当前位置: 主页 > L生活妝 >WPA2 不安全是否该推出 WPA3 了?iPhone 会被 KRACK 攻击吗 >

WPA2 不安全是否该推出 WPA3 了?iPhone 会被 KRACK 攻击吗

作者: 分类: L生活妝 发布于:2020-06-09 浏览(541)


WPA2 不安全是否该推出 WPA3 了?iPhone 会被 KRACK 攻击吗

KRACK 作者在自家网站公布了 KRACK 的原理,当然对很多人来说,并不那幺关心到底怎幺破解 WPA2 的技术,比较关心的应该还是到底该怎幺办?家里的 Wi-Fi 是否该扔掉了?针对这些后续疑问,其实 KRACK 作者已在官网一一解答,以下是他的说明。

1. WPA2 既然不安全,是否到了该换 WPA3 的时候了?

不。

这次漏洞可透过更新解决。更新之后的客户端(行动装置、笔电)依然可与没有更新的路由器端通讯,换句话说,更新之后的客户端或 AP,採用的 handshake 跟之前一样。但更新之后,可确保加密金钥只能安装在装置一次,透过这种方式,可以确保阻止 KRACK 攻击。

所以,只要更新你的装置安全更新,就可以解决 KRACK 攻击问题。

要注意的是,虽然没有更新的客户端,一样可以连上已更新的 AP 端;或是更新的客户端可与没有更新的 AP 端通讯,但是强烈建议两端都要更新,才能确保抵挡 KRACK 攻击。

2. 我该更换 Wi-Fi 密码吗?

KRACK 攻击与密码无关,换或不换密码都无法防止 KRACK 攻击。要避免只有更新手机或行动装置的安全更新,以及路由器要更新韧体。

不过,当你更新的客户端及路由器端装置韧体之后,如果你想换 Wi-Fi 密码,也不是一个坏主意。

3. 我用的是企业级路由器,也会受影响吗?

没错。

KRACK 攻击对 WPA1 及 WPA2 同样有效,对个人或是企业架构都适用,并且适用 WPA-TKIP、AES-CCMP、GCMP 等加密方式。

4. KARCK 的作者是谁?

就是网站作者本人 Mathy Vanhoef,他是比利时 KU Leuven 大学资安研究员。虽然在报告里还有合作的其他专家,不过 KRACK 实际所有工作都是由 Mathy Vanhoef 独立完成。

5. 说了这幺多,我的装置是不是会被 KRACK 攻击?

有可能。

任何使用 Wi-Fi 的装置都可能会被 KRACK 攻击。但实际上因为各种不同状况,你可能要请教原厂以得到更多资讯。

但你也不用太担心,因为要达到 KRACK 攻击,骇客必须一对一且亲自到你附近才能攻击,无法利用工具大批次入侵。这种攻击方式太没效率,对一般骇客来说看不上眼。除非你真的拥有价值连城的资料或是名人,否则应该不会有骇客用这种方式攻击你。

6. 如果我的路由器没有安全更新的消息怎幺办?

KRACK 攻击是针对四路握手协议而来,攻击的目标不是在 AP,而是在客户端。所以,也许你的路由器并不需要安全更新。但还是建议你向原厂了解进一步资讯。不过,你可以透过下列方式降低攻击路由器的可能:关闭客户端功能、将 802.11r 功能 disabling 掉。

对一般家用使用者,第一优先该做的是先更新客户端的安全更新,像笔电、智慧手机,优先权要高于路由器更新。

7. 四路握手协议已在数学上证明够安全,为什幺 KRACK 攻击会成功?

简单回答,就是目前四路握手协议无法确保金钥只安装一次。它只能确保金钥维持隐密性,以及握手过程传递的讯息并不会被伪造。

KRACK 并没有破解四路握手协议的安全性。事实上,过程中传递的加密金钥依然是安全的,以及握手协议过程中,用来确认 AP 端及客户端的身分验证性也是安全的。KRACK 并没有破解加密金钥,因此四路握手协议依然很安全。

8. 你的报告中,有些攻击看来很难在现实里实现

我们试着将 KRACK 攻击应用在不同的环境(如攻击 macOS、OpenBSD),发现大多数情况下都很容易执行。所以,我们也同意报告中某些情况的确比较不容易发生,但不要因特殊状况让你误解了 KRACK 攻击不可能在现实中用到。

9. 如果攻击者可以达成中间人攻击,为什幺不在「中间人」时就解密封包?

要实现中间人攻击,他必须要在实际的 Wi-Fi 网路範围,并与受害者在同个网域。

总之,虽然可让骇客成为中间人攻击的攻击者,但无法让他解密封包,只能让他延迟、遮蔽或重送加密封包。因此,当他还是「中间人」时无法读取封包内容。这个「中间人」过程,只是让他得以做到 KRACK 攻击,当他实施攻击,金钥重複安装,封包才可能被解密。

10. 我该暂时回去使用 WEP 加密协议,直到有更新出来吗?

千万不要。

WEP 更不安全,请继续使用 WPA2。

11. 为什幺你在模拟攻击影片中,要用 match.com 示範?

使用者在 match.com 分享了很多个人资讯,所以这个範例可让大家了解攻击者可获得多敏感的资料。我们也希望透过影片让更多人知道,他们在约会网站登录的所有资讯都可能被收集。

12. Wi-Fi 标準是否也该更新,以因应这类型的攻击?

是。未来应该更新因应最新的状况,并且向下相容旧版(现在使用的)的 WPA2。

13. 与其他 WPA2 攻击比起来,这次的攻击有何不同?

这是首次不依靠密码对 WPA2 协议进行的攻击。

其他 WPA2 攻击主要利用 WPS 漏洞,或是暴力密码破解法。没有一个攻击法是针对四路握手协议。KRACK 攻击是针对 WPA2 加密协议本身攻击的。

14. 讲真的,你靠这次漏洞赚了多少钱?

我还没有申请任何漏洞奖金,因此我没有收到任何一笔奖金。

附加题:既然 KRACK 网站说可以攻击 Android 与 Linux,那 iPhone 安全吗?

这也是很多网友会问的问题,官网并没有针对 iPhone 表示会不会被攻击。不过,其实只要用到 WPA 机制,都会受影响,当然包含 iPhone 跟 Mac。

根据 MacRumors 报导,苹果官方回应记者的是,苹果已针对 KRACK 攻击推出更新,这也表明 KRACK 会影响的装置包括 iOS、tvOS、watchOS、macOS 等系统。