Pytanie:
Czy aby odpowiednio zabezpieczyć się przed KRACK, wymagane jest łatanie klienta, AP lub obu?
Jon Bentley
2017-10-16 21:25:21 UTC
view on stackexchange narkive permalink

W związku z tym pytaniem nie mam pewności, które z poniższych kroków są wystarczające, aby zabezpieczyć połączenie Wi-Fi oparte na WPA2 przed usterką KRACK:

  1. Patchowanie punktu dostępowego (np. routera)
  2. Patchowanie klienta (np. urządzenia mobilnego)
  3. Patchowanie punktu dostępowego i klienta

Obecnie najpopularniejsza odpowiedź, cytując https://www.krackattacks.com, brzmi:

Zarówno klienci, jak i punkty dostępu są wymienione w dokumencie jako podatne na ataki.

oraz:

implementacje można załatać w sposób zapewniający zgodność wsteczną [ ...] Aby zapobiec atakowi, użytkownicy muszą aktualizować produkty, których dotyczy luka, natychmiast po udostępnieniu aktualizacji zabezpieczeń. [...] połatany klient może nadal komunikować się z niezałatanym punktem dostępu i na odwrót.

Ale wydaje się, że pozostaje otwarte pytanie, które kombinacje poprawek byłyby skuteczna poprawka. Jest na przykład jasne, że gdybym miał załatać swój telefon, nadal byłby w stanie komunikować się z niezałatanym punktem dostępu, ale czy ta komunikacja byłaby bezpieczna?

Jest to ważne pytanie, ponieważ chociaż jest stosunkowo łatwo upewnić się, że moi klienci są załatani, gdy łatka jest dostępna (ponieważ liczba dostawców systemu operacyjnego jest stosunkowo niewielka), zapewnienie poprawienia wszystkich routerów (szczególnie w publicznych punktach dostępu Wi-Fi) wydaje się znacznie trudniejszym zadaniem ze względu na liczbę i rozmiar dostawców i brak kontroli nad sprzętem innych firm.

Innym sposobem ochrony bez łatania jest używanie VPN.Zobacz https://security.stackexchange.com/q/171431/22488 Upewnij się, że używasz odpowiedniego rozwiązania VPN, takiego jak OpenVPN do domu lub F-Secure Freedome, a nie jednego z wielu, które wstawiają javascript lub instalują certyfikaty.
Dziewięć odpowiedzi:
Citricguy
2017-10-17 09:31:50 UTC
view on stackexchange narkive permalink

Aby w pełni zabezpieczyć sieć, należy załatać zarówno urządzenie, jak i punkt dostępowy:

Źródło: https://www.krackattacks.com/#faq

Wreszcie, chociaż niezałatany klient nadal może łączyć się z załatanym AP i odwrotnie, zarówno klient, jak i AP muszą zostać załatane, aby chronić się przed wszystkimi atakami!

Ten cytat daje implikację w jedną stronę.Jeśli nie mówi, czy wystarczy łatanie klienta.Jeśli nie, wszyscy mają przerąbane i możemy zamknąć wszystkie żony.Nie możesz sprawdzić routerów w lokalnym eduroam lub innych sieciach w miejscu pracy.
@VladimirF Brzmi dla mnie dość jednoznacznie: „zarówno klient, jak i punkt dostępu muszą być poprawione, aby chronić się przed wszystkimi atakami”
Patchowanie routera jest potrzebne tylko wtedy, gdy router działa również jako klient, tj. Gdy jest repeaterem lub obsługuje roaming.Te same często zadawane pytania dopiero później: * „A jeśli nie ma aktualizacji zabezpieczeń dla mojego routera? ... może to oznaczać, że router nie wymaga aktualizacji zabezpieczeń” *.
Przy okazji, cytatu w tej odpowiedzi nie było na krackattacks.com, kiedy wczoraj przeczytałem tę stronę i napisałem swój post.Odświeżona strona jest nadal wczytana na karcie przeglądarki.Zastanawiałem się, jak nie mogłem tego zobaczyć ...
Należy zauważyć, że łatanie AP chroni przed atakiem 802.11r FT, który jest zwykle używany tylko w sieciach korporacyjnych z wieloma punktami dostępowymi w jednej lokalizacji i w roamingu.Nie jestem pewien, czy typowy punkt dostępu do domu / biura lub router obsługuje nawet standard 802.11r, ale można go wyłączyć bez utraty funkcjonalności zamiast łatania routera / punktu dostępu.Jeśli router / punkt dostępu jest również klientem (np. W jakiejś konfiguracji wzmacniacza lub sieci kratowej), wówczas łatanie routera / punktu dostępu jako klienta będzie nadal konieczne.
@JeffAlyanak Tak to wygląda, ale jednocześnie https://security.stackexchange.com/a/171549/52150
@Vladimir F Myślę, że ta odpowiedź mówi w tej odpowiedzi, że czasami AP może również działać jako klient, a ponieważ jest to atak na klienta, w niektórych przypadkach AP będzie również potrzebować aktualizacji.W związku z tym „Zarówno klient, jak i punkt dostępu muszą być poprawione, aby bronić się przed WSZYSTKIMI atakami”.Nie zawsze ... ale czasami.Ostatecznie „wszyscy mamy przerąbane, przez jakiś czas”
@VladimirF,, ale ta odpowiedź brzmi „nie zawsze”.Co powiesz na to, że po prostu pozostaniemy po bezpiecznej stronie i zawsze będziemy łatać klienta i zawsze łatać router?
@NH.Na pewno w domu i w pracy.Na lotnisku?Albo w pociągu?Jak sprawdzisz, czy są załatane?Nawet w domu router często należy do dostawcy usług internetowych i jest przez niego administrowany.
@VladimirF, nie możesz.Ale możesz i powinieneś używać https wszędzie i unikać udostępniania plików i urządzeń na lotniskach (dlaczego miałbyś to robić?).
@NH Wspomniałem o routerze należącym do dostawcy usług internetowych (** bardzo ** powszechny), a nie tylko lotniska ...
Steffen Ullrich
2017-10-17 23:49:44 UTC
view on stackexchange narkive permalink

