Je, VPN inalinda dhidi ya KRACK? Kiraka kinarekebisha nini

Ikiwa unanunua VPN kwa sababu kichwa cha habari kilisema KRACK inavunja usimbaji fiche wa Wi-Fi, unarekebisha tabaka lisilofaa. Ule ufichuzi wa 2017 ulielezea familia ya mashambulizi ya kuweka upya ufunguo dhidi ya makubaliano ya mkono ya hatua nne ya WPA2, na marekebisho yalikuja kama masasisho ya mfumo wa uendeshaji, viraka vya viendeshi visivyo na waya na firmware ya kipanga njia. Handaki inaweza kuficha trafiki yako kutoka mtandao wa ndani, lakini haiwezi kurekebisha makubaliano ya mkono yanayokamilika chini yake. Kwa hivyo swali la kwanza si VPN ipi kununua; ni kifaa kipi chako bado kinaendesha staki isiyo na waya isiyo na kiraka.

Tofauti hiyo hiyo inajibu wasiwasi wa bajeti. Yule asiyeweza kumudu usajili hakuwahi kuzuiwa kutoka tiba halisi, kwa sababu tiba ilikuwa sasisho la bure. Pesa hutumika kubadilisha maunzi ambayo hayapati sasisho tena.

Shambulizi lilisimamia nini hasa

WPA2 hutoa ufunguo mpya wa jozi wakati wa kuunganisha kupitia makubaliano ya mkono ya hatua nne. Kiini cha ufikiaji hutuma nonce, mteja hujibu kwa yake, pande zote mbili huhesabu ufunguo wa mpito wa jozi, na kiini cha ufikiaji huthibitisha kwa ujumbe ambao mteja huukubali. Shambulizi la kuweka upya ufunguo huingilia mfuatano huo badala ya kubahatisha neno la siri, na kulazimisha mteja kufunga ufunguo ambao tayari aliuweka. Kila uwekaji upya unaweza kuweka upya nonce ya utumaji na kihesabu cha marudio ya upokeaji kilichofungwa na ufunguo huo.

Vihesabu hivyo vinapokwenda nyuma, sehemu ya trafiki ambayo ilipaswa kukataliwa inakubalika tena. Kulingana na aina na utekelezaji, mvamizi aliye ndani ya masafa ya redio angeweza kucheza tena fremu, kuzifungua au kuziingiza. Makubaliano ya mkono ya ufunguo wa kikundi na yale ya mpito wa haraka yalikuwa na aina zake, ndiyo sababu taarifa iliorodhesha majina kadhaa ya mashambulizi badala ya moja.

Android 6.0 na zaidi ilikuwa kisa kibaya zaidi. Matoleo yake ya wpa_supplicant yangeweza kulazimishwa kufunga ufunguo wa sufuri tupu, jambo ambalo lilifanya ufunguzi kuwa rahisi zaidi kuliko kwenye majukwaa ambako uwekaji upya uliweka upya vihesabu tu. Undani huo ulitenganisha udhaifu wa kinadharia na ule wa kivitendo kwenye jukwaa la simu lililokuwa la kawaida zaidi wakati huo.

Marekebisho yanaishi katika staki isiyo na waya

Marekebisho ya juu yaliwaambia supplicant na viini vya ufikiaji kupuuza ujumbe wa makubaliano ya mkono uliotumwa tena mara tu ufunguo ukiwa umefungwa. Miundo ya wpa_supplicant na hostapd iliyowekwa viraka iliubeba, na usambazaji uliurudisha kwenye matawi ya zamani, kwa hivyo mfuatano ambao wpa_supplicant -v huchapisha ni mahali pa kuanzia na si hukumu. Soma taarifa ya usalama ya usambazaji na uthibitishe kiraka mahususi, si nambari ya toleo pekee. Muundo unaoripoti toleo la zamani unaweza kuwa umerekebishwa, na muundo wenye toleo jipya unaweza bado kukosa uhamishaji wa msambazaji.

Ncha zote mbili za kiungo zinahitaji uangalifu. Kipanga njia kilichorekebishwa hakiweki kiraka kwenye kompyuta ya mkononi inayounganisha nayo, na kompyuta iliyorekebishwa haiweki kiraka kwenye kipanga njia. Watengenezaji walichapisha taarifa kwa kila bidhaa, na marekebisho ya vipanga njia mara nyingi yalibaki nyuma ya masasisho ya simu kwa sababu kila modeli inahitaji muundo wake wa firmware. Ikiwa toleo la mwisho la kifaa linatangulia taarifa, lichukulie kama lisilo na kiraka hadi msambazaji aseme vinginevyo.

Kwa vifaa usivyoweza kusasisha, chaguo ni nyembamba na hazivutii. Liondoe kwenye matumizi, liweke mbali na mitandao inayobeba trafiki nyeti, au lizuie kwenye sehemu ambayo wenzi wake wa pekee wanaweza kuachwa vile vile. Hakuna chaguo lolote kati ya hizi linalohusisha usajili, na hakuna linaloboreshwa kwa kuchagua mtoa handaki mwingine.

