KRACK, WPA2 वाई-फाई भेद्यता के बारे में आपको जो कुछ भी जानने की जरूरत है

अपडेट करें: Wpa supplicant (लिनक्स में वाई-फाई हैंडशेक सेट करने के लिए उपयोग की जाने वाली विधि) को अपडेट किया गया है और पहले से ही उपलब्ध है. Google ने इस सुधार को लागू कर दिया है और 6 नवंबर, 2017 के सुरक्षा अद्यतन में इसे शामिल किया जाएगा। जैसे ही यह उपलब्ध हो जाएगा Google वाईफ़ाई स्वचालित रूप से अपडेट इंस्टॉल कर देगा।

मूल लेख इस प्रकार है।

वर्षों से हम सभी वाई-फाई नेटवर्क को सुरक्षित करने के लिए WPA2 (वाई-फाई संरक्षित एक्सेस) प्रोटोकॉल पर निर्भर हैं। वह सब आज समाप्त हो गया।

सुरक्षा शोधकर्ता मैथी वन्हॉफ ने खुलासा किया है कि उन्होंने केआरके को क्या कहा है, यह एक ऐसा शोषण है जो हैंडशेक में भेद्यता पर हमला करता है WPA2 प्रोटोकॉल जिसका उपयोग आप घर पर अपने वाई-फाई और दुनिया भर के लाखों छोटे व्यवसायों की सुरक्षा के लिए करते हैं, भी।

अपडेट करें: Google का एक बयान दिया गया कगार कहते हैं कि हर वाई-फाई सक्षम डिवाइस प्रभावित होता है, एंड्रॉइड फोन का उपयोग करते हुए marshmallow (एंड्रॉइड 6.0) या उच्चतर जोखिम एक विशेष जोखिम है और शोषण के एक संस्करण के लिए कमजोर है जो यातायात में हेरफेर कर सकते हैं। पुराने फर्मवेयर पर मॉडल अन्य तरीकों से अतिसंवेदनशील होते हैं, लेकिन ट्रैफिक इंजेक्शन एक गंभीर मुद्दा है। निकट भविष्य में Google से एक सुधार की अपेक्षा करें।

डलास में कंप्यूटर और संचार सुरक्षा पर एसीएम सम्मेलन में बोलते हुए, वनहोफ ने समझाया कि यह शोषण पैकेट सूँघने, कनेक्शन अपहरण, मैलवेयर इंजेक्शन, और यहां तक ​​कि प्रोटोकॉल के डिक्रिप्शन की अनुमति दे सकता है अपने आप। उन लोगों को भेद्यता का खुलासा किया गया है, जिन्हें इस तरह की चीजों को जानने की जरूरत है एक फिक्स और यूएस-सीईआरटी (यूनाइटेड स्टेट्स कंप्यूटर इमरजेंसी रेडीनेस टीम) ने इस तैयार बुलेटिन को जारी किया है:

US-CERT वाई-फाई प्रोटेक्टेड एक्सेस II (WPA2) सिक्योरिटी प्रोटोकॉल के 4-वे हैंडशेक में कई महत्वपूर्ण प्रबंधन कमजोरियों से अवगत हो गया है। इन कमजोरियों के दोहन के प्रभाव में डिक्रिप्शन, पैकेट रीप्ले, टीसीपी कनेक्शन अपहरण, HTTP सामग्री इंजेक्शन और अन्य शामिल हैं। ध्यान दें कि प्रोटोकॉल-स्तर के मुद्दों के रूप में, मानक के अधिकांश या सभी सही कार्यान्वयन प्रभावित होंगे। CERT / CC और रिपोर्टिंग शोधकर्ता KU Leuven, 16 अक्टूबर 2017 को सार्वजनिक रूप से इन कमजोरियों का खुलासा करेंगे।

एक शोधकर्ता के अनुसार जिसे भेद्यता पर जानकारी दी गई है, यह चार-तरफ़ा हैंडशेक का दोहन करके काम करता है जिसका उपयोग यातायात को एन्क्रिप्ट करने के लिए एक कुंजी स्थापित करने के लिए किया जाता है। तीसरे चरण के दौरान, कुंजी कई बार नाराज हो सकती है। जब यह कुछ खास तरीकों से नाराज हो जाता है, तो एक क्रिप्टोग्राफिक नॉन का इस तरह से पुन: उपयोग किया जा सकता है जो एन्क्रिप्शन को पूरी तरह से कमजोर कर देता है।

मैं कैसे सुरक्षित रहूं?

