257      微軟  windows

WiFi爆重大安全漏洞！iOS、安卓、Windows 等所有無線設備都不安全了

據報道，康眾智防網絡安全實驗室發現了 WiFi 設備的安全協議存在漏洞。這種漏洞能夠影響到許多操作係統和設備，其中就包含了安卓、Linux、Apple、Windows、OpenBSD、MediaTek 和 Linksys 等係統。

無論你在家還是在公眾場合，隻要連接 WiFi ，都有可能會被入侵。

一旦被攻擊用戶的信用卡號碼和密碼、訊息、電郵及照片等不再保密。黑客甚至可以將勒索軟件和其它惡意軟件插入到用戶瀏覽的網站中。

漏洞名叫“KRACK”，也就是“Key Reinstallation Attack”（密鑰重安裝攻擊）的縮寫，它曝露了WPA2的一個基本漏洞（使用範圍最廣的 Wi-Fi 網絡保護協議）。攻擊者會重複使用客戶端設備加入 Wi-Fi 網絡時提供的一次性密鑰，通過這種方法破解接入點與客戶端設備之間交換的信息。

何為 WPA2？

WPA，全稱為 Wi-Fi Protected Access（保護無線電腦網絡安全係統），有 WPA 和 WPA2 兩個標準，是一種保護無線網絡安全的加密協議。而 WPA2 是基於 WPA 的一種新的加密方式，支持 AES 加密，新型的網卡、AP 都支持 WPA2 加密，但現在已經被黑客破解。攻擊者如今可讀取通過 WAP2 保護的任何無線網絡（諸如路由器）的所有信息。

攻擊原理

範霍夫在網站上描述了攻擊流程：當一台設備加入一個受保護的Wi-Fi網絡時，一個名為四向握手的流程便會發生。這種“握手”會確保客戶端與接入點都能擁有正確的登錄信息，並生成一個新的加密密鑰來保護網絡流量。

這個加密密鑰會在四向握手的第三步安裝，但如果接入點認為消息丟失，有時會重複發送相同的密鑰。範霍夫的研究發現，攻擊者其實可以迫使接入點安裝相同的加密密鑰，這樣一來，入侵者便可借此攻擊加密協議，並破解數據。

根據 WPA2 協議使用程度的差異，不同的設備和操作係統受到的影響程度也將不同。安卓6.0 和 Linux 係統遭受的最嚴重攻擊或將導致加密密匙被重寫，與此同時，iOS 和 Windows 係統具有一定的安全性，因為它們並不會完全依賴於 WPA2 協議，因此會避開這一漏洞。但是專家認為沒有設備和係統能夠完全不受漏洞的影響。

針對 KRACK 漏洞各大企業如何回應？以下為各企業截至發稿前的回應：

微軟：微軟於10月10日發布安全補丁，使用Windows Update的客戶可以使用補丁，自動防衛。我們及時更新，保護客戶，作為一個負責任的合作夥伴，我們沒有披露信息，直到廠商開發並發布補丁。

蘋果 iOS 和 Mac：蘋果證實 iOS、MacOS、WatchOS、TVOS 有一個修複補丁，在未來幾周內就會通過軟件升級的形式提供給客戶。

穀歌移動/穀歌Chromecast/ Home/ WiFi：我們已經知道問題的存在，未來幾周會給任何受影響的設備打上補丁。

穀歌Chromebook：暫時沒有發表評論。

亞馬遜Echo、FireTV和Kindle：我們的設備是否存在這樣的漏洞？公司正在評估，如果有必要就會發布補丁。

三星移動、三星電視、三星家電：暫時沒有發表評論。

思科：暫時沒有發表評論。

Linksys/Belkin：Linksys/Belkin和Wemo已經知道WAP漏洞的存在。安全團隊正在核查細節信息，會根據情況提供指導意義。我們一直將客戶放在第一位，會在安全谘詢頁麵發布指導意見，告訴客戶如何升級產品，如果需要就能升級。

Netgear：最近安全漏洞 KRACK 曝光，Netgear 已經知道，KRACK 可以利用 WPA2 安全漏洞發起攻擊。Netgear 已經為多款產品發布修複程序，正在為其它產品開發補丁。你可以訪問我們的安全谘詢頁麵進行升級。

為了保護用戶， Netgear 公開發布修複程序之後才披露漏洞的存在，沒有提到漏洞的具體信息。一旦有了修複程序，Netgear 會通過“Netgear 產品安全”頁麵披露漏洞。

Eero：我們已經知道 WAP2 安全協議存在 KRACK 漏洞。安全團隊正在尋找解決方案，今天晚些時候就會公布更多信息。我們打造了雲係統，針對此種情況可以發布遠程更新程序，確保所有客戶及時獲得更新軟件，自己不需要采取任何動作。

D-Link/TP-Link/Verizon/T-Mobile/Sprint/Ecobee/Nvidia：暫時沒有發表評論。

英特爾：ICASI 和 CERT CC 已經通知英特爾，說 WPA2 標準協議存在漏洞。英特爾是 ICASI 的成員，為“協調的漏洞披露（Coordinated Vulnerability Disclosure，CVD）”貢獻了自己的力量。

英特爾正在與客戶、設備製造商合作，通過固件和軟件更新的方式應對漏洞。如果想獲得更多信息，可以訪問英特爾安全谘詢頁麵。

AMD/August/Honeywell/ADT/Comcast/AT&T/Spectrum/Vivint/Lutron/聯想/戴爾/Roku/LG電子/LG移動/LG家電/通用電氣:暫時沒有發表評論。

Nest：我們已經知道漏洞的存在，未來幾周將會為 Nest 產品推出補丁。

飛利浦 Hue：KRACK 攻擊利用了 WiFi 協議。我們建議客戶使用安全 WiFi 密碼，在手機、計算機及其它 WiFi 設備上最新補丁，防範此類攻擊。飛利浦 Hue 本身並不直接支持WiFi，因此不需要防範補丁。還有，我們的雲帳戶 API 可以用 HTTPS 進行保護，增強安全，這是一個額外的安全層，不會受到 KRACK 攻擊的影響。

Kwikset/Yale/Schlage/Rachio/iHome/伊萊克斯/Frigidaire/Netatmo/Control4：暫時沒有發表評論。

Roost：Roost接收或者發送的數據流都用最新的SSL/TLS加密技術進行端到端加密。我們認為自己的設備沒有風險。建議用戶聽從WiFi Alliance的建議，在Access點使用WiFi加密，安裝最新的軟件補丁。

如何避免被攻擊

目前，任何使用 Wi-Fi 的設備都有可能麵臨這一安全風險。變更 Wi-Fi 網絡的密碼也不能避免。為避免受 KRACK 攻擊，建議及時更新無線路由器、手機，智能硬件等所有使用WPA2無線認證客戶端的軟件版本。（有補丁的前提下）

著名黑客楊卿發布博文稱：普通用戶不比過於驚慌，一來，該漏洞 Poc 代碼未公布；二來，這次的攻擊行為不是遠程發起的，需要黑客在目標無線網絡範圍內才能進行；三來，一般人短時間內不具備使用發動攻擊的能力。

不過，在漏洞尚未修複之前，對於普通手機用戶來說，使用支付寶、微信支付、網銀的時候，建議大家還是盡量使用蜂窩移動網絡。

最後更新：2017-10-17 17:49:05

  上一篇： “粉碎”與“永久刪除”有何區別？

  下一篇： 登陸賬戶名