Недавно исследователи обнаружили критический недостаток, влияющий на все защищенные Wi-Fi устройства посредством WPA2. Это не может быть устранено только путем вмешательства пользователя или изменения пароля или даже с использованием веб-сайта HTTPS; это недостаток, лежащий в основе самой схемы защиты WPA, что означает, злоумышленник может перехватывать каждую точку трафика, которую ваше устройство отправляет по Wi-Fi, включая пароли, данные кредитной карты, изображения — всю сокровищницу. Более того, злоумышленники, использующие этот метод, могут вводить вредоносное ПО. Новый метод атаки — названный KRACK Key Reinstallation Attack — в основном заставляет код шифрования вашего устройства по умолчанию использовать известный ключ открытым текстом, являющийся тривиальным для повторного использования хакерами.
Добавляя к паранойе, это, в основном, аппаратная и программно-агностическая атака — она эффективна против устройств под управлением Android, Linux и OpenBSD и в меньшей степени MacOS и Windows, а также MediaTek Linksys. HTTPS тоже не лучшее решение, просто потому, что реализация какого-то веб-сайта не самая лучшая, и есть сценарии (такие как SSLScript), заставляющие веб-сайт понизить его подключение до простой HTTP-ссылки, через которую может проникнуть атакующий.
На вопрос, связано ли это с необходимостью в использовании переработанного протокола безопасности — ala WPA3 — один из основных исследователей, ответственных за освещение этой проблемы, ответил, что «Нет, к счастью [WPA2] реализация может быть исправлена с обратной совместимостью. Исправленный клиент может по-прежнему взаимодействовать с непроверенной точкой доступа и наоборот. Другими словами, исправленный клиент или точки доступа отправляют точно такие же сообщения подтверждения, что и раньше, и точно в те же моменты времени. Тем не менее, обновления для системы безопасности гарантируют, что ключ будет установлен только один раз, предотвращая наши атаки. Поэтому, обязательно, обновите свои устройства, как только появятся обновления для системы безопасности».
Это видео, где исследователи показывают, как быстро взломать Android-устройство через этот недостаток:
US-CERT (United States Computer Emergency Readiness Team) уже признала этот вопрос, предупредив компании и государственные службы. Следуйте приведенным ниже источникам, освещающих атаку KRACK исследователями и PDF-отчёт, идущий о одной из ссылок, помогающим пролить свет на эту уязвимость. Тем временем обязательно проверьте обновления устройств для всех ваших точек доступа в Интернет.
С уважением, проект procompsoft.ru
