*
 
AfterDawn: IT-alan uutiset

Maailman kaikista WLAN-verkoista tuli turvattomia - WPA2-salaus murrettu

Kirjoittaja Petteri Pyyny (Google+) @ 17.10.2017 10:29 Kommentteja (11)

Maailman kaikista WLAN-verkoista tuli turvattomia - WPA2-salaus murrettu Eilen belgialaisen KU Leuvenin yliopiston tutkijan ilmoittivat, että WLAN-verkoissa käytetty vahvin salausmuoto, WPA2, on murrettu. Tämä tekee käytännössä kaikista maailman langattomista lähiverkoista turvattomia.
Salauksen murtaminen ei ole kuitenkaan aivan jokaisen naapurin harrastus, sillä salaukseen murtamiseen vaaditaan väärennettyä MAC-osoitetta käyttävä tukiasema, murrettavan lähiverkon kantaman sisällä. Murtaminen perustuu ns. KRACK (Key Reinstallation Attack)-metodiin.

Vaarassa ovat pääasiassa yritykset, joiden lähiverkkoon on nyt pääsy. Tällöin yritysten salaisuuksiin voidaan päästä käsiksi, mikäli ne ovat lähiverkossa julkisesti saatavilla. Myös yritysten viestiliikennettä voidaan seurata, jos se tapahtuu yrityksen WLAN-verkon sisällä.

Viestintävirasto kehottaakin tietoliikenteen salaamista vaihtoehtoisin tavoin. Käytännössä siis kaikki arkaluontoinen viestiliikenne pitäisi kulkea salattuja reittejä pitkin eli SSH, SSL/TLS ja VPN-ratkaisut on hyvä ottaa käyttöön. Luonnollisesti myös kaikki lähiverkossa olevat tiedot pitäisi siirtää käyttäjätunnusten taakse eikä pitää mitään julkisesti jaossa.

Salauksen murtaminen ei siis vaikuta juurikaan tavallisiin kuluttajiin - ja mobiiliverkkojen salaukseen murto ei liity mitenkään. Mutta kannattaa tiedostaa, että myös kotonasi oleva WLAN-verkko on nyt avoin mahdolliselle seurannalle.

Tutkijat ovat julkaisseet löydöksensä täällä.

EDIT 11:19: Tutkijat ovat löytäneet useita tapoja hyödyntää löydettyä haavoittuvuutta ja ovat kertoneet niistä jo toukokuussa 2017. Tämän jälkeen esim. Windows 10 ja iOS -käyttöjärjestelmistä on paikattu yksi tiedossaoleva haavoittuvuuden käyttötapa, mutta muut tiedossa olevat neljä tapaa käyttää haavoittuvuutta ovat molemmissa käyttöjärjestelmissä paikkaamatta. Pahiten tilanteesta näyttää kärsivän Android 6.0, jossa kaikki tiedossa olevat haavoittuvuuden käyttötavat ovat edelleen paikkaamatta.

Tutkijoiden mukaan myös macOS ja OpenBSD ovat erityisen alttiita haavoittuvuuden hyödyntämiselle.

Riippuen siitä, miten järjestelmä käsittelee ns. kättelyt salatun yhteyden muodostamisessa, voidaan käyttää erilaisia tapoja haavoittuvuuden hyödyntämiseksi. Aiheesta lisää täältä.

Edellinen Seuraava Kirjoita kommentti

11 kommenttia

117.10.2017 10:58

Pfft. Ei WPA2:ta ole kokonaisuudessaan murrettu, siitä on ainoastaan löydetty haavoittuvuuksia, jotka on täysin mahdollista paikata. Ihan eri asia, kuin esim. WEP, jota ei voinut paikata mitenkään.

Windows 10 pitäisi olla jo paikattu, Linuxiin tullee pian päivityksiä asian tiimoilta ja Androidiin myös. Ainoastaan vanhemmilla laitteilla, mihin ei tule päivityksiä enää, on ongelma asian tiimoilta.

Hieman tarkkuutta voisi toivoa, eikä tällaista huomionhakuista perseilyä.

217.10.2017 11:05

Joudun minäkin nyt toteamaan, että Afterdawnin uutisointi on mennyt vähän huomihakuiseksi ja lipsutaan suurentelemaan asioita.
Ikävää tämmöinen.


Antamani neuvot perustuvat omaan kokemukseen. Jos mielestäsi ne ovat puutaheinää, kerro toki.

317.10.2017 11:17

Lainaus, alkuperäisen viestin kirjoitti WereCatf:
Pfft. Ei WPA2:ta ole kokonaisuudessaan murrettu, siitä on ainoastaan löydetty haavoittuvuuksia, jotka on täysin mahdollista paikata. Ihan eri asia, kuin esim. WEP, jota ei voinut paikata mitenkään.

Windows 10 pitäisi olla jo paikattu, Linuxiin tullee pian päivityksiä asian tiimoilta ja Androidiin myös. Ainoastaan vanhemmilla laitteilla, mihin ei tule päivityksiä enää, on ongelma asian tiimoilta.

