KRACK暫定ガイダンスの一時停止
重要なAPのオペレーターとして。 Stack Overflow開発者のオフィスビル、私はできますか？
- 全員を切断します。
- イーサネットメディアを介してAP共有キーを変更します。
- 新しいキーをwifiクライアントに安全に配布します。 * 802.11APで認証解除メッセージがないか監視します。手順1で開始した場合。
それはうまくいくでしょうか？
PSKを変更しても、KRACKにはまったく影響しません。 KRACKは、攻撃者にPSKへのアクセスを許可しません。 KRACKは、クライアントとAPの間でPTK/GTKを交換するプロセスへの攻撃です。攻撃が成功すると、攻撃者はPTKをはるかに簡単に計算できます（または、クライアントが非常に壊れている場合は、PTKをすべて0に設定します）。これは、PSKが何であっても発生し、PSKを変更しても、この攻撃はどのような形でも変更されません。
クライアントとAPの間の接続が危険にさらされていると思われる場合は、クライアントを切断して再接続するだけで、新しいPTKを生成できます。その後、接続が攻撃されたり、侵害されたりしないことを確認してください。
「価値の高いターゲット」を保護したい場合は、次のことを行う必要があります。
- APとクライアントの両方にパッチを適用します。
- 暗号化の単一層、特にクライアント無線インターフェイスからAP無線インターフェイスへの保護のみを行う層に依存しないでください。
- 802.11wを有効にして、そもそも認証解除/関連付け解除攻撃を防ぎます。
Wiresharkで新しいハンドシェイク、認証解除フレーム、不正APを積極的に監視して攻撃を特定したとしても、攻撃者がクライアントでKRACKを開始するのを防ぐことはできません。
実際にPSKを変更し、攻撃を特定したらクライアントに切断を依頼することは、攻撃者にとっては有益であり、攻撃者にとっては有益ではありません。攻撃者はハンドシェイクも監視しており、ブロックする機会を与えているからですメッセージ4握手。
メッセージ4がブロックされると、APはメッセージおよびリセットされないを再送信します。 AndroidおよびLinuxがwpa_supplicantv2.4/2.5を使用している場合一時暗号化キー =ゼロ暗号化キーにも設定されます。
PSKを変更すると、クライアントに再認証を自動的に要求するため、攻撃者はクライアントの認証を解除しようとせずにハンドシェイクに侵入できます。