Ερευνητές θα αποκαλύψουν σήμερα το exploit KRACK που παραβιάζει το WPA2

[nnn]

Η προγραμματισμένη ανακοίνωση από ερευνητές για την αποκάλυψη λεπτομερειών, ενός νέου exploit με την ονομασία KRACK, που εκμεταλλεύεται ευπάθειες στην ασφάλεια των δικτύων WiFI, οδήγησε την United States Computer Emergency Readiness Team (US-CERT) να εκδόσει την παρακάτω ανακοίνωση.

US-CERT has become aware of several key management vulnerabilities in the 4-way handshake of the Wi-Fi Protected Access II (WPA2) security protocol. The impact of exploiting these vulnerabilities includes decryption, packet replay, TCP connection hijacking, HTTP content injection, and others. Note that as protocol-level issues, most or all correct implementations of the standard will be affected. The CERT/CC and the reporting researcher KU Leuven, will be publicly disclosing these vulnerabilities on 16 October 2017.

Το KRACK κάνει χρήση πολλαπλών κενών στην διαχείριση των κλειδιών στο πρωτόκολλο WPA2, δίνοντας την δυνατότητα να υποκλαπεί η πληροφορία που μεταδίδεται μεταξύ των υπολογιστών και του Wireless access point. Μέχρι την αανκοίνωση των ερευνητών -αργότερα σήμερα- και την επίσημη παρουσίαση των ευπαθειών την 1η Νοεμβρίου, δεν είναι γνωστές περισσότερες λεπτομέρειες.

Πηγή : The Verge

Περισσότερες πληροφορίες από το Arstechnica

[Revolution]

Το χειρότερο είναι αυτό

Note that as protocol-level issues, most or all correct implementations of the standard will be affected

[nnn]

Και πες πως βγαίνει patch, πόσα routers θα το πάρουν ?

[sdikr]

Και πες πως βγαίνει patch, πόσα routers θα το πάρουν ?

Νομίζω η σωστή σειρά είναι, πόσα router θα πάρουν οι χρήστες.

Οπότε wep Οχι, wpa απλό όχι, wpa2 πάλι όχι.....

[konig]

wardriving is going to become cool again

[xhaos]

oh f@ck a duck

[Tsene]

Δέκα CVEs!
Άουτς

- - - Updated - - -

[dimitri_ns]

Νομίζω η σωστή σειρά είναι, πόσα router θα πάρουν οι χρήστες.

Οπότε wep Οχι, wpa απλό όχι, wpa2 πάλι όχι.....

Κάτι ήξερε ο Χρήστος που με φώναξε να του κλείσω το wifi μην μπεί κανένας παιδεραστής

[Φιλόσοφος_Στ@ρχίδας]

Από το draft paper τους: https://papers.mathyvanhoef.com/ccs2017.pdf
AES-CCMP: "an adversary can replay and decrypt (but not forge) packets. This makes it possible to hijack TCP streams and inject malicious data into them"
TKIP: "packets can be replayed, decrypted, and forged."

Οπότε AES για encryption, VPN και αυτό πάλι με φειδώ

[ferongr]

Και πες πως βγαίνει patch, πόσα routers θα το πάρουν ?

Νομίζω η σωστή σειρά είναι, πόσα router θα πάρουν οι χρήστες.

Οπότε wep Οχι, wpa απλό όχι, wpa2 πάλι όχι.....

Our main attack is against the 4-way handshake, and does not exploit access points, but instead targets clients. So it might be that your router does not require security updates. We strongly advise you to contact your vendor for more details. In general though, you can try to mitigate attacks against routers and access points by disabling client functionality (which is for example used in repeater modes) and disabling 802.11r (fast roaming). For ordinary home users, your priority should be updating clients such as laptops and smartphones.

Από το website. Οπότε εφόσον δεν έχεις 802.11r στο access point η repeater, δεν μπορείς να βελτιώσεις κάτι από αυτή τη μεριά.

[nnn]

Firmware patch status

Desktop

Windows

Microsoft has told some media outlets that it has "issued a patch" without stating which one exactly. It's unclear what devices are affected (or not) at this point, but a formal statement should come "later today."
macOS

No known fix or patches announced and it's unclear what devices are affected (or not) until Apple makes a statement on this. So far, they've said nothing.
Linux

A patch is already available upstream and Debian-based builds can install it now. OpenBSD was patched all the way back in July.
Mobile

Android

Android devices running 6.0 and above are affected.
Google has officially issued a fix and says devices with a security patch level of November 6 2017 or later are protected against these vulnerabilities.
It's unclear when this patch will be released, however.
iOS

No known fix or patches announced, however it's reported that iOS is generally "safe" from this attack and it has limited impact for iOS devices.
Unclear what devices are affected until Apple makes a statement.
WiFi hardware

Google WiFi/OnHub: Updates for OnHub / Google Wifi will install automatically once available, but Google wasn't clear when this would be.
Ubiquiti: A fix for UniFi access points and routers hit stable this morning.
Microtik: RouterOS v6.39.3, v6.40.4, v6.41rc onwards address the issue.
Meraki: Fixed with Meraki 24.11 and 25.7
Aruba: A fix for ArubaOS is already available and Aruba have issued a security bulletin.
FortiNet: FortiAP 5.6.1 addresses the issue.
AVM: Aware of the issue but will only issue an update "if necessary."
The WiFi standard: a fix was issued for vendors to use, but doesn't apply to end-user devices

https://char.gd/blog/2017/wifi-has-b...ready-fixed-it

- - - Updated - - -

http://www.kb.cert.org/vuls/byvendor...&SearchOrder=4

[SfH]

Βρήκα μια καλύτερη συλλογή εδώ . Οι εξελίξεις βέβαια είναι γρήγορες.

[yyy]

Από όσα διάβασα, δε φαίνεται να αφορά μόνο τα routers, αλλά και τα OS στις συσκευές (ΗΥ, smartphones κπλ). Το linux mint μου έβγαλε πριν λίγο wpa/wpa2 security update! Δεν βρήκα κάποια αναφορά με το αν σχετίζεται με το συγκεκριμένο θέμα ή όχι, απλά το αναφέρω...

(πρόλαβε ο nnn και κάλυψε το θέμα )

[galotzas]

Antergos (arch)

upgraded wpa_supplicant (1:2.6-8 -> 1:2.6-11)

[sotirisko]

Άραγε επηρεάζονται και συσκευές χωρίς λειτουργικό σύστημα αλλά με δυνατότητες ασύρματης δικτύωσης όπως π.χ. τα Arduino ή και IoT συσκευές όπως έξυπνες ζυγαριές;