WiFi曝出重大安全漏洞！一文教你認識它，普通用戶要如何防範？

文小浪

研究人員最近發現了一項漏洞，攻擊者可以藉此攔截Wi-Fi接入點與電腦或移動設備之間傳輸的敏感數據，甚至也包括加密數據。

這項漏洞名為KRACK，它會影響現代Wi-Fi設備中廣泛使用的WPA2安全協議。該漏洞由比利時魯汶大學的馬西·范霍夫（Mathy Vanhoef）發現，他表示，在某些案例中，黑客可以利用KRACK漏洞向網站中植入勒索軟體。

到底是什麼樣的漏洞？

KRACK是「密鑰重裝攻擊」（Key Reinstallation Attack）的縮寫，攻擊者會重複使用客戶端設備加入Wi-Fi網路時提供的一次性密鑰，通過這種方法破解接入點與客戶端設備之間交換的信息。這有可能導致信用卡、聊天信息和密碼泄露。

計算機安全學者馬蒂·凡赫爾夫（Mathy Vanhoef）發現了漏洞，他說漏洞存在於四路握手（four-way handshake）機制中，四路握手允許擁有預共享密碼的新設備加入網路。

范霍夫在網站上描述了攻擊流程：

當一台設備加入一個受保護的Wi-Fi網路時，一個名為四向握手的流程便會發生。這種「握手」會確保客戶端與接入點都能擁有正確的登錄信息，並生成一個新的加密密鑰來保護網路流量。

這個加密密鑰會在四向握手的第三步安裝，但如果接入點認為消息丟失，有時會重複發送相同的密鑰。范霍夫的研究發現，攻擊者其實可以迫使接入點安裝相同的加密密鑰，這樣一來，入侵者便可藉此攻擊加密協議，並破解數據。

在最糟糕的情況下，攻擊者可以利用漏洞從WPA2設備破譯網路流量、劫持鏈接、將內容注入流量中。換言之，攻擊者通過漏洞可以獲得一個萬能密鑰，不需要密碼就可以訪問任何WAP2網路。一旦拿到密鑰，他們就可以竊聽你的網路信息。

影響對象

范霍夫警告稱，任何支持Wi-Fi的設備都有可能受到KRACK漏洞的影響，但Linux和Android 6.0及以上版本的操作系統面臨的風險特別大。這類設備目前佔到Android設備總量的40%以上。

范霍夫通過一個概念驗證演示了如何發動KRACK攻擊。但他在網站上警告稱，目前無法確定是否已經有人發起了這種攻擊。

各大企業是怎樣應對的？

微軟

微軟於10月10日發布安全補丁，使用Windows Update的客戶可以使用補丁，自動防衛。我們及時更新，保護客戶，作為一個負責任的合作夥伴，我們沒有披露信息，直到廠商開發並發布補丁。

蘋果iOS和Mac

蘋果證實iOS、MacOS、WatchOS、TVOS有一個修復補丁，在未來幾周內就會通過軟體升級的形式提供給客戶。

谷歌移動/谷歌Chromecast/ Home/ WiFi

我們已經知道問題的存在，未來幾周會給任何受影響的設備打上補丁。

亞馬遜Echo、FireTV和Kindle

我們的設備是否存在這樣的漏洞？公司正在評估，如果有必要就會發布補丁。

Linksys/Belkin

Linksys/Belkin和Wemo已經知道WAP漏洞的存在。安全團隊正在核查細節信息，會根據情況提供指導意義。我們一直將客戶放在第一位，會在安全諮詢頁面發布指導意見，告訴客戶如何升級產品，如果需要就能升級。

Netgear

最近安全漏洞KRACK曝光，Netgear已經知道，KRACK可以利用WPA2安全漏洞發起攻擊。Netgear已經為多款產品發布修復程序，正在為其它產品開發補丁。你可以訪問我們的安全諮詢頁面進行升級。

Netgear高度重視安全問題，不斷監控自己的產品，及時了解最新威脅。對於緊急安全問題，我們會防預而不是事後採取行動，這是Netgear的基本信念。

為了保護用戶，Netgear公開發布修復程序之後才披露漏洞的存在，沒有提到漏洞的具體信息。一旦有了修復程序，Netgear會通過「Netgear產品安全」頁面披露漏洞。

Eero

我們已經知道WAP2安全協議存在KRACK漏洞。安全團隊正在尋找解決方案，今天晚些時候就會公布更多信息。我們打造了雲系統，針對此種情況可以發布遠程更新程序，確保所有客戶及時獲得更新軟體，自己不需要採取任何動作。

英特爾

ICASI和CERT CC已經通知英特爾，說WPA2標準協議存在漏洞。英特爾是ICASI的成員，為「協調的漏洞披露（Coordinated Vulnerability Disclosure，CVD）」貢獻了自己的力量。

英特爾正在與客戶、設備製造商合作，通過固件和軟體更新的方式應對漏洞。如果想獲得更多信息，可以訪問英特爾安全諮詢頁面。

Nest

我們已經知道漏洞的存在，未來幾周將會為Nest產品推出補丁。

飛利浦Hue

KRACK攻擊利用了WiFi協議。我們建議客戶使用安全WiFi密碼，在手機、計算機及其它WiFi設備上最新補丁，防範此類攻擊。飛利浦Hue本身並不直接支持WiFi，因此不需要防範補丁。還有，我們的雲帳戶API可以用HTTPS進行保護，增強安全，這是一個額外的安全層，不會受到KRACK攻擊的影響。

Roost

Roost接收或者發送的數據流都用最新的SSL/TLS加密技術進行端到端加密。我們認為自己的設備沒有風險。建議用戶聽從WiFi Alliance的建議，在Access點使用WiFi加密，安裝最新的軟體補丁。

暫時沒有發表評論

谷歌Chromebook

三星移動、三星電視、三星家電

思科

D-Link/TP-Link/Verizon/T-Mobile/Sprint/Ecobee/Nvidia

AMD/August/Honeywell/ADT/Comcast/AT&T/Spectrum/Vivint/Lutron/聯想/戴爾/Roku/LG電子/LG移動/LG家電/通用電氣

Kwikset/Yale/Schlage/Rachio/iHome/伊萊克斯/Frigidaire/Netatmo/Control4

普通用戶該如何防範？

為了保護自己免受KRACK攻擊，應該把智能手機、平板電腦和筆記本電腦等Wi-Fi設備升級到最新的版本。如果有可能，還應該更新路由器固件。

微軟已經發布了安全更新來解決這一問題。Wi-Fi聯盟也表示，各大平台提供商已經開始部署相應的補丁。

向上滑動

相關業務聯繫浪小編

sinatechnews

新浪科技微博

新浪科技

你與新浪科技的距離

只有長按識別的0.5秒

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！

本站內容充實豐富，博大精深，小編精選每日熱門資訊，隨時更新，點擊「搶先收到最新資訊」瀏覽吧！

請您繼續閱讀更多來自 新浪科技 的精彩文章: