VPN KRACK'a karşı korur mu? Yama neyi düzeltir

KRACK'ın Wi-Fi şifrelemesini kırdığını söyleyen bir başlık yüzünden VPN alıyorsanız yanlış katmanı onarıyorsunuz. 2017'deki o açıklama WPA2'nin dört yönlü el sıkışmasına karşı anahtar yeniden kurma saldırıları ailesini anlatıyordu ve onarım işletim sistemi güncellemeleri, kablosuz sürücü yamaları ve yönlendirici ürün yazılımı olarak geldi. Bir tünel trafiğinizi yerel ağdan gizleyebilir ama altında tamamlanan bir el sıkışmayı onaramaz. Yani ilk soru hangi VPN'i alacağınız değil; cihazlarınızdan hangisinin hâlâ yamasız bir kablosuz yığın çalıştırdığı.

Aynı ayrım bütçe kaygısını da yanıtlar. Aboneliği karşılayamayan biri gerçek çözümden hiçbir zaman dışlanmadı, çünkü çözüm ücretsiz bir güncellemeydi. Para, artık güncelleme almayan donanımı değiştirmeye gider.

Saldırı gerçekte neyi manipüle etti

WPA2 ilişkilenme anında dört yönlü el sıkışmayla yeni bir eşleme anahtarı türetir. Erişim noktası bir nonce gönderir, istemci kendi nonce'uyla yanıtlar, iki taraf eşlemeli geçici anahtarı hesaplar ve erişim noktası istemcinin onayladığı bir mesajla doğrular. Anahtar yeniden kurma saldırısı parolayı tahmin etmek yerine bu diziyi bozar ve istemciyi zaten kurduğu anahtarı yeniden kurmaya zorlar. Her yeniden kurma, o anahtara bağlı gönderim nonce'unu ve alım yineleme sayacını sıfırlayabilir.

Bu sayaçlar geriye gittiğinde, reddedilmesi gereken trafiğin bir kısmı yeniden kabul edilebilir hale gelir. Varyanta ve uygulamaya bağlı olarak radyo menzilindeki bir saldırgan çerçeveleri yeniden oynatabilir, şifresini çözebilir veya enjekte edebilirdi. Grup anahtarı el sıkışması ile hızlı geçiş el sıkışmasının kendi varyantları vardı, bu yüzden uyarı bir değil birkaç saldırı adı listeliyordu.

Android 6.0 ve sonrası en kötü durumdu. wpa_supplicant sürümleri tamamen sıfırlardan oluşan bir anahtar kurmaya zorlanabiliyordu, bu da şifre çözmeyi yeniden kurmanın yalnızca sayaçları sıfırladığı platformlara göre çok daha kolaylaştırıyordu. Bu ayrıntı, o dönemin en yaygın telefon platformunda teorik zayıflığı pratik zayıflıktan ayırdı.

Onarım kablosuz yığında yaşıyor

Üst kaynaktaki düzeltme, anahtar zaten kuruluysa yeniden gönderilen el sıkışma mesajının yok sayılmasını supplicant'lara ve erişim noktalarına söyledi. Yamalı wpa_supplicant ve hostapd derlemeleri bunu taşıyordu ve dağıtımlar bunu eski dallara geri taşıdı, bu yüzden wpa_supplicant -v tarafından yazdırılan dize bir karar değil başlangıç noktasıdır. Dağıtımın güvenlik uyarısını okuyun ve yalnızca sürüm numarasını değil belirli yamayı doğrulayın. Eski sürüm bildiren bir derleme yine de düzeltilmiş olabilir ve yeni sürümlü bir derlemede üreticinin geri taşıması eksik olabilir.

Bağlantının iki ucu da dikkat gerektirir. Onarılmış bir yönlendirici ona bağlanan dizüstü bilgisayarı yamalamaz ve onarılmış bir dizüstü bilgisayar yönlendiriciyi yamalamaz. Üreticiler ürün bazında uyarılar yayımladı ve yönlendirici düzeltmeleri genellikle telefon güncellemelerinin gerisinde kaldı çünkü her model kendi ürün yazılımı derlemesine ihtiyaç duyar. Bir cihazın son sürümü uyarıdan önceyse, üretici aksini söyleyene kadar yamasız sayın.

Güncelleyemediğiniz donanım için seçenekler dar ve gösterişsizdir. Kullanımdan kaldırın, hassas trafik taşıyan ağlardan uzak tutun veya yalnızca akranları da aynı ölçüde gözden çıkarılabilir bir segmente sınırlayın. Bu seçeneklerin hiçbiri abonelik gerektirmez ve hiçbiri başka bir tünel sağlayıcısı seçmekle iyileşmez.

