un blog de Radu Dumitru

►► canalele mele de YouTube: youtube.com/RaduDumitru (personal) și youtube.com/NwraduBlog (tech) ◄◄

Rețelele wifi au o vulnerabilitate serioasă denumită KRACK

16 Oct 2017  ·

TEHNOLOGIE  ·

26 comentarii

Una dintre cele mai serioase vulnerabilități ale rețelelor wireless a fost detaliată astăzi, având numele KRACK, un acronim de la key reinstallation attack. Vor trebui patchuite toate routerele.

Pe scurt, un atacator poate decripta datele trimise între laptopul sau telefonul tău și routerul wireless la care este conectat, iar acesta date i-ar putea arăta parolele tale, site-urile pe care intri, datele cardului bancar șamd.

Semnalele wifi emise de telefoane și calculatoare către router și viceversa circulă libere și pot fi interceptate de oricine cu un program tip sniffer. Ele sunt însă criptate folosind acel protocol WPA2 și parola introdusă la conectarea la router. Cel care a descoperit vulnerabilitățile numite KRACK arată că aceste semnale pot fi decriptate chiar și fără a cunoaște parola rețelei routerului și fără a fi conectat la acesta. Cu alte cuvinte, eu aș putea afla cam ce face vecinul meu pe Internet.

Momentan situația nu-i atât de rea precum ați crede. Nu oricine e capabil de astfel de atacuri, iar majoritatea site-urilor importante folosesc oricum comunicație criptată suplimentar prin HTTPS. După cum spune autorul KRACK, și https are vulnerabilitățile sale, adică un hacker priceput nu va fi oprit de acest protocol, dar acum nu începeți să vă speriați de vecini sau cine o mai fi în zona de acoperire a rețelei voastre wireless, că probabil nu e cazul.

Nu intru în mari detalii despre cum funcționează această vulnerabilitate. Pe scurt, creează o clonă a unei rețele wifi reale și apoi dispozitivele, prin această vulnerabilitate din standardul 802.11, sunt păcălite să se conecteze totuși la rețeaua clonă, deși nu ar trebui să facă asta. Atacatorul are grijă ca traficul ce trece prin rețeaua clonată să meargă apoi spre Internet pentru ca victima să nu sesizeze ceva în neregulă. Întreg traficul trece însă prin rețeaua atacatorului și folosește o cheie cunoscută de acesta, adică poate decripta traficul.

Cum ar fi, e similară cu clonarea de celule GSM (am explicat-o aici) pe care se bazează majoritatea serviciilor de informații pentru a intercepta apelurile mobile, un soi de atac denumit generic man-in-the-middle. Aflați mai multe pe krackattacks.com, cu tot cu demo.

Acum rămâne să vedem în ce măsură producătorii de routere vor scoate update-uri de firmware care să rezolve această vulnerabilitate. Fiind o “gaură” chiar în standardul wifi de securizare a conexiunii, trebuie astupată la nivel de router, că-i cel mai simplu.

Nu vă speriați de pomană. Sunt mici riscurile să vă hackuiască cineva fix pe voi. Dacă însă vă temeți de KRACK (poate sunteți o femeie superbă și credeți că vecinul ciudat vrea să vă spargă conturile sau poate sunteți o firmă și vă temeți de spionaj din partea concurenței), iată câteva metode de a micșora riscul:

  1. folosiți conexiunea mobilă de date pe telefon, nu wireless-ul casei.
  2. modificați setările routerului pentru a-i reduce puterea de emisie, astfel încât să acopere doar casa voastră, nu și în plus.
  3. verificați site-ul producătorului routerului pentru un update de firmware (nu chiar acum… va dura asta, posibil chiar să nu se facă niciodată).
  4. folosiți autentificare dublă pe serviciile importante (ca la bancă, parolă și confirmare pe SMS). Majoritatea permit asta.

Apropo de primul sfat, evitați să faceți plăți cu cardul de pe rețele wireless publice, de exemplu prin cafenele sau magazine. După cum observați și din KRACK, goana este ca cineva să aibă acces la datele ce trec prin rețeaua wifi. Cu un hotspot public nu poți ști niciodată cine întreține acel router și dacă nu folosește un sniffer pe el.

    26 comentarii

  1. Sau folositi VPN-ul.

      (Citează)

  2. Corectează, te rog, “nu poți știi” cu “nu poți ști”.

      (Citează)

  3. Având în vedere ca e o problemă din constituția protocolului, nu vad exact ce patch aștepți :)

    Cea mai grava chestie mi se pare acest lucru:

    “It might also mean it’s possible to forge Dynamic Host Configuration Protocol settings, opening the door to hacks involving users’ domain name service.”

    Deci, suplimentar as mai recomanda:

    – wireless sa fie WPA2 AES (nu TKIP car este cel mai vulnerabil)
    – daca se poate IP-uri statice pe wireless cu DNS_uri externe (ex. Google)

    Altfel, așteptăm următoarea versiune de protocol :-)

      (Citează)

    • Cativa producatori au facut deja release la fix-uri pt problema (ubiquiti, microtik…etc). Nu stiu exact in ce consta fix-ul dar, aparent, cel putin in cazul ubiquiti, cei care au descoperit problema, au confirmat ca e fixat.

