Opdater trådløst udstyr, men lig ikke vågen af frygt for sårbarheds-problemet KRACK

Klumme: Truslen fra en udbredt samling sårbarheder i trådløse netværk er reel, men næppe alvorlig for langt de fleste. Men vær forberedt, for KRACK kan blive en større trussel, end den er i dag.

"Næsten alle Wi-Fi-net i verden er blevet hacket," lød en overskrift fra avisen The Independent den 16. oktober.

Nej, det er de ikke.

Derimod er der opdaget en samling sårbarheder, der findes i stort set alt moderne Wi-Fi-udstyr.

Som enhver sårbarhed med respekt for sig selv har den naturligvis både navn, logo og eget websted.

Den hedder KRACK (Key Reinstallation Attacks) og er opdaget af den belgiske sikkerhedsforsker Mathy Vanhoef.

Sårbarheder, der gør det muligt at aflytte krypteret kommunikation på trådløse netværk, lyder umiddelbart alvorlige.

Men en række faktorer gør, at jeg vurderer risikoen til et sted mellem lav og medium.

Skal være i nærheden
Sårbarhederne findes i protokollen WPA2 (Wi-Fi Protected Access), som bruges til at kryptere kommunikationen på Wi-Fi-netværk.

Problemet opstår i udvekslingen af krypteringsoplysninger mellem en klient og et trådløst adgangspunkt.

Dermed skal en angriber være inden for radioafstand for at kunne udnytte sårbarheden.

Vi taler altså ikke om en sårbarhed, der kan udnyttes over internettet. Kinesiske eller russiske hackere kommer næppe til at bruge KRACK til at få fat i vores forretningshemmeligheder.

Desuden er den ikke helt ligetil at udnytte. En angriber skal aflytte kommunikationen, indsætte sine egne datapakker i den, og derefter regne sig frem til krypteringsnøglen.

I øvrigt medfører angrebet ikke, at angriberen får fat i kodeordet til det trådløse net.

Android er udfordret
Det mest bemærkelsesværdige ved sårbarheden er, at den findes i selve WPA2-standarden, ikke i en bestemt implementering af den. Derfor bør alt WPA2-udstyr som udgangspunkt regnes for sårbart.

Sårbarheden er værst på klientsiden. Derfor er det vigtigst at opdatere klient-software.
Microsoft har allerede lukket sikkerhedshullet. Det samme gælder en række Linux- og Unix-varianter. Apple er på vej med rettelser.

Alvorligst står det til med Android.

Her forværres sårbarheden af en fejl i implementeringen, der nulstiller en krypteringsnøgle. Så bliver det let at dekryptere kommunikationen.

Fejlen findes i Android fra version 6 og op. Det er særlig uheldigt, fordi mange Android-enheder ikke modtager sikkerhedsopdateringer.

Her kan det vise sig at være en fordel, at nyere versioner er sårbare – de har trods alt større chance for at blive opdateret end ældre Android-versioner.

Enheder på det såkaldte Internet of Things (IoT) kan også blive en udfordring. Erfaringen viser, at de ofte ikke modtager softwareopdateringer.

Så webkameraer, højttalersystemer og anden elektronik med indbygget internet-adgang kan være i risikozonen. Spørgsmålet er så, hvor interessant det er at aflytte deres kommunikation.

En mindre trussel
Hvor alvorlig truslen fra KRACK er, må i det hele taget komme an på en individuel risikovurdering. Men for langt de fleste er det næppe en realistisk trussel, at angribere vil placere sig inden for radiorækkevidde for at forsøge at dekryptere kommunikation.

Ofte vil der i øvrigt være flere lag af kryptering. Når vi bruger netbank og andre følsomme tjenester, krypteres kommunikationen med TLS (Transport Layer Security).

Så her får angriberen ikke noget ud af at knække WPA2-krypteringen – derefter skal TLS-kodningen også knækkes.

Resultat af lukkethed
KRACK-sårbarhederne har eksisteret siden 2004, da IEEE 802.11i-standarden blev indført.
Hvordan går det til, at så væsentlige fejl i en standardprotokol kan eksistere?

En årsag kan være, at der er tale om en standard udviklet under IEEE (Institute of Electrical and Electronics Engineers).

Disse standarder er ikke frit offentligt tilgængelige. Interesserede skal købe dokumenterne.
Der er ganske vist en mulighed for, at akademikere kan få adgang til standarderne. Men det sker først et halvt år efter, standarden er publiceret.

På det tidspunkt er producenterne for længst gået i gang med at implementere dem i deres produkter.

Hvis WPA2-standarden havde været lettere at få fat i, er der større chance for, at sikkerhedsforskere havde kigget på den og opdaget KRACK, inden der var gået 13 år.
Ingen panik

Min konklusion: Truslens alvor har været overdrevet. Der er ingen grund til panik.

Tidligere sårbarheder har dog vist sig at være mere alvorlige end først antaget.

Det sker, efterhånden som sikkerhedsforskere og angribere graver sig dybere ned i detaljerne. Så vær forberedt på, at KRACK kan blive en større trussel, end den er i dag.

Indtil da gælder det om at beskytte sig bedst muligt:

Sørg for at opdatere først klienter, siden routere og adgangspunkter.

Hvis I bruger 802.11r, bør I slå det fra, indtil udstyret er opdateret.

Benyt flere lag af sikkerhed på trådløse netværk, for eksempel ved hjælp af VPN og anden kryptering.

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeiC (Danish e-Infrastructure Cooperation).

Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.

Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling. 

Har du en god historie eller har du specialviden, som du synes trænger til at blive delt? 

Læs vores klumme-guidelines og send os noget tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.



Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...
mest debaterede artikler

Computerworld
Interneteksperternes mareridt er gået i opfyldelse: EU godkender omstridt direktiv, der "ødelægger internettet for altid"
EU's lovgivende udvalg har godkendt nye copyright-regler, som indeholder to kontroversielle paragraffer. Eksperter advarer imod, at artikel 11 og 13 kan ødelægge internettet for altid. Reglerne mangler stadig at blive endeligt vedtaget.
CIO
Henrik Jeberg om at arbejde i Silicon Valley: "Er du dygtig nok får du tilbud der får en til at falde ned af stolen."
Henrik Jeberg bor i San Francisco og er direktør i Hampleton Partners, der rådgiver om opkøb med særligt fokus på teknologi. Hør ham fortælle om forskellen på Danmark og Silicon Valley - og om nogle af de vilde forhold der hersker i verdens ubestridte tech-hovedstad.
Job & Karriere
KMD opsagde tryghedsaftaler med medarbejderne få måneder før 300 medarbejdere blev outsourcet til IBM
KMD har i løbet af foråret opsagt to såkaldte tryghedsaftaler med en del af selskabets medarbejdere. Når aftalerne stopper ved udgangen af 2018, er de pågældende medarbejdere ikke længere berettiget til særlig godtgørelse. Det kan få konsekvenser, hvis IBM som forventet skærer i antallet af de 300 KMD-medarbejdere, som selskabet overtager.
White paper
Sådan indfrier du virksomhedens digitale potentiale - og her giver det mest værdi at starte
Digitalisering er det altafgørende omdrejningspunkt for mange virksomheder. Men hvor tager man fat, så det giver mest værdi? EG har identificeret fem helt centrale områder, hvor der typisk er et perfekt match mellem virksomhedens behov og de teknologiske muligheder. Læs dette whitepaper og få indblik i, hvordan vidt forskellige virksomheder har grebet det an. 14 sider på dansk.