VPN KRACK dan himoya qiladimi? Yamoq nimani tuzatadi

Agar sarlavha KRACK Wi-Fi shifrlashini buzadi deb aytgani uchun VPN sotib olayotgan bo'lsangiz, siz noto'g'ri qatlamni tuzatyapsiz. 2017 yildagi o'sha oshkor qilish WPA2 ning to'rt bosqichli qo'l siqishiga qarshi kalitni qayta o'rnatish hujumlari oilasini tasvirlagan edi, tuzatish esa operatsion tizim yangilanishlari, simsiz drayver yamoqlari va router proshivkasi sifatida keldi. Tunnel trafigingizni mahalliy tarmoqdan yashirishi mumkin, ammo uning ostida tugaydigan qo'l siqishini tuzata olmaydi. Shuning uchun birinchi savol qaysi VPN sotib olish emas; qaysi qurilmalaringiz hali ham yamoqsiz simsiz stekni ishlatayotgani.

Xuddi shu farq byudjet tashvishiga ham javob beradi. Obunani ko'tara olmaydigan kishi haqiqiy yechimdan hech qachon chetlatilmagan, chunki yechim bepul yangilanish edi. Pul endi yangilanish olmaydigan apparatni almashtirishga ketadi.

Hujum aslida nimani boshqargan

WPA2 ulanish paytida to'rt bosqichli qo'l siqish orqali yangi juftlik kalitini oladi. Kirish nuqtasi nonce yuboradi, mijoz o'z nonce'si bilan javob beradi, ikkala tomon juftlik vaqtinchalik kalitini hisoblaydi va kirish nuqtasi mijoz tasdiqlaydigan xabar bilan tasdiqlaydi. Kalitni qayta o'rnatish hujumi parolni taxmin qilish o'rniga shu ketma-ketlikka aralashadi va mijozni allaqachon o'rnatgan kalitini qayta o'rnatishga majbur qiladi. Har bir qayta o'rnatish shu kalitga bog'langan yuborish nonce'si va qabul qilishning takrorlanish hisoblagichini nolga qaytarishi mumkin.

O'sha hisoblagichlar orqaga ketganda, rad etilishi kerak bo'lgan trafikning bir qismi yana qabul qilinadigan bo'ladi. Tur va amalga oshirishga qarab, radio diapazonidagi hujumchi freymlarni qayta ijro etishi, ularni shifrini ochishi yoki kiritishi mumkin edi. Guruh kaliti qo'l siqishi va tez o'tish qo'l siqishining o'z turlari bor edi, shuning uchun ogohlantirish bitta emas, bir nechta hujum nomini sanab o'tgan.

Android 6.0 va undan keyingi eng yomon holat edi. Uning wpa_supplicant versiyalarini butunlay nollardan iborat kalit o'rnatishga majbur qilish mumkin edi, bu esa qayta o'rnatish faqat hisoblagichlarni nolga qaytaradigan platformalarga qaraganda shifrni ochishni ancha osonlashtirardi. O'sha tafsilot o'sha paytdagi eng keng tarqalgan telefon platformasida nazariy zaiflikni amaliy zaiflikdan ajratdi.

Tuzatish simsiz stekda yashaydi

Yuqori oqimdagi tuzatish supplicant va kirish nuqtalariga kalit allaqachon o'rnatilgan bo'lsa, qayta yuborilgan qo'l siqish xabarini e'tiborsiz qoldirishni aytdi. wpa_supplicant va hostapd ning yamoqlangan qurilmalari uni olib yurgan va distributivlar uni eski shoxobchalarga qaytargan, shuning uchun wpa_supplicant -v chop etadigan satr boshlanish nuqtasi, hukm emas. Distributivning xavfsizlik ogohlantirishini o'qing va faqat versiya raqamini emas, aniq yamoqni tasdiqlang. Eski versiyani ko'rsatadigan qurilma ham tuzatilgan bo'lishi mumkin, yangi versiyali qurilmada esa ishlab chiqaruvchining ko'chirishi yetishmasligi mumkin.

Bog'lanishning ikkala uchi ham e'tibor talab qiladi. Tuzatilgan router unga ulanadigan noutbukni yamoqlamaydi, tuzatilgan noutbuk esa routerni yamoqlamaydi. Ishlab chiqaruvchilar har bir mahsulot uchun ogohlantirish e'lon qilgan, router tuzatishlari esa odatda telefon yangilanishlaridan orqada qolgan, chunki har bir model o'z proshivka qurilmasini talab qiladi. Agar qurilmaning oxirgi chiqarilishi ogohlantirishdan oldin bo'lsa, ishlab chiqaruvchi boshqacha aytmaguncha uni yamoqsiz deb hisoblang.

Yangilay olmaydigan uskunangiz uchun variantlar tor va ko'rimsiz. Uni iste'moldan chiqaring, nozik trafik olib yuradigan tarmoqlardan uzoq tuting yoki uning yagona hamrohlari ham xuddi shunday voz kechiladigan segmentga cheklang. Bu variantlarning hech biri obunani talab qilmaydi va hech biri boshqa tunnel provayderini tanlash bilan yaxshilanmaydi.

