo klient. Pastaj kaloni nëpër sistemet operative të klientëve, nga më të vjetrat, pasi platformat që ndaluan së marrësh përditësime janë ato që nuk do të kompensohen kurrë. Vetëm pasi ai inventar të përfundojë ka kuptim një vendim për VPN, dhe është një vendim për ekspozimin, jo për rregullimin. Ta bësh në rendin e kundërt, së pari tunelin dhe më pas firmware-in, e lë defektin real në vendin e vet sa zgjat abonimi.

Shkruani çfarë verifikuat, duke përfshirë versionin e firmware-it dhe datën. "I përditësuar" nuk është një gjendje që dikush mund ta auditojë më vonë.

Tre kontrolle mbulojnë pjesën më të madhe të punës, dhe ato shkojnë në këtë rend. Mos e anashkaloni të tretën vetëm sepse dy të parat u kthyen të pastra.

• Firmware-i i ruterit: krahasoni versionin e instaluar me faqen e njoftimeve të prodhuesit, jo me butonin e përditësimit.
• OS-i i klientit: konfirmoni nivelin e patch-eve që përfshin rregullimin pa tel për çdo telefon, laptop dhe tablet.
• Mbetjet: renditni pajisjet pa rrugë patch-i dhe vendosni tërheqje, izolim ose pranim.

Nëse lista e mbetjeve është e gjatë, një rrjet mysafirësh me izolim klientësh fiton kohë ndërsa hardueri zëvendësohet. Pastaj provoni një klient të njohur në çdo brez, shënoni rezultatin dhe rikontrolloni pas lëshimit të ardhshëm të firmware-it. Inventari i harduerit është ai që e bën njoftimin e ardhshëm të shpejtë; tuneli është ai që mbulon hendekun ndërkohë.