KRACK擊破WPA2防護,5招自保提升Wi-Fi安全性
日前比利時KU Leuven大學的資安研究員Mathy Vanhoef先生發表了<a href="https://papers.mathyvanhoef.com/ccs2017.pdf">Key Reinstallation Attacks :Forcing Nonce Reuse in WPA2</a>論文,內容指出透過WPA 2無線網路加密通訊協定的漏洞,在建立無線網路前的四路交握(Four-Way Handshake)過程中侵入連線,而我們又該如何保障自身安全呢?<h2>Wi-Fi聯盟:尚未發現惡意攻擊</h2> <p>我們先前已經介紹過KRACK的<a href="https://www.techbang.com/posts/54483-wpa2">攻擊方式</a>,以及<a href="https://www.techbang.com/posts/54497-krack-authors-in-person-13-qa-quick-responses-to-your-questions">14個相關的快速QA</a>,,不清楚KRACK的讀者可以先看看這2篇文章瞭解狀況。</p> <p>針對這個資安漏洞,Wi-Fi聯盟發出相關<a href="https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-security-update">聲明</a>,表示目前尚未發現利用這個漏洞進行攻擊的惡意事件,而Wi-Fi聯盟也著手測試漏洞,並向聯盟成員廠商提供偵測工具,以求進一步提升無線網路連線的安全性。所幸Vanhoef先生也指出,由於KRACK攻擊者需要親自到無線網路存取點附近,並透過繁複的手續才能完成,所以一般人不容意成為目標。</p> <p>另一方面資安廠商Trend Micro也提出了下列5個增加使用無線網路安全性的方式給大家參考,這些方式除了對KRACK有效之外,平時也能提升安全性。</p> <p style="text-align: center;"><img style="display: inline-block;" src="https://cdn1-techbang.pixfs.net/system/images/417289/original/0abd094d7687cab04a3182d07a64389e.png?1509090447" alt="" width="520" height="462" /><label class="figuresaid" style="width: 520px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: -5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>KRACK攻擊是透過WPA 2四路交握過程侵入連線。</label></p> <h2>1. 盡可能讓無線網路裝置、存取點的韌體隨時保持更新</h2> <p>Vanhoef先生提到由於KRACK攻擊是針對四路交握的過程進行攻擊,因此從原理來看,只要將裝置端(如智慧型手機、筆記型電腦)的韌體更新,就能解決KRACK攻擊的問題,如果廠商尚未提供更新檔,但又擔心資安問題的話,先改用有線網路也是個辦法。</p> <p style="text-align: center;"><img style="display: inline-block;" src="https://cdn0-techbang.pixfs.net/system/images/417290/original/720bbf8af39186a2f07eef654c4619ae.jpg?1509090448" alt="" width="720" height="267" /><label class="figuresaid" style="width: 720px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: -5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>更新韌體是避免KRACK攻擊的最好辦法。</label></p> <h2>2. 盡量隱藏無線網路識別碼(SSID)</h2> <p>另一方面由於無線網路不同於傳統有現網路,攻擊者不需連接實體線路就能進行攻擊,所以受害者往往比較難查覺已經被侵入。</p> <p>透過隱藏SSID,能夠減少無線網路被發現的可能性,雖然說這不是個萬無一失的作法,但多少能降低被入侵的機率。</p> <p style="text-align: center;"><img style="display: inline-block;" src="https://cdn0-techbang.pixfs.net/system/images/417291/original/08aa34ce77f1c64959f5ba3b1d8e153a.jpg?1509090448" alt="" width="720" height="396" /><label class="figuresaid" style="width: 720px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: -5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>隱藏SSID能讓一般人搜尋不到無線網路存取點,避免成為目標。</label></p> <h2>3. 使用防火牆</h2> <p>萬一不幸無線網路遭到入侵,至少能夠藉由防火牆隔離攻擊者,避免受害網路中的電腦暴露在風險之下,降低造成的整體傷害。</p> <p style="text-align: center;"><img style="display: inline-block;" src="https://cdn0-techbang.pixfs.net/system/images/417292/original/21f105bf000f8f6d9a01d478f8b66b24.jpg?1509090450" alt="" width="705" height="503" /><label class="figuresaid" style="width: 705px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: -5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>防火牆能夠將攻擊者隔離在電腦之外。</label></p> <h2>4. 使用虛擬私人網路(VPN)</h2> <p>VPN是種特殊的網路通訊方式,它能在如網際網路等公用網路架構下,傳送私人內部網路資訊,簡單地說就是讓分隔兩地的電腦,也能夠像區域網路一樣運作。</p> <p>VPN的另一個特色就是能夠透過穿隧協議(Tunneling Protocol),將資料加密後再傳送出去,如此一來就能在不安全網路上提供一個通訊管道,達到保密與避免被竊聽的風險。</p> <p style="text-align: center;"><img style="display: inline-block;" src="https://cdn0-techbang.pixfs.net/system/images/417293/original/e4c0bbd2d423447ff4b53c56b78136ce.jpg?1509090451" alt="" width="720" height="509" /><label class="figuresaid" style="width: 720px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: -5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>VPN能夠透過加密連線增加保障。(圖片來源:<a href="https://commons.wikimedia.org/wiki/File:Virtual_Private_Network_overview.svg">維基百科</a>,本圖採用創用CC姓名標示-相同方式分享,作者為Ludovic.ferre)</label></p> <h2>5. 定期更換無線網路存取點密碼</h2> <p>如果可以的話,最好也能定期更換密碼,雖然說KRACK的攻擊過程並不會牽涉到密碼,但是仍然有許多其他攻擊方式是破解密碼之後才能入侵網路,所以無線網路存取點的密碼最好也能像其他網路服務、金融卡密碼一樣,定期進行更換,以免成為攻擊目標。</p> <p style="text-align: center;"><img style="display: inline-block;" src="https://cdn2-techbang.pixfs.net/system/images/417294/original/d0d4814b7c9081eba589d1cc18224952.jpg?1509090452" alt="" width="720" height="388" /><label class="figuresaid" style="width: 720px; display: block; text-align: left; color: #555; line-height: 22px; padding: 0 3px 22px 3px; border-bottom: 2px solid #f0f0f0; margin: -5px auto 1rem auto;"><span style="color: #2382c5; padding-right: 5px;"> ▲ </span>定期更換密碼是資安防護很重要的一環。</label></p><a href="http://www.facebook.com/TKbang">加入T客邦Facebook粉絲團</a><img src="http://feeds.feedburner.com/~r/techbang/~4/2d5IsqOVL5g" height="1" width="1" alt=""/>