Handaki inashughulikia nini

VPN huhamisha mpaka. Kifaa chako husimba kila pakiti na kuituma kwa seva ya VPN, ambayo huifungua na kuipitisha mbele. Anayeendesha kiungo cha Wi-Fi huona pakiti za nje za handaki, si mzigo ulio ndani, kwa hivyo shambulizi la kuweka upya linalofichua fremu za tabaka la kiungo halifichui kiotomatiki maudhui ya muunganisho uliowekwa handakini. Kinga hiyo hudumu hata staki isiyo na waya iliyo chini ikiwa bado hatarini, na ndiyo sababu udhibiti huo mbili huchanganywa.

Sharti ni "uliowekwa handakini". Ugawaji wa handaki, orodha ya kupita au msamaha wa lango la kukamata hutuma sehemu ya trafiki nje ya handaki, na trafiki hiyo haipati faida yoyote kutoka kwake. Ndivyo ilivyo pia kwa trafiki ya vifaa vingine kwenye mtandao huo huo ambavyo havikuwahi kufunga mteja. Handaki ni uamuzi kwa kila kifaa na kila njia, si sifa ya chumba, na VPN ya ngazi ya kipanga njia inashughulikia tu kile kinachopita kwa kweli kupitia kipanga njia.

Handaki haiwezi kurekebisha kiendeshi, kusimamisha mafuriko ya kukanusha uthibitisho au kumzuia mvamizi kuziba chaneli. Pia haiwezi kulinda muunganisho ambao hauingii ndani yake kamwe. Hizi ni shida za upatikanaji na tabaka la kiungo, na zinabaki na staki isiyo na waya bila kujali jinsi seti ya misimbo kwenye handaki ilivyo imara.

HTTPS na handaki hulinda miruko tofauti

Upakiaji mmoja wa ukurasa unaweza kuhusisha kinga tatu tofauti: kiungo cha Wi-Fi, handaki kwa seva ya VPN na kikao cha TLS kwa tovuti. Kila kimoja hujadiliwa kwa kujitegemea. TLS yenye cheti halali na toleo la itifaki la kisasa hukupa usimbaji fiche uliothibitishwa kati ya kivinjari na tovuti hata mruko wa kwanza ukiwa na uadui, kwa sababu ukaguzi wa cheti ndio huzuia mlaghai kuingiza ufunguo wake mwenyewe.

Ukaguzi huo una sehemu dhaifu kwenye kingo. Uelekezaji kutoka HTTPS kwenda HTTP, ukurasa unaopakia skripti kwa HTTP tupu, au mtumiaji anayebofya kupitia onyo la cheti — vyote huhamisha trafiki nje ya kikao kilicholindwa. HSTS na kurasa za kati za kivinjari zipo kwa sababu makosa hayo ni ya kawaida, si kwa sababu TLS ni dhaifu.

Kubaki na HTTPS na handaki hakufanyi utekelezaji usio na waya usiwe hatarini. Fremu bado zinafunguliwa na kiendeshi chenye hitilafu; tofauti ni kile mvamizi anachopata ndani yake na kama maudhui hayo yalikuwa yamelindwa na kitu kingine.

Mpangilio wa marekebisho kwa mtandao mchanganyiko

Anza na kiini cha ufikiaji, kwa sababu ndicho kifaa unachodhibiti na kila mteja anakitumaini. Kisha pitia mifumo ya uendeshaji ya wateja, ya zamani kwanza, kwa kuwa majukwaa yaliyoacha kupata masasisho ndiyo yasiyoweza kuwekwa viraka kamwe. Ni baada ya orodha hiyo kukamilika tu uamuzi wa VPN una maana, na ni uamuzi kuhusu mfiduo, si kuhusu marekebisho. Kuifanya kwa mpangilio wa kinyume, handaki kwanza na firmware baadaye, huacha kasoro halisi mahali pake kwa muda wote usajili unadumu.

Andika ulichothibitisha, pamoja na toleo la firmware na tarehe. "Imesasishwa" si hali ambayo mtu yeyote anaweza kuikagua baadaye.

Ukaguzi tatu hushughulikia sehemu kubwa ya kazi, na huenda kwa mpangilio huu. Usiruke wa tatu kwa sababu tu mbili za kwanza zilirudi safi.

• Firmware ya kipanga njia: linganisha toleo lililowekwa na ukurasa wa taarifa wa msambazaji, si kitufe cha kusasisha.
• OS ya mteja: thibitisha kiwango cha viraka kinachojumuisha marekebisho yasiyo na waya kwa kila simu, kompyuta ya mkononi na kibao.
• Mabaki: orodhesha vifaa visivyo na njia ya kiraka na uamue kuondoa, kutenga au kukubali.

Ikiwa orodha ya mabaki ni ndefu, mtandao wa wageni wenye utengaji wa wateja hununua muda wakati maunzi yanabadilishwa. Kisha jaribu mteja mmoja anayejulikana kwenye kila bendi, andika matokeo na uangalie tena baada ya toleo lijalo la firmware. Orodha ya maunzi ndiyo inayofanya taarifa ijayo kuwa ya haraka; handaki ndiyo inayofunika pengo wakati huo.