Hieman tarkkuutta voisi toivoa, eikä tällaista huomionhakuista perseilyä.
Noh, tässä nyt käytettiin pitkälti Viestintäviraston tilannekatsausta lisälähteenä, jossa paikkauksista ei oltu vielä mainittu mitenkään. Mutta kuten aina, päivitellään.

Ja on aika kohtuutonta väittää huomiohakuisuudesta, kun aihe on ollut vuorokauden ajan teknologia-alan ykkösuutinen ja otsikkomme kaltainen konsensus on ollut käytännössä kaikkien teknologiajulkaisujen yhteenvetona.

Petteri Pyyny (pyyny@twitter)
Webmaster
http://AfterDawn.com/

417.10.2017 11:21

Lainaus, alkuperäisen viestin kirjoitti WereCatf:
Pfft. Ei WPA2:ta ole kokonaisuudessaan murrettu, siitä on ainoastaan löydetty haavoittuvuuksia, jotka on täysin mahdollista paikata. Ihan eri asia, kuin esim. WEP, jota ei voinut paikata mitenkään.

Windows 10 pitäisi olla jo paikattu, Linuxiin tullee pian päivityksiä asian tiimoilta ja Androidiin myös. Ainoastaan vanhemmilla laitteilla, mihin ei tule päivityksiä enää, on ongelma asian tiimoilta.

Hieman tarkkuutta voisi toivoa, eikä tällaista huomionhakuista perseilyä.
Raportin mukaan Windows 10 on korjattu ainoastaan yksi tapa hyödyntää aukkoa, muut tiedossa olevat 4 tapaa ovat paikkaamatta (ainakin yksi niistä vahvistetusti edelleen paikkaamatta).

https://arstechnica.com/information-tec...wi-fi-security/

Petteri Pyyny (pyyny@twitter)
Webmaster
http://AfterDawn.com/

517.10.2017 22:23

Eikö wap2 salauksen ole pystynyt kiertää jo vuosia? Tiputetaan asiakkaan yhteys pommittamalla reititintä ja napataan avain uuden yhteyden luonnin aikana.

617.10.2017 22:47

Lainaus, alkuperäisen viestin kirjoitti samik83:
Eikö wap2 salauksen ole pystynyt kiertää jo vuosia? Tiputetaan asiakkaan yhteys pommittamalla reititintä ja napataan avain uuden yhteyden luonnin aikana.
Sori maalaisuuteni,mutta kuinka pommitetaan reititintä johon ei pääsyä ole? WPA2-PSK verkkoon jälleenkytkeytyminen tapahtuu 256 kryptattuna,joten ainoa konsti lie yrittää arvata orgis kirjautumiskoodi?

717.10.2017 23:01

Lainaus, alkuperäisen viestin kirjoitti arivesa:
Lainaus, alkuperäisen viestin kirjoitti samik83:
Eikö wap2 salauksen ole pystynyt kiertää jo vuosia? Tiputetaan asiakkaan yhteys pommittamalla reititintä ja napataan avain uuden yhteyden luonnin aikana.
Sori maalaisuuteni,mutta kuinka pommitetaan reititintä johon ei pääsyä ole? WPA2-PSK verkkoon jälleenkytkeytyminen tapahtuu 256 kryptattuna,joten ainoa konsti lie yrittää arvata orgis kirjautumiskoodi?
Enpä ole mikää asiantuntija, mutta joskus näin tästä video.
Reitittimelle pystyy silti lähettää pyyntöjä vaikka sinulla ei olekkaan avainta. Voit esim yrittää arvata naapurin wifi salasanaa puhelimella, jolloin se lähettää sinne pyynnön.

817.10.2017 23:19

Lainaus, alkuperäisen viestin kirjoitti samik83:
Lainaus, alkuperäisen viestin kirjoitti arivesa:
Lainaus, alkuperäisen viestin kirjoitti samik83:
Eikö wap2 salauksen ole pystynyt kiertää jo vuosia? Tiputetaan asiakkaan yhteys pommittamalla reititintä ja napataan avain uuden yhteyden luonnin aikana.
Sori maalaisuuteni,mutta kuinka pommitetaan reititintä johon ei pääsyä ole? WPA2-PSK verkkoon jälleenkytkeytyminen tapahtuu 256 kryptattuna,joten ainoa konsti lie yrittää arvata orgis kirjautumiskoodi?
Enpä ole mikää asiantuntija, mutta joskus näin tästä video.
Reitittimelle pystyy silti lähettää pyyntöjä vaikka sinulla ei olekkaan avainta. Voit esim yrittää arvata naapurin wifi salasanaa puhelimella, jolloin se lähettää sinne pyynnön.
Ei minun reititin reagoi mihinkään muuhun kuin omaan salasanaansa, muita ei huomioida. Vastaa "invalid request" tms. Ei kaadu tuohon. Ja kuten sanoin,jo tehdyt kytkennät tapahtuvat lukukelvottomiksi kryptattuina.

Epäilemättä kaiken salauksen voi murtaa riittävällä panostuksella,mutta tuossa tuleekin eteen hyöty-/kustannussuhde. Uhka ei siis koske tavis- siviiliä,"noudettavaa" ei ole vaivan/hinnan katteeksi.