ईमानदार होने के लिए, अगले कुछ दिनों तक आपके लिए सार्वजनिक विकल्पों का एक टन उपलब्ध नहीं है। हम आपको यह बताने के लिए नहीं जा रहे हैं कि यह कैसे काम करता है या कहाँ पर हमला करता है, इसके बारे में और अधिक जानकारी प्राप्त करने के लिए। लेकिन हम आपको बता सकते हैं कि जितना संभव हो उतना सुरक्षित रहने के लिए आप (और क्या करना चाहिए) कर सकते हैं।

• सार्वजनिक वाई-फाई से हर कीमत पर बचें। इसमें Google के संरक्षित वाई-फाई हॉटस्पॉट शामिल हैं जब तक कि Google अन्यथा नहीं कहता। यदि आपका कैरियर सीमा में होने पर आपके फ़ोन को वाई-फाई पर ले जाता है, तो जाएँ गोष्ठी आपके फोन को यह देखने के लिए कि क्या ऐसा होने से रोकने के लिए कोई वर्कअराउंड है।
• केवल सुरक्षित सेवाओं से कनेक्ट करें। वेब पेज जो HTTPS या किसी अन्य सुरक्षित कनेक्शन का उपयोग करते हैं, URL में HTTPS शामिल होंगे। आपको किसी भी कंपनी से संपर्क करना चाहिए, जिसकी सेवा आप उपयोग करते हैं और पूछते हैं कि क्या कनेक्शन टीएलएस 1.2 का उपयोग करके सुरक्षित है, और यदि ऐसा है तो उस सेवा के साथ आपका कनेक्शन अभी तक सुरक्षित है।
• यदि आपके पास एक सशुल्क वीपीएन सेवा है, जिस पर आपको भरोसा है कि आपको अगली सूचना तक कनेक्शन को पूर्णकालिक रूप से सक्षम करना चाहिए। किसी भी भीड़ के लिए प्रलोभन का विरोध करें और साइन-अप करें मुफ्त वीपीएन सेवा जब तक आप यह पता लगा सकते हैं कि क्या वे वेट किए गए हैं और आपके डेटा को सुरक्षित रखेंगे। अधिकांश नहीं।
• वायर्ड नेटवर्क का उपयोग करें यदि आपके राउटर और कंप्यूटर दोनों में ईथरनेट केबल में प्लग करने की जगह है। यह शोषण केवल वाई-फाई राउटर और कनेक्टेड डिवाइस के बीच 802.11 यातायात को प्रभावित करता है। ईथरनेट केबल अपेक्षाकृत सस्ते होते हैं और कारपेट के आर-पार देखा जाने वाला एक नजारा इसके लायक है। Cat6 या Cat5e स्पेक केबल के लिए देखें और प्लग इन होने के बाद किसी कॉन्फ़िगरेशन की आवश्यकता नहीं होनी चाहिए।
• अगर आप ए Chrome बुक या मैकबुक, यह USB ईथरनेट एडॉप्टर प्लग-एंड-प्ले है.
• आराम करें।

अगर मैं एक हमले वाले नेटवर्क पर हूं तो क्या हो सकता है?