Tunnel nimani qoplaydi

VPN chegarani suradi. Qurilmangiz har bir paketni shifrlaydi va uni VPN serveriga yuboradi, u esa uni shifrini ochib, keyin uzatadi. Wi-Fi bog'lanishini boshqaradigan kishi tunnelning tashqi paketlarini ko'radi, ichidagi yukni emas, shuning uchun bog'lanish qatlami freymlarini ochadigan qayta o'rnatish hujumi tunnel qilingan ulanish mazmunini avtomatik ochmaydi. Bu himoya ostidagi simsiz stek zaif bo'lib qolsa ham davom etadi va ikki nazoratning chalkashishiga sabab ham shu.

Shart "tunnel qilingan". Bo'lingan tunnellash, chetlab o'tish ro'yxati yoki captive portal istisnosi trafikning bir qismini tunneldan tashqariga yuboradi va bu trafik undan foyda ko'rmaydi. Xuddi shu tarmoqdagi, mijozni hech qachon o'rnatmagan boshqa qurilmalar trafigi ham shunday. Tunnel har bir qurilma va har bir marshrut uchun qaror, xonaning xususiyati emas, router darajasidagi VPN esa faqat router orqali haqiqatan o'tadiganini qoplaydi.

Tunnel qila olmaydigan narsa drayverni tuzatish, deautentifikatsiya toshqinini to'xtatish yoki hujumchining kanalni buzishiga to'sqinlik qilishdir. Hech qachon unga kirmaydigan ulanishni ham himoya qila olmaydi. Bu mavjudlik va bog'lanish qatlami muammolari bo'lib, tunneldagi shifrlar to'plami qanchalik kuchli bo'lsa ham simsiz stek bilan qoladi.

HTTPS va tunnel turli sakrashlarni himoya qiladi

Bitta sahifa yuklanishi uchta alohida himoyani o'z ichiga olishi mumkin: Wi-Fi bog'lanishi, VPN serverigacha tunnel va veb-saytgacha TLS sessiyasi. Har biri mustaqil ravishda kelishiladi. Haqiqiy sertifikat va zamonaviy protokol versiyasiga ega TLS birinchi sakrash dushman bo'lsa ham brauzer va sayt o'rtasida tasdiqlangan shifrlashni beradi, chunki sertifikat tekshiruvi aynan firibgarning o'z kalitini qo'yishini to'xtatadi.

Bu tekshiruvning chekkalarida zaif joylar bor. HTTPS dan HTTP ga yo'naltirish, skriptlarni oddiy HTTP orqali yuklaydigan sahifa yoki sertifikat ogohlantirishini bosib o'tadigan foydalanuvchi — barchasi trafikni himoyalangan sessiyadan tashqariga chiqaradi. HSTS va brauzerning oraliq sahifalari bu xatolar tez-tez uchragani uchun bor, TLS mo'rt bo'lgani uchun emas.

HTTPS va tunnelni saqlab turish simsiz amalga oshirishni zaiflikdan xalos qilmaydi. Freymlar hali ham nuqsonli drayver tomonidan shifri ochiladi; farq hujumchi ichkarida nima topishida va bu mazmun allaqachon boshqa narsa bilan himoyalanganmi yoki yo'qligida.

Aralash tarmoq uchun tuzatish tartibi

Kirish nuqtasidan boshlang, chunki bu siz nazorat qiladigan va har bir mijoz tayanadigan qurilma. Keyin mijoz operatsion tizimlarini eng eskisidan ko'rib chiqing, chunki yangilanish olishni to'xtatgan platformalar hech qachon yamoqlanmaydiganlardir. Faqat shu ro'yxat tugagach, VPN qarori mantiqiy bo'ladi va bu tuzatish emas, ta'sir qilish haqidagi qaror. Buni teskari tartibda qilish, avval tunnel keyin proshivka, obuna davom etar ekan haqiqiy nuqsonni joyida qoldiradi.

Nimani tekshirganingizni yozing, proshivka versiyasi va sana bilan birga. "Yangilangan" hech kim keyin tekshira olmaydigan holat.

Uchta tekshiruv ishning katta qismini qoplaydi va shu tartibda boradi. Birinchi ikkitasi toza chiqqani uchun uchinchisini o'tkazib yubormang.

• Router proshivkasi: o'rnatilgan versiyani yangilash tugmasi bilan emas, ishlab chiqaruvchining ogohlantirish sahifasi bilan solishtiring.
• Mijoz OS: har bir telefon, noutbuk va planshet uchun simsiz tuzatishni o'z ichiga olgan yamoq darajasini tasdiqlang.
• Qoldiqlar: yamoq yo'li yo'q qurilmalarni ro'yxatga oling va iste'moldan chiqarish, ajratish yoki qabul qilishni hal qiling.

Qoldiqlar ro'yxati uzun bo'lsa, mijozni ajratish bilan mehmon tarmog'i apparat almashtirilayotganda vaqt sotib oladi. Keyin har bir diapazonda bitta tanish mijozni sinab ko'ring, natijani yozing va keyingi proshivka chiqarilishidan keyin yana tekshiring. Apparat ro'yxati keyingi ogohlantirishni tez qiladigan narsa; tunnel esa bu orada bo'shliqni qoplaydi.