KRACK atak na WiFi, czy wszyscy jesteśmy zgubieni?

KRACK, czyli luka w algorytmach zabezpieczenia WiFi wszystkich urządzeń odkryta przez naukowców z belgijskiego University of Leuven, nie dla wszystkich jest tak samo groźna.

KRACK WiFi, o co chodzi?

Podatność Key Reinstallation Attack (KRACK) jest o tyle interesująca, że dotyczy błędu w założeniach standardu szyfrowania WPA, a nie konkretnych rozwiązań. Czyli dotyczy wszystkich urządzeń mających moduły WiFi zgodne z WPA i WPA2. Zarówno stacji bazowych (routerów), jak i „klientów”.
Atak wykorzystuje między innymi pewną z właściwość WPA, czyli możliwość renegocjacji – ponownego wysłania kluczy szyfrujących. Pozwala to na podmianę klucza przez atakującego. Daje to możliwość podsłuchania całego ruchu, a przy szyfrowaniu TKIP nawet na zmodyfikowanie pakietów, czyli np. dodatnie złośliwego kodu do stron WWW. KRACK to ogólna nazwa 6 podatności odkrytych w WAP przez Mathy Vanhoefa i Franka Piessensa. Nie wszystkie są tak samo łatwe do przeprowadzania i podobnie groźne.
Nieprawdą jest, że luki nie da się załatać. Choć pewnych zachowań wymaga sam standard WPA, to jak przeczytacie niżej, bez spełnienia tych wymogów da się żyć i nie są one konieczne do poprawnego działania WiFi. Po prostu podczas projektowania standardu dodano kilka przydatnych, ale nie bezwzględnie koniecznych funkcji „na zapas”.

Nie wszyscy są tak samo zagrożeni

Atak KRACK jest najłatwiejszy do przeprowadzenia wobec urządzeń z Androidem nawet 6.0.1 i innymi jego wersjami, używającymi biblioteki wpa_supplicant oraz wieloma wersjami Linuxa. Pozwalają one na podmianę klucza na składający się z samych zer, co zdecydowanie ułatwia atak.

iOS prawie bezpieczny

A i Windows również opiera się dzielnie. To wszystko za sprawą nietrzymania się standardu. Te systemy nie pozwalają m.in. na ponowną negocjację klucza, czego wymaga standard, ale jak widać, da się bez tego żyć. Zarówno iOS, jak i Windows posiadają tylko 1 z 6 podatności. Android jest podatny na wszystkie 6! Oczywiście nawet jedne niedomknięte drzwi pozwolą wejść złodziejowi do domu, więc choć ta podatność nie jest prosta w użyciu, nie możemy czuć się całkiem bezpieczni. macOS nie jest w aż tak dobrej sytuacji, można jego WiFi złamać na 4 z 6 sposobów.

Jak się bronić?

Po pierwsze: intruz musi być w zasięgu naszej sieci WiFi, aby przeprowadzić atak. Większość stron WWW i aplikacji (tego wymaga od jakiegoś czasy Apple) używa szyfrowanych połączeń HTTPS i im podobnych. Jednak najlepszym zabezpieczeniem jest używanie połączeń VPN np. do własnego serwera. Pisałem o tym wielokrotnie w magazynie np. w czerwcowym wydaniu z tego roku.
Po drugie: aktualizować system! Jak podaje Apple Insider, Apple już w poprzednich betach najnowszych wersji systemów na wszystkie platformy, usunęło podatności na ataki KRACK. Dotyczy to iOS (1 luka), macOS (4 luki), tvOS i watchOS.
Pamiętajcie, że nawet jak będziecie używać „załatanych” urządzeń, to w sieciach publicznie dostępnych zawsze starajcie się używać połączeń VPN do własnego lub zaufanego serwera, lub przynajmniej zawsze sprawdzać, czy połączenia są szyfrowane przez stronę lub aplikację.
Bezpiecznego i rozsądnego surfowania!