Tünel neyi kapsar

VPN sınırı kaydırır. Cihazınız her paketi şifreler ve bir VPN sunucusuna gönderir, o da şifresini çözer ve iletir. Wi-Fi bağlantısını manipüle eden kişi tünelin dış paketlerini görür, içindeki yükü değil, bu yüzden bağlantı katmanı çerçevelerini açığa çıkaran bir yeniden kurma saldırısı tünellenmiş bağlantının içeriğini otomatik olarak açığa çıkarmaz. Bu koruma, alttaki kablosuz yığın savunmasız kalsa bile sürer ve iki denetimin karıştırılmasının nedeni tam olarak budur.

Koşul "tünellenmiş" sözcüğüdür. Bölünmüş tünelleme, atlama listesi veya captive portal istisnası trafiğin bir kısmını tünelin dışına gönderir ve o trafik bundan hiçbir yarar görmez. Aynı ağdaki, istemciyi hiç kurmamış diğer cihazların trafiği için de durum böyledir. Tünel cihaz başına ve rota başına bir karardır, odanın özelliği değildir ve yönlendirici düzeyindeki bir VPN yalnızca gerçekten yönlendiriciden geçeni kapsar.

Tünelin yapamadığı şey sürücüyü onarmak, bir kimlik doğrulama iptali selini durdurmak veya saldırganın kanalı bozmasını engellemektir. Hiç girmeyen bir bağlantıyı da koruyamaz. Bunlar kullanılabilirlik ve bağlantı katmanı sorunlarıdır ve tünelin şifre paketi ne kadar güçlü olursa olsun kablosuz yığınla birlikte kalırlar.

HTTPS ve tünel farklı atlamaları korur

Tek bir sayfa yüklemesi üç ayrı korumayı içerebilir: Wi-Fi bağlantısı, VPN sunucusuna tünel ve web sitesine TLS oturumu. Her biri bağımsız olarak müzakere edilir. Geçerli sertifikalı ve modern protokol sürümlü TLS, ilk atlama düşmanca olsa bile tarayıcı ile site arasında kimliği doğrulanmış şifreleme verir, çünkü sertifika denetimi bir sahtekârın kendi anahtarını koymasını engelleyen şeydir.

Bu denetimin kenarlarda zayıf noktaları vardır. HTTPS'ten HTTP'ye yönlendirme, komut dosyalarını düz HTTP üzerinden yükleyen sayfa veya sertifika uyarısını tıklayıp geçen kullanıcı, hepsi trafiği korunan oturumun dışına taşır. HSTS ve tarayıcının ara sayfaları bu hatalar yaygın olduğu için vardır, TLS kırılgan olduğu için değil.

HTTPS ve tüneli sürdürmek kablosuz uygulamayı savunmasız olmaktan çıkarmaz. Çerçeveler hâlâ hatalı bir sürücü tarafından şifresi çözülerek açılır; fark, saldırganın içlerinde ne bulduğu ve o içeriğin başka bir şeyle korunup korunmadığıdır.

Karma ağ için onarım sırası

Erişim noktasıyla başlayın, çünkü kontrol ettiğiniz ve her istemcinin bağlı olduğu cihaz odur. Ardından istemci işletim sistemlerini en eskiden başlayarak geçin, çünkü güncelleme almayı bırakan platformlar hiç yamalanmayacak olanlardır. Ancak bu envanter bittikten sonra VPN kararı anlam kazanır ve bu onarım değil maruz kalma kararıdır. Ters sırada yapmak, önce tünel sonra ürün yazılımı, abonelik sürdükçe gerçek kusuru yerinde bırakır.

Neyi doğruladığınızı yazın, ürün yazılımı sürümü ve tarih dahil. "Güncellendi" kimsenin sonradan denetleyemeyeceği bir durumdur.

Üç denetim işin çoğunu kapsar ve bu sırayla gider. İlk ikisi temiz döndü diye üçüncüyü atlamayın.

• Yönlendirici ürün yazılımı: kurulu sürümü güncelleme düğmesiyle değil üreticinin uyarı sayfasıyla karşılaştırın.
• İstemci işletim sistemi: her telefon, dizüstü bilgisayar ve tablet için kablosuz düzeltmeyi içeren yama düzeyini doğrulayın.
• Artıklar: yama yolu olmayan cihazları listeleyin ve kullanımdan kaldırma, yalıtma veya kabul etme kararı verin.

Artık listesi uzunsa, istemci yalıtımlı bir konuk ağı donanım değiştirilirken zaman kazandırır. Ardından her bantta bilinen bir istemciyi test edin, sonucu kaydedin ve bir sonraki ürün yazılımı sürümünden sonra yeniden kontrol edin. Donanım envanteri bir sonraki uyarıyı hızlı kılan şeydir; tünel ise bu arada boşluğu kapatan şeydir.