今日昼にYahoo!の話題を見たらWPA2が上位に挙がっててなんだろうと思ったらアタック成功、脆弱性がなんて情報があったのでいろいろと調べてる最中です。
自分の備忘録も兼ねてまとめてみました。
WPA2の鍵再インストール攻撃、今年の流行語だな。。
でも夕方になぜかLANケーブルが話題の1位になっていたのがシュールでした。。
情報が続々と出てきてます。
WPA2の脆弱性「KRACKs」公開、多数のWi-Fi機器に影響の恐れ - CNET Japan
WPA2の脆弱性「パッチで対応可能」 Wi-Fi標準化団体が見解 - ITmedia NEWS
パッチでの対応可能って言われても、管理する側からしたらねえ。。。
サプリカント側（クライアント側）の対応か。
クライアント側ってのはWi-Fi接続するデバイス側。iPhoneとかAndroidのスマホとかPCとか。
なんとなくまとめてみると
PSK（事前共通鍵）ではなく、暗号化する前の通信のやり取り中（所謂４WAYハンドシェイクにPMK（マスターキー）から生成されたPTK（テンポラリキー）が壊れたら、クライアント（サプリカント）が鍵を再インストールする際の動きに乗じた攻撃。
鍵が使われることで暗号化される意味がないじゃん的な状態になる。
傍受されるだけでなく、他にもコードを埋め込んだりできる 等々
HTTPSの通信を行っていれば安全かなと思いきやそういうわけではなさそうな。。
ちょうど昨日まで勉強していた内容だっただけにイメージはわきやすいが。。
ってか試験前に出てきたら今回の試験に活きたなんておもいつつ。。（実際にネスペの午後は無線LANの問題でしたから。。）
ではWPA2とは、またWPAやWEPのと違いは、、
リンクを見てもらったほうが詳しく書いてあるので丸投げします。
わかっていることは、とりあえずいくら脆弱性が出たといっても今更WEPは使うな。
まあ冷静に考えてみたら、個人レベルでは。。これ以上は黙っておこう。
しかしながら関係ないと思っているみなさん、実は無意識に使っているかも。
ちなみにiPhoneでもこんな感じで使ってます。あくまで接続先アクセスポイント（SSIDで接続する）の暗号化方式の設定次第ですが。
うちはWPA2使ってます。
パスワードに入力するのがいわゆるPSKですね。
ちなみにWPA2エンタープライズの場合はRUDIUSに認証するためのユーザ名も必要だったりします。あとクライアント証明書が必要か。
Androidのサプリカントバージョンによっては。。。と上の記事に書いてましたね。
さて、いつ対応されるのか。
最後に、WPA2などについてわかりやすいサイトをリンクしてみる。
サイバーセキュリティ・ピックアップ：無線LANにまつわるセキュリティの課題を再確認しよう (1/3) - ＠IT
Aircrack-ng チュートリアル: WPA/WPA2 のクラッキング方法について を記載。：びぼうろぐ：So-netブログ
無線LANの基本とセキュリティ技術 | 技術コラム集 | [技術コラム集]組込みの門 | ユークエスト株式会社
色々と読んでみると勉強になります。
まだまだこれから細かく情報追って行こうと思いますので何かわかれば追記します。
ちなみにもし表現がおかしかったら修正するかもしれませんがその点は悪しからず。
10/19追記
各社の対応状況についてのリンクを追記します。
Windows は10月10日のWindows Updateで対応済とのこと。
ただ、各メーカの機器（サプリカント＝スマホなどのデバイス（使い方によってはAPも））はこれから対応となるところもある
WPA2 における複数の脆弱性について：IPA 独立行政法人 情報処理推進機構
Wi-Fiを脅かす脆弱性「KRACK」、各社の対応状況は--MS、アップル、グーグルなど - CNET Japan
WPA2の脆弱性「KRACK」対処パッチ、Microsoftは対応済み、AppleのOSとAndroidは数週間中 - ITmedia NEWS
WPA2脆弱性「KRACKs」、HTTPS通信時は影響受けず、有線LANやVPNの利用も推奨 -INTERNET Watch
ちなみに一般家庭向け。
さすが対応ははやそう。。。ルータモードでは影響を受けず、基本ファームウェアアップデートで対応かな。
主要四社（勝手に選別）の情報
【重要】「WPA2」の脆弱性に関するお知らせ| お知らせ | AtermStation
WPA2の脆弱性に関する弊社調査・対応状況について | IODATA アイ・オー・データ機器
WPA2の脆弱性に関する弊社調査・対応状況について - 重要なお知らせ - ELECOM |
対応の早さから次はアイオーデータのルータにしようかな。。コスパいいです。
いかがでしょうか。