Pankkiyhteydet taas tapahtuvat suojatussa https-yhteydessä,eikä niissäkään ilman oikeita kertakäyttösalasanoja. Niitä on turha arpoa, neljä hutia sulkee koko toiminnon,joka pitää uudelleenavata konttorissa.

917.10.2017 23:44

Lainaus, alkuperäisen viestin kirjoitti arivesa:
Lainaus, alkuperäisen viestin kirjoitti samik83:
Lainaus, alkuperäisen viestin kirjoitti arivesa:
Lainaus, alkuperäisen viestin kirjoitti samik83:
Eikö wap2 salauksen ole pystynyt kiertää jo vuosia? Tiputetaan asiakkaan yhteys pommittamalla reititintä ja napataan avain uuden yhteyden luonnin aikana.
Sori maalaisuuteni,mutta kuinka pommitetaan reititintä johon ei pääsyä ole? WPA2-PSK verkkoon jälleenkytkeytyminen tapahtuu 256 kryptattuna,joten ainoa konsti lie yrittää arvata orgis kirjautumiskoodi?
Enpä ole mikää asiantuntija, mutta joskus näin tästä video.
Reitittimelle pystyy silti lähettää pyyntöjä vaikka sinulla ei olekkaan avainta. Voit esim yrittää arvata naapurin wifi salasanaa puhelimella, jolloin se lähettää sinne pyynnön.
Ei minun reititin reagoi mihinkään muuhun kuin omaan salasanaansa, muita ei huomioida. Vastaa "invalid request" tms. Ei kaadu tuohon. Ja kuten sanoin,jo tehdyt kytkennät tapahtuvat lukukelvottomiksi kryptattuina.

Epäilemättä kaiken salauksen voi murtaa riittävällä panostuksella,mutta tuossa tuleekin eteen hyöty-/kustannussuhde. Uhka ei siis koske tavis- siviiliä,"noudettavaa" ei ole vaivan/hinnan katteeksi.

Pankkiyhteydet taas tapahtuvat suojatussa https-yhteydessä,eikä niissäkään ilman oikeita kertakäyttösalasanoja. Niitä on turha arpoa, neljä hutia sulkee koko toiminnon,joka pitää uudelleenavata konttorissa.
Tuossa oli yksi video aiheesta. https://www.youtube.com/watch?v=1HcA17huGBc
Asiakkaan tiputtaminen saatiinkin ilman "pommitusta".(en ymmärrä millä tuokin on mahdollista). Uudelleenkättelyssä lähetetty avain kaapataan ja loput oli vain hashin kräkkäystä. Eli käytännössä pitkä salasana kyllä estää kaikki yritykset, mutta lyhyillä salasanoilla mahdollista.

Myös tuo HTTPS ei välttämättä ole varma suoja ainakaan tässä uudessa haavoittuvuudessa. Ilmeisesti yhteys pystytään jossain tapauksissa pakottamaan tavalliseen HTTP yhteyteen.
https://arstechnica.com/information-tec...-eavesdropping/

1018.10.2017 0:07

Lukemastani päättelin,että hyökkääjä voisi yrittää korvata kättelykoodin pelkillä nollilla. Ei tietoa,olisiko tuo aina mahdollista,mutta se aiheuttaisi ensiksi sen,että ei enää itse pääse verkkoonsa. Pakko huomata tuo varoituksena,ennen uusia yrityksiä. Routerini sivu kertoo,että päivitykset ovat ajantasalla. Enempää en taida mahtaa.

Eikä https pomminvarma lie sekään,mutta pankkien kertakäyttösalasanat taitavat olla? Ilman niitä en pääse näkemään edes saldojani. Muu ei niin hirveän tärkeää olekaan,joten en murehdi turhia.

Käsittääkseni yritykset olisivat tässä mahdollisina kohteina,emme me.

1119.10.2017 16:44

Lainaus, alkuperäisen viestin kirjoitti muppis:
Joudun minäkin nyt toteamaan, että Afterdawnin uutisointi on mennyt vähän huomihakuiseksi ja lipsutaan suurentelemaan asioita.
Ikävää tämmöinen.
Nyt tuli kyllä sellasta "pashaa" että oksat pois ja pääsiäinen hoi.

Jos tietää asioista mitään, tajuaa, että tämä on hyvin vakava ilman sen suurempia paisutteluja. Miljoonia kännyköitä/tabletteja/laitteita jne jne ei tule koskaan saamaan mitään patchiä tähän. Täysin vapaata riistaa.

Kommentoi uutista

Mikäli sinulla ei ole vielä AfterDawn-käyttäjätunnusta, syötä allaolevaan kaavakkeeseen toivomasi käyttäjätunnus sekä sähköpostiosoitteesi. Lähetämme sinulle jälkikäteen aktivointilinkin antamaasi sähköpostiosoitteeseen.

Mikäli sinulla on jo ennestään AfterDawn-käyttäjätunnus, kirjaudu sisään seuraavan välilehden kautta.

Kirjaudu sisään käyttäen AfterDawn -käyttäjätunnustasi tai sähköpostiosoitettasi.




Uutisarkisto