यह हैक आपकी बैंकिंग जानकारी या Google पासवर्ड (या सही तरीके से सुरक्षित कनेक्शन पर कोई डेटा चोरी नहीं कर सकता है जो एंड-टू-एंड एन्क्रिप्शन का उपयोग करता है)। हालांकि एक घुसपैठिया आपके द्वारा भेजे गए डेटा को प्राप्त करने और प्राप्त करने में सक्षम हो सकता है, इसका उपयोग या यहां तक ​​कि किसी के द्वारा पढ़ा नहीं जा सकता है। आप इसे तब तक नहीं पढ़ सकते जब तक आप अपने फोन या कंप्यूटर को पहले डिक्रिप्ट और अनचाहे करने की अनुमति नहीं देते।

एक हमलावर वाई-फाई नेटवर्क पर पुनर्निर्देशित ट्रैफ़िक जैसी चीज़ों को करने में सक्षम हो सकता है या वास्तविक चीज़ के स्थान पर फर्जी डेटा भी भेज सकता है। इसका मतलब कुछ हानिरहित है जैसे नेटवर्क प्रिंटर पर गिबरीश की एक हजार प्रतियां प्रिंट करना या जानकारी के लिए वैध अनुरोध के जवाब के रूप में मैलवेयर भेजने जैसे कुछ खतरनाक फ़ाइल। अपने आप को बचाने के लिए सबसे अच्छा तरीका है कि आप वाई-फाई का उपयोग न करें जब तक कि आप अन्यथा निर्देशित न हों।

एंड्रॉइड 6.0 मार्शमैलो और नए पर चलने वाले फोन पर, KRACK भेद्यता वाई-फाई कनेक्शन को 00: 00: 00: 00: 00 के एक बेतुका आसान-से-दरार एन्क्रिप्शन कुंजी बनाने के लिए मजबूर कर सकती है। कुछ सरल होने के साथ, एक बाहरी व्यक्ति के लिए स्मार्टफोन या लैपटॉप की तरह आने वाले सभी ट्रैफ़िक को पढ़ना आसान है।

लेकिन अगर वह ट्रैफ़िक सुरक्षित HTTPS और TLS प्रोटोकॉल का उपयोग करके एन्कोडेड है (और अधिकांश वेब ट्रैफ़िक चाहिए इन दिनों), उनके पास मौजूद डेटा अंत-टू-एंड एन्क्रिप्टेड है और, भले ही इंटरसेप्ट किया गया हो, नहीं होगा पठनीय।

आपके रूटर को KRACK भेद्यता को ठीक करने के लिए पैच किया गया है?

Ubiquiti के लिए कहा गया है कि वे पहले से ही अपने उपकरणों के लिए तैनात करने के लिए एक पैच तैयार हैं, और अगर यह सच हो जाता है तो हमें जैसी कंपनियों को देखना चाहिए गूगल या सेब बहुत जल्द। अन्य, कम सुरक्षा के प्रति जागरूक कंपनियों को अधिक समय लग सकता है और कई राउटरों को कभी भी पैच दिखाई नहीं देगा। कुछ कंपनियां जो राउटर बनाती हैं वे कुछ ऐसी कंपनियां हैं जो एंड्रॉइड फोन बनाती हैं: उत्पाद का समर्थन करने की कोई भी इच्छा तब होती है जब आपका पैसा उनके बैंक तक पहुंचता है।

क्या यह वास्तव में मायने रखता है?

यह ऐसा मामला नहीं है जहां आपको प्रतिरक्षा महसूस करनी चाहिए क्योंकि आपका डेटा पर्याप्त मूल्यवान नहीं है। इस शोषण का उपयोग करने वाले अधिकांश हमले अवसरवादी होंगे। आपके भवन में रहने वाले बच्चे, छायादार वर्ण जो आस-पड़ोस के लोगों को वाई-फाई एपी और सामान्य शरारत निर्माताओं की तलाश करते हैं पहले से ही उनके आसपास वाई-फाई नेटवर्क स्कैन कर रहे हैं।

WPA2 का लंबा और फलदायी जीवन रहा है, जो आज तक एक सार्वजनिक शोषण है। यहां तय करने की उम्मीद है, या जो आगे आता है, वही आनंद ले सकता है। सुरक्षित रहें!