TL; DR: Często (ale nie zawsze) wystarcza poprawne patchowanie klienta Wi-Fi.
Musisz także załatać router, ponieważ działa on również jako klient Wi-Fi (np. repeater) lub ma włączony szybki roaming (802.11r).

Zasadniczą częścią ataków jest to, że klient ponownie akceptuje komunikat 3 z 4-way handshake, co powoduje, że klient ponownie instaluje ten sam klucz szyfrowania i resetowanie ochrony nonce i replay - w ten sposób możliwe jest powtórzenie, a czasem nawet wstrzyknięcie.

Oznacza to, że jeśli klient jest załatany, aby nie przyjmował wiadomości 3, która zawiera ten sam klucz, co już Nie instaluj ponownie klucza i nie resetuj ochrony nonce i replay. Powinno to wystarczyć, aby udaremnić atak, bez względu na to, czy serwer jest załatany, czy nie.

Również bezpośrednio pobrane z https://www.krackattacks.com:

Co zrobić, jeśli nie ma aktualizacji zabezpieczeń dla mojego routera?

Nasz główny atak skierowany jest przeciwko uzgadnianiu czterokierunkowemu i nie wykorzystuje punktów dostępu, ale zamiast tego skierowany do klientów. Może się więc zdarzyć, że router nie wymaga aktualizacji zabezpieczeń . Zdecydowanie zalecamy skontaktowanie się ze sprzedawcą w celu uzyskania dalszych informacji. Ogólnie można jednak spróbować złagodzić ataki na routery i punkty dostępowe, wyłączając funkcjonalność klienta (która jest na przykład używana w trybach repeatera) i wyłączając 802.11r (szybki roaming). W przypadku zwykłych użytkowników domowych Twoim priorytetem powinno być aktualizowanie klientów, takich jak laptopy i smartfony .

mobill
2017-10-16 22:05:33 UTC
view on stackexchange narkive permalink

Zgodnie z tym postem dotyczącym IBM XForce:

[...] Ataki muszą być w zasięgu punktu dostępowego i klienta. Zarówno klient, jak i punkt dostępu muszą zostać poprawione, aby zapewnić ochronę przed takimi atakami. Jeśli punkt dostępu jest załatany, ale nie klient, eksploatacja jest nadal możliwa.

Przed wtorkiem @ 2017-10-17 10: 42a CDT: IBM powiedział: sub>

[...] jeśli nawet tylko jedno z urządzeń (klient lub punkt dostępu) zostało załatane, para nie jest podatna na tę formę ataku. sup>

Oryginalny tekst zostawiłem dla celów historycznych.