        (Citează)

    • Nu văd cum ar ajuta IP-urile statice și DNS-urile Google. Dacă tu te conectezi de fapt la o rețea clonată, nu la routerul tău, nu mai contează ce setări aveai în acesta.

        (Citează)

  4. Prin 2010 citeam că a fost spartă criptarea de la 3g. Nu sunt un connoisseur, dar mi s-a ridicat părul pe ceafă la vremea aceea.
    Ce sa zic, nu am mai auzit despre asta de atunci.

      (Citează)

  5. Ia sa vedem la noi in piata care producator anunta primul ca a rezolvat problema.

      (Citează)

  6. Deci ethernet :D

      (Citează)

    • Paul Zapodeanu

      20/10/2017 la 4:52 PM

      Deci nu, ca acolo nu exista criptare deloc, si posibilitati de interceptare gramada (arp spoofing, dhcp spoofing, dns spoofing, cam table overflow attack, etc, etc).

        (Citează)

  7. “acum nu începeți să vă speriați de vecini”

    Nu o sa incep tocmai acum sa nu ma sperii de vecini.

      (Citează)

  8. ma bucur ca nu indemni la panica absoluta in cazul asta, astept articole pe realitatea ca TREBUIE SA STI ASTA ACUM! NU MAI FOLOSI WIFI

      (Citează)

    • Asta pentru că eu, spre deosebire de mulți alții, sunt conștient că pe 99,9999% dintre oameni nu-i urmăresc hackerii ca să-i hăcuiască imediat ce apare o vulnerabilitate.

      Acesta este hacking targetat, puțin periculos. Cel periculos este ăla centralizat, când se hăcuiește site-ul unuia de-a adunat cardurile sau datele a mii de oameni.

        (Citează)

  9. Windows si iOS nu sunt afectate pentru ca au o protectie de a nu trimite din nou al treilea hand shake in caz ca apare o problema, asa ca lista se limiteaza mult.

      (Citează)

  10. “2. modificați setările routerului pentru a-i reduce puterea de emisie, astfel încât să acopere doar casa voastră, nu și în plus.”
    Nu te ajuta cu nimic, atacul se bazeaza pe emularea unei retele cu ESSID identic.

    Singura solutie este folosirea unui VPN pentru accesarea via WIFI a informatiilor/serviciilor importante…

      (Citează)

  11. Vlad:
    Nu are nici o legatura VPN-ul :) Pachetele sunt interceptate inainte sa ajunga la VPN.

    toți specialiștii recomanda VPN -ul pentru problema asta dar Vlad expertul NSA, SRI, MI6 și Mossad știe mai bine

      (Citează)

  12. Ubiquity au facut patch in aceeasi zi. Folosesc AmpliFi HD.

      (Citează)

  13. Paul Zapodeanu

    20/10/2017 la 4:50 PM

    Pari sa sugerezi ca daca stii parola SSID-ului poti decripta traficul altor utilizatori ai acelei retele.
    Fals – acea parola e folosita pentru negocierea unor parametri de criptare pentru fiecare sesiune, parametri cunoscuti doar de AP si de client, si imposibil de dedus pentru cineva care stie doar parola (PSK-ul in termeni tehnici). Evident administratorul AP-ului ar avea access la acesti parametri, dar asta e un nivel mult mai ridicat de access decat un amarat care stie psk-ul.

    Criptarea datelor intre client si AP nu te ajuta foarte mult, ele sunt tot clear-text (la nivel TCP) dupa ce AP-ul le trimite mai departe pe sarma. Protectia reala vine odata cu criptarea la nivel de aplicatie (HTTPS) care asigura o comunicare secure end to end.

      (Citează)

    Alătură-te discuției, lasă un mesaj

    E-mail-ul nu va fi publicat. Fără înjurături și cuvinte grele, că vorbim prietenește aici. Gândiți-vă de două ori înainte de a publica. Nu o luați pe arătură doar pentru că aveți un monitor în față și nu o persoană reală.

    Apăsați pe Citează pentru a cita întreg comentariul cuiva sau selectați întâi anumite cuvinte și apăsați apoi pe Citează pentru a le prelua doar pe acelea. Link-urile către alte site-uri, dar care au legătură cu subiectul discuției, sunt ok.


    Prin trimiterea comentariului acceptați politica de confidențialitate a site-ului.



    Vreți un avatar în comentarii? Mergeți pe gravatar.com (un serviciu Wordpress) și asociați o imagine cu adresa de email cu care comentați.

    Dacă ați bifat să fiți anunțați prin email de noi comentarii sau posturi, veți primi inițial un email de confirmare. Dacă nu validați acolo alegerea, nu se va activa sistemul și după un timp nu veți mai primi nici alte emailuri

    Comentariile nu se pot edita ulterior, așa că verificați ce ați scris. Dacă vreți să mai adăugați ceva, lăsați un nou comentariu.

sus