48

Czyżby czekała nas masowa wymiana routerów? WPA2 (prawdopodobnie) złamane

Protokół szyfrowania WPA2 jest z nami już ponad dekadę. Przez ten czas wykazywał naprawdę wysoki poziom bezpieczeństwa, znacznie wyższy niż stary, wysłużony i bardzo prosty do złamania WEP, który o zgrozo dalej jest wykorzystywany w niektórych sieciach WiFi. Okazuje się jednak, że przez pewną podatność również i WPA2 może mieć spore kłopoty.

Wszystko przez atak (KRACK) na który istnieje tzw. proof-of-concept i został on zaprezentowany na stronie poświęconej szczegółom tej metody. Okazuje się, że każdy, kto znajduje się w zasięgu sieci może złamać hasło otwierające drogę do łączności WiFi (chodziło o złamanie haseł przesyłanych w trakcie nieszyfrowanych połączeń, poprawiamy!) za pośrednictwem podatnego na atak urządzenia, przechwycić wymieniane w jej ramach dane (szczególnie te nieszyfrowane, połączenia realizowane via HTTPS w dalszym ciągu są chronione). To zdecydowanie niebezpieczna sytuacja – tym bardziej, że standard WPA2 jest niezwykle rozpowszechniony i dotyczy nie tylko routerów, ale i innych sprzętów, które wykorzystują interfejs WiFi. Możliwe jest zatem przechwycenie danych z telefonów, komputerów, routerów… właściwie trudno jest znaleźć sprzęty, które nie były w pewien sposób podatne na tego typu atak.

Oczywiście, przed tym atakiem można się ochronić i wszystko spoczywa w rękach producentów sprzętów, które za pomocą WiFi łączą się z internetem. W przypadku telefonów, tabletów, komputerów nie będzie większego problemu. O ile te sprzęty są wspierane (oraz ich oprogramowanie), poprawka powinna się pojawić już niebawem, o ile atak okaże się być tak poważny, jak to wygląda obecnie. Co z routerami? Cóż, routery to bardzo trudny temat i obawiam się o potencjalne uaktualnienia, które mogłyby problem zlikwidować.

Nowe oprogramowanie dla routera? Kiedy ostatnio je aktualizowaliście?

Istnieją producenci takich urządzeń, którzy bardzo do serca wzięli sobie kwestie bezpieczeństwa. Ja pod tym względem najlepiej wspominam sprzęty od AVM (FritzBox), które co jakiś czas oferują aktualizacje, które albo dotyczą właśnie bezpieczeństwa, albo dodają do sprzętów nowe funkcje. W przypadku ogromnej części popularnych routerów, aktualizacje albo są uciążliwe (polegają na pobraniu paczki z uaktualnieniem, wgraniu jej do routera i modlitwach w intencji powodzenia operacji), albo… po prostu ich nie ma i nie będzie. Jeżeli atak KRACK okaże się tak poważny, jak to teraz wygląda, może być spory problem z objęciem poprawkami możliwie jak najszerszej grupy użytkowników. Ba, niektórzy użytkownicy w ogóle nie dostaną żadnej aktualizacji, przez co jedynym sensownym wyjściem będzie pozbycie się podatnego urządzenia i wymienienie go na nowe. A przecież routery i komputery to nie jedyne sprzęty łączące się z sieciami WiFi. Co z telewizorami i elementami inteligentnego domu? Czym więcej jest takich gadżetów, tym bardziej sprawa robi się skomplikowana.

  • gom1

    Najpierw trzeba podpiąć się do być w zasięgu danej sieci, dopiero potem można wziąć się za „łamanie” WPA2. Na szczęście dane wysyłane via HTTPS nadal są bezpieczne. No i wystarczy łatka dla klienta, nie trzeba od razu lecieć do sklepu po nowy router.

    • O ile ktoś Ci takową łatkę wyda. ;) Wiesz ile jest takich routerów na rynku, które aktualizację widziały jedynie kilka miesięcy po premierze sprzętu? :)

    • gom1

      O ile ktoś Ci takową łatkę wyda

      Klient = stacja robocza/desktop/laptop/smartfon. Z urządzeniami IoT czy telewizorami może być różnie.