Aby spróbować dalej wyjaśnić, rozumiem, że atak polega na „ponownej” instalacji klucza, który jest znany atakującemu (w szczególności klucz to 0).AP i stacja potrzebują tego samego klucza do komunikacji.Jeśli klucz zostanie zmieniony tylko na jeden z pary, nie będą w stanie się komunikować, więc atakujący nie będzie mógł przechwycić komunikacji.
Jest to sprzeczne z [krackattacks.com] (https://www.krackattacks.com/#faq), który stwierdza: * Wreszcie, chociaż niezałatany klient może nadal łączyć się z załatanym AP i odwrotnie, zarówno klienti AP muszą być załatane, aby chronić się przed wszystkimi atakami! *
Spójrz na to zobowiązanie: https://github.com/vanhoefm/krackattacks/commit/1b32c02dd7371dbbd09912f1b3159c02b4c6ee61.Zostało to zrobione, aby wyjaśnić b ***** postu IBM XForce.
Ta odpowiedź ma większość głosów w górę, ale jest błędna i wprowadza ludzi w błąd, więc należy to wyjaśnić.
@WillVousden Ten cytat daje implikację jednokierunkową.Jeśli nie mówi, czy wystarczy łatanie klienta.Jeśli nie, wszyscy mają przerąbane i możemy zamknąć wszystkie żony.Nie możesz sprawdzić routerów w lokalnym eduroam lub innych sieciach w miejscu pracy.
@VladimirF Myślę, że to niejednoznaczne;nie jest jasne, czy oznacza to, że dla danej pary (urządzenia, punktu dostępu) bezpieczeństwo jest osiągane tylko wtedy, gdy oba są załatane, czy też aby wszystkie urządzenia i punkty dostępu były bezpieczne, muszą być wszystkie załatane (co nie jest zbyt pomocne)porady).Dla mnie pierwsza interpretacja ma większy sens.
@WillVousden Nawet tego nie mówi.Mówi, że jeśli AP jest załatany, a klient nie, jest podatny na ataki.Nie mówi nic o niezałatanym AP i niezałatanym kliencie.
Oto jak to przeanalizuję: 1) poprawiony punkt dostępu może nadal łączyć się z niezałatanym urządzeniem.2) (i na odwrót) załatane urządzenie nadal może łączyć się z niezałatanym punktem dostępu.3) Aby chronić się przed pełnym zestawem luk, AP ORAZ urządzenie musi zostać załatane.Biorąc pod uwagę, że załatany AP / niezałatane urządzenie jest podatne na pewien podzbiór luk ORAZ załatane urządzenie / niezałatowany AP jest podatny na (prawdopodobnie) inny podzbiór.
@mobill To też rozumiem.
Wydaje mi się, że powinno być możliwe złagodzenie niezałatanych luk w zabezpieczeniach klienta za pomocą odpowiednich zmian po stronie AP, takich jak zauważenie dodatkowego komunikatu 3 ACK (dla pakietu nie wysłanego ponownie) i / lub odrzucenie dodatkowej wiadomości 4 (odpowiedźdo 3?).
@mobill: Byłoby wspaniale, gdybyś mógł przeformułować swoją odpowiedź, używając * najpierw * TL; DR, a następnie tylko perspektywy historycznej.TL; DR na początku zapewniłoby, że nikt przypadkowo nie zinterpretuje twojej odpowiedzi, podczas gdy perspektywa historyczna pomaga ludziom, którzy słyszeli wcześniejsze oświadczenia, zrozumieć, że były błędne (edycja w linku do łatki w odpowiedzi na oświadczenie IBM byłaby plusem,ponieważ komentarze są efemeryczne).
Luc
2017-10-16 23:35:30 UTC
view on stackexchange narkive permalink

Słyszę rzeczy w obie strony, trudno powiedzieć. Artykuł wspominający zarówno o klientach, jak i punktach dostępu brzmi, jakby było co najmniej coś do zrobienia po obu stronach. Ten komentarz ma dla mnie sens: „większość punktów dostępowych będzie w porządku, ale te wykonujące funkcje klienta (np. przemienniki) będą wymagały aktualizacji”.

Przepraszam, że nie mogę udzielić ostatecznej odpowiedzi, zaktualizuję, jeśli ją znajdę. Mam nadzieję, że to przynajmniej pomogło.

Myślę, że zależy to również od używanej funkcji WPA2.„Atakując handshake Fast BSS Transition (FT), możemy odszyfrować (i sfałszować) pakiety wysyłane * do * klienta” (https://www.krackattacks.com/).
gnasher729
2017-10-17 03:50:20 UTC
view on stackexchange narkive permalink

Jednym z punktów, o którym można zapomnieć, są repeatery. Jeśli Twoja konfiguracja to komputer <-> repeater <-> router <-> linia szerokopasmowa, a repeater / router są zarówno niezaładowane, jak i połączone przez WiFi, wówczas każdy ruch między routerem a repeaterem może być podsłuchiwany pośrednio, w tym wszystko, co wysyła komputer lub odbiera.