    • Chwilka, ale wiesz, że mówi się również o potrzebnych łatkach dla routerów? Z urządzeniami z Androidem może być serio różnie – zobacz ile jest takich, które dalej są w użyciu, ale ich nikt nie będzie instalował, bo skończył się okres wsparcia.

    • gom1

      Wiem, że mówi się również o routerach. Ale łatka do klienta styka. Inna sprawa jak wiele urządzeń (klientów) taką łatkę dostanie.

    • Styka, bo nie przejmiesz wszystkiego, co jest potrzebne do złamania sieci. Ale załóżmy, że do niej podpina się niezałatany klient. Co wtedy? Lepiej mieć załatanego AP-a IMHO, co załatwia sprawę raz, a dobrze.

    • gom1

      załóżmy, że do niej podpina się niezałatany klient. Co wtedy?

      To już jego problem. Tyle razy było mówione, żeby nie podpinać się do publicznych sieci ;-)

    • Mariner

      VPN nie załatwi sprawy ?

    • gom1

      VPN nie załatwi sprawy ?

      Załatwi.

    • krzysiekj

      ale w innej warstwie

    • patchworked

      Jeśli klient jest połatany, router w tym kontekście nie ma znaczenia!. Doczytaj.

      Chyba, że sam robi za klienta innej sieci.

    • AdamK

      gom1: akurat w tym ataku, można przechwytywać dane bez podpinania się do sieci którą się atakuje. Dane przesyłane przez HTTPS nie są bezpieczne, chyba że użyjesz certificate pininning, a w przeglądarkach robi to (o ile wiem) jedynie Chrome dla certyfikatów Googla.

    • gom1

      akurat w tym ataku, można przechwytywać dane bez podpinania się do sieci którą się atakuje

      Racja, poprawiłem wpis.

      Dane przesyłane przez HTTPS nie są bezpieczne

      Z3S twierdzi coś innego.

    • a

      Jak się ma dostęp do kompa użytkownika to i na upartego skróty certyfikatów w google chrome można podmienić i guzik pinning pomoże.

      Jak się nie ma dostępu do kompa użytkownika, a użytkownik nie jest debilem to https jest bezpieczne.

    • Piotr Potulski

      Atak na https wymaga albo użytkownika kretyna, co kliknie „ależ tak, chcę dać się okraść”, albo zabaw z rejestrowaniem nowych certificate authorities, podkładaniem lewych przeglądarek itp. Jeżeli masz na myśli „nie jest bezpieczne, bo NSA może złamać moje hasło do konsoli z guzikiem autodestrukcji świata” to ok – zgodzę się. Jeżeli jedynie „ktoś przechwyci moje hasło do pornhub”. to taniej wychodzi kupić dostęp (koledzy mi mówili).

    • patchworked

      O ile serwis www pozwala wyłącznie na https. Jeśli nie, to z https robisz http i nici z bezpieczeństwa.

  • AdamK

    Panowi autorzy, przeczytajcie dokładnie informacje o tym ataku. Nie ma potrzeby łatać routery, bo to jest atak na urządzenia klienckie.

    • To dlaczego podnosi się kwestię aktualizacji oprogramowania także dla routerów? :) Na KRACK i jego warianty podatne są nie tylko urządzenia klienckie.

    • Radosław

      Ale tylko jeżeli same działają jako klient.

    • Dyskretny

      Panie Szczęsny, kolejna kompromitacja w temacie na którym się nie znamy?
      Ile można? Nie masz Pan dosyć?

    • doogopis

      Weź mu zagroź że przestaniesz czytać! Załamie sie! Hue hue hue!

    • Dyskretny

      Najgorsze jest to że zaglądam tu dość rzadko i zawsze muszę trafić na artykuł tego Pana :)

  • Ehhh no i po co taki temat z tą wymianą routerów? Przecież w tekście źródłowym wyraźnie jest info o aktualizacji oprogramowania…

    • Mateusz, w naszym tekście również podnieśliśmy tę kwestię. Ale przy okazji wiemy, jak wygląda kwestia dostarczania takich uaktualnień.