W tej sytuacji, jeśli tylko repeater jest załatany, wszystko jest bezpieczne. Jeśli nie, to komputer i router muszą zostać poprawione, ponieważ oba łączą się z niezałatanym repeaterem.

Myślałem, że to komputer i repeater, ponieważ obaj akceptują trzeci krok uścisku dłoni.
Zakładam, że zaczynasz od modemu szerokopasmowego lub innego modemu, który jest podłączony do routera (brak WiFi, a często modem jest wewnątrz routera), który ma połączenie WiFi z repeaterem, więc jeden z routerów lub repeaterów musi byćzałatany, a repeater ma połączenie WiFi z klientem, więc albo repeater, albo klient musi być poprawiony.
W moim rozumieniu nie jest to „jeden z” - atakujący wysyła do klienta duplikat trzeciego kroku, a to wprowadza klienta w nieoczekiwany stan -> atakujący wygrywa.Poprawiony _connectee_ nie naprawiłby tego.
„Nieoczekiwany stan” ma na celu utworzenie połączenia z szyfrowaniem, które atakujący może zaatakować.Jeśli druga strona po prostu odmówi połączenia, nie ma znaczenia, jak zdezorientowany jest łącznik.Nie będzie połączenia.
Ajedi32
2017-10-24 19:01:40 UTC
view on stackexchange narkive permalink

Na oficjalnej stronie krackattacks.com znajduje się teraz ten wpis FAQ:

Czy wystarczy załatać tylko punkt dostępu? Czy może łatać tylko klientów?

Obecnie wszystkie podatne urządzenia powinny zostać załatane. Innymi słowy, łatanie punktu dostępu nie zapobiegnie atakom na podatnych klientów. Podobnie łatanie wszystkich klientów nie zapobiegnie atakom na podatne punkty dostępu. Zauważ, że tylko punkty dostępu obsługujące uzgadnianie Fast BSS Transition (802.11r) mogą być podatne na ataki.

Mimo to pracujemy nad modyfikacjami punktów dostępu, które zapobiegają atakom na podatnych klientów. Te modyfikacje różnią się od poprawek bezpieczeństwa dla wrażliwych punktów dostępu! Więc jeśli twój dostawca punktu dostępu wyraźnie nie wspomina, że ​​jego łaty zapobiegają atakom na klientów, musisz również załatać klientów.

To wyjaśnia, dlaczego było tyle zamieszania wokół tego pytania, zarówno tutaj, jak i gdzie indziej sieci.

Z technicznego punktu widzenia tylko klienci (w tym punkty dostępowe działające jako klienci, takie jak repeatery) i punkty dostępowe obsługujące uzgadnianie Fast BSS Transition są podatne na ataki i należy je naprawić.

Można jednak modyfikować punkty dostępu w sposób, który zapobiega atakom na klientów, nawet jeśli klienci są podatni na ataki (chociaż sam punkt dostępu nie jest). Ta modyfikacja jest zupełnie inna niż modyfikacja potrzebna do „naprawienia” wrażliwych punktów dostępu (działających jako repeater lub obsługujących szybkie przejścia BSS), więc łatka dla punktów dostępu może, ale nie musi, zapobiegać atakom na podatnych klientów w zależności od tego, jakiego dokładnie typu poprawka zawiera poprawkę.

Zatem w zależności od możliwości twojego punktu dostępowego i tego, jaki typ łatek jest dla niego dostępnych, możesz potrzebować przynajmniej poprawki tylko swojego punktu dostępu, tylko swoich klientów lub obu, aby obronić się przed tym atakiem. Oczywiście w idealnym scenariuszu wszystkie wrażliwe urządzenia powinny zostać załatane, niezależnie od tego, jakie dodatkowe środki zaradcze zostały zaimplementowane w punkcie dostępu.

+1, niezły chwyt aktualizacji sytuacji.Jednak zaznaczę również, że tylko dlatego, że trwają prace nad aktualizacją, która będzie również chronić klientów, nie oznacza, że taka praca zakończy się sukcesem lub jeśli zakończy się powodzeniem, będzie dotyczyła wszystkich klientów.W połączeniu z faktem, że większość urządzeń bezprzewodowych będzie łączyć się z wieloma sieciami bezprzewodowymi w ciągu swojego życia, a łatanie klienta nadal powinno być traktowane priorytetowo.
@YLearn Taka aktualizacja już istnieje dla niektórych urządzeń: https://w1.fi/cgit/hostap/commit/?id=6f234c1e2ee1ede29f2412b7012b3345ed8e52d3 Zgadzam się jednak, oczywiście łatanie jest idealne, niezależnie od tego, jakie obejścia zostały wdrożone napunkt dostępu.
Ponieważ istnieje dziewięć CVE po stronie klienta, naprawienie pięciu z nich nie naprawia luki po stronie klienta, nawet jeśli złagodzi najgorsze z nich.
javaPhobic
2017-10-17 04:26:47 UTC
view on stackexchange narkive permalink

W odpowiedzi na pytanie, czy łatanie samego AP jest wystarczające:

Źródła: Łata WIP w 'wpa_supplicant' używana w większości dystrybucji Linuksa

Zgodnie z powyższe zatwierdzenie - wydaje się możliwe zapobieżenie atakowi poprzez łatanie tylko AP:

Ta opcja może być użyta do obejścia ataków ponownej instalacji klucza po stronie stacji (suplikanta) w przypadkach, gdy te urządzenia stacji nie można zaktualizować z jakiegoś powodu. Usuwając retransmisje, osoba atakująca nie może spowodować ponownej instalacji klucza z opóźnioną transmisją ramek. Jest to związane z lukami w zabezpieczeniach po stronie stacji CVE-2017-13077, CVE-2017-13078, CVE-2017-13079, CVE-2017-13080 i CVE-2017-13081.

Jest to jednak opcjonalne, domyślna kompilacja tego modułu może nie mieć włączonej tej opcji.

Na podstawie innych powiązanych zatwierdzeń / komentarzy wydaje się, że najlepszą opcją jest łatanie klienta.

Większość luk można uniknąć, a nie wszystkim.To samo, co łatanie klienta, zapobiega większości luk, ale nie wszystkim.
Wagde Zabit
2017-10-18 10:54:57 UTC
view on stackexchange narkive permalink

Poprawianie punktu dostępowego jest potrzebne tylko wtedy, gdy punkt dostępowy działa jak klient.

Na przykład:

  1. Jeśli obsługuje szybki roaming (802.11r).

  2. Jest częścią siatki (liścia siatki), jak w produktach Fortinet

  3. Może działać jak repeater

  4. Obsługuje ruch między stacjami

W takich przypadkach punkt dostępu również powinien zostać poprawiony.

ALE ... Poprawienie punktu dostępu złagodzi również atak na niezałatanych klientów, którzy łączą się z tym punktem dostępu (nie wysyłając wyzerowanego Msg3), więc być może będziesz musiał załatać punkt dostępu, aby chronić swoich klientów.

802.11r nie jest punktem dostępowym działającym jako klient.Dodatkowo, nawet w ruchu STA do STA, AP nadal działa jako AP dla obu klientów, nie działa jako klient w tym przypadku.
WhiteWinterWolf
2017-10-26 19:24:32 UTC
view on stackexchange narkive permalink

Mathy Vanhoef, badaczka, która odkryła lukę KRACK, a tym samym najbardziej wiarygodne źródło dostępne na ten temat, usunęła wszelkie niejasności w wywiadzie wideo dla Tech News Weekly:

Jako użytkownik domowy, jeśli zaktualizowałeś swój system Windows i urządzenia z systemem IOS, w takim przypadku powiedziałbym, że jesteś bezpieczny.

Gdy łączysz się z większym przedsiębiorstwem lub więcej sieci biznesowych, na przykład uniwersytet lub firma, która ma wiele punktów dostępowych, więc wiele miejsc, w których technologia bezprzewodowa jest nadawana, nadal może być zaletą sprzętu, którego używają.

Ale jeśli chodzi o sieć domową, jeśli tylko zaktualizujesz system Windows lub laptopy i smartfony, jesteś już bezpieczny.

Co więcej, później dodał:

Większości ataków KRACK na podatnych klientów można zapobiec, modyfikując router / punkt dostępu. Może to być nawet możliwe tylko poprzez zmiany konfiguracji AP (bez aktualizacji). Przykład: obejścia Cisco. Chociaż może to wpłynąć na niezawodność uzgadniania w niektórych skrajnych przypadkach (np. Z powolnymi klientami lub zawodnymi połączeniami).



ⓘ
To pytanie i odpowiedź zostało automatycznie przetłumaczone z języka angielskiego.Oryginalna treść jest dostępna na stackexchange, za co dziękujemy za licencję cc by-sa 3.0, w ramach której jest rozpowszechniana.
Loading...