  • Mariner

    Może lepiej od razu wprowadzić komunikację kwantową i nie zawracać sobie głowy kolejnym podatnym na ataki „bezpiecznym” protokołem. Splątane fotony załatwią sprawę. Chińczycy już się tym bawią.

    • Nie strzelajmy do komara z armaty. ;)

    • Mariner

      Mniejszy kaliber – VPN na urządzeniach klienckich.

    • Pytanie jak wielu klientów to zainstaluje. ;)

    • Mariner

      To już inna kwestia. W każdym razie jest to proste rozwiązanie, które można zastosować od zaraz.

    • gom1

      Szybsza będzie łatka dla systemu operacyjnego. Debian już dostał :-)

    • Piotr Potulski

      Splątanie kwantowe nie nadaje się do przesyłania informacji. Nie da się zmienić spinu takiej pary. Do szyfrowania kwantowego potrzebny jest (jak na razie) światłowód, więc w Wifi raczej nie bardzo się przyda.

  • kasownik

    W ktorym miejscu jest napisane, ze haslo moze byc zlamane? Wrecz jest pogrubione, ze atak nie pozwala odkryc hasla do sieci. Wszystko co mozna, to podsluchac komunikacje i to tylko jednej strony.

    • Zobacz naszą adnotację, skreśliliśmy nieprecyzyjne stwierdzenie. :)

  • DemonicDustBunny

    No nic, tylko czekać aż mój telefon z Androidem dostanie patcha.

    :D

  • lukczu

    Bajecznie prosto aktualizują się routery AirPort Express i AirPort Extreme.

  • ᗪ ᒍ ᗩ K ᗪ E K I E ᒪ

    openwrt już załatany, https://forum.openwrt.org/viewtopic.php?pid=366781#p366781
    I https też nie jest takie bezpieczne

    • phhh

      Posiadam Tomato, a ten też jest często aktualizowany, więc mam nadzieję, a raczej jestem przekonany, że mój router dostanie, choć młody to on nie jest. Trzeba będzie odwiedzać strone Shibby-ego.

  • Nick

    wczoraj aktualizowałem

  • aaa

    Kupując router trzeba sprawdzić czy jest kompatybilny z otwartym firmware (openwrt ddwrt itp.) wtedy z aktualizacją nie będzie problemów. Nie będzie trzeba także kupowac nowego sprzętu po takich odkryciach i to jest pewnie powód dlaczego nie wspomniano o tym oprogramowaniu w artykule.

  • doogopis

    Jeszcze żeby zaimportować taki atak do aircrack i wifi za darmo!

  • ᗪ ᒍ ᗩ K ᗪ E K I E ᒪ
  • Tomasz

    pytanie do osób rozumiejących o co chodzi. Skoro mówimy o złamaniu WPA2, to co do tego ma android i Linux wymienione w tytule filmu?

    • Adaś

      Dziurawy wpa_supplicant.

    • Tomasz

      dalej nie jestem pewien czy zrozumiałem. Router android – niebezpieczne, ale niema problemu, bo androida używa sie do oglądania kotów i głupich filmików na YT. Router -Linuks – nisza, szkoda czasu, a prawdopodobnie poprawią za tydzień. Router – windows – bezpieczne. Czy tak się sprawy mają czy dalej błądze?

    • gom1

      Czy tak się sprawy mają czy dalej błądze?

      Mniej więcej, oprócz tego, że Linuksy też są już połatane. A przynajmniej główne dystrybucje. Z Androidami jest taki kłopot, że większość sprzętów nie dostanie patcha – i tu przyda się łatka na router.

      Nie wiem jak Maki, jak Blackberry, co z Chrome OS i starszymi Windowsami.

    • Arek

      Problem jest w samym wpa2, ale odpowiednia implementacja supplicanta pozwala temu przeciwdziałać. Gdzieś czytałem, że MS już z wyprzedzeniem poprawił swoją implementację stąd informacje o problemach w linuxach i androidach.

  • Morski Morświn

    Jaki ruter polecacie bo boję się spinningu na fishingu!

  • Michał

    Ios już załatany.