Czy luka WiFi KRACK została załatana na iOS?

W WPA2 pojawiła się nowa luka zwana KRACK (skrót od Key Reinstallation Attack), jak opisano w artykule The Guardian: „ Wszystkie sieci WiFi” są podatne na ataki hakerskie, odkrywa ekspert ds. Bezpieczeństwa ”

Według artykułu:

Raport mówi, że ta luka dotyczy wielu systemów operacyjnych i urządzeń, w tym Androida, Linux, Apple , Windows, OpenBSD, MediaTek, Linksys i innych.

Czy pojawiły się jakieś aktualizacje zabezpieczeń dla systemu iOS, które to naprawiły?

Aktualizacje wydane 31 października 2017 r

Firma Apple wydała aktualizacje zawierające poprawkę luki w zabezpieczeniach KRACK dla systemów macOS, iOS, tvOS i watchOS. Aby uzyskać aktualizacje:

• macOS High Sierra 10.13.1 i aktualizacje zabezpieczeń dla Sierra & El Capitan -
  Uruchom App Store i wybierz kartę Aktualizacje.
• iOS 11.1 -
  Wybierz Ustawienia> Ogólne> Aktualizacja oprogramowania
• watchOS 4.1 -
  Uruchom aplikację Watch na swoim iPhonie, a następnie przejdź do Ogólne> Aktualizacja oprogramowania
• tvOS 11.1 -
  W przypadku Apple TV 4 (i 4K) wybierz Ustawienia> System> Aktualizacje oprogramowania i wybierz Aktualizuj oprogramowanie.
  W przypadku Apple TV (2. / 3. generacji) wybierz Ustawienia> Ogólne> Aktualizuj oprogramowanie

Zasadą firmy Apple jest nie komentowanie słabych punktów bezpieczeństwa, dopóki nie zostaną one załatane, a nawet kiedy to zrobią, często są dość niejasne.

Informacje o aktualizacjach zabezpieczeń Apple

W celu ochrony naszych klientów Apple nie ujawnia, nie dyskutuje ani nie potwierdza problemów bezpieczeństwa, dopóki nie zostanie przeprowadzone dochodzenie i nie będą dostępne poprawki ani wydania. Najnowsze wersje są wymienione na stronie aktualizacji zabezpieczeń Apple .

Jednak przy odrobinie pracy detektywistycznej możemy uzyskać wgląd. Patrząc na CVEs przypisanych do tej szczególnej podatności , ^* możemy uzyskać listę problemów, które powinny zostać uwzględnione przez Apple, gdy decydują się wydać poprawkę zabezpieczeń:

• CVE-2017-13077: Ponowna instalacja klucza szyfrowania parami (PTK-TK) w ramach czterokierunkowego uzgadniania.
• CVE-2017-13078: Ponowna instalacja klucza grupy (GTK) w czterokierunkowym uzgadnianiu.
• CVE-2017-13079: Ponowna instalacja klucza grupy integralności (IGTK) w ramach czterokierunkowego uzgadniania.
• CVE-2017-13080: Ponowna instalacja klucza grupy (GTK) w uzgadnianiu klucza grupy.
• CVE-2017-13081: Ponowna instalacja klucza grupy integralności (IGTK) w uzgadnianiu klucza grupy.
• CVE-2017-13082: Akceptowanie retransmitowanego żądania ponownego połączenia szybkiego BSS (FT) i ponowna instalacja klucza szyfrowania parowego (PTK-TK) podczas przetwarzania.
• CVE-2017-13084: Ponowna instalacja klucza STK w uścisku dłoni PeerKey.
• CVE-2017-13086: ponowna instalacja klucza PeerKey (TPK) w konfiguracji tunelowanej Direct Link Link w uzgadnianiu TDLS.
• CVE-2017-13087: ponowna instalacja klucza grupy (GTK) podczas przetwarzania ramki odpowiedzi trybu uśpienia zarządzania siecią bezprzewodową (WNM).
• CVE-2017-13088: ponowna instalacja klucza grupy integralności (IGTK) podczas przetwarzania ramki odpowiedzi trybu uśpienia zarządzania siecią bezprzewodową (WNM).

Również ten artykuł ZDNet - oto każda łatka dla luki KRACK Wi-Fi dostępna obecnie (16 października 2017 r.) Wskazuje, że dostawcy reagują szybko, a Apple potwierdził, że łatki są w fazie beta.

Apple potwierdziło, że ma poprawkę do wersji beta dla iOS, MacOS, WatchOS i TVOS, i za kilka tygodni wprowadzi ją w aktualizacji oprogramowania.

---

^* Typowe luki w zabezpieczeniach i narażenia (CVE®) to lista popularnych identyfikatorów powszechnie znanych luk w zabezpieczeniach cybernetycznych. Użycie „Identyfikatorów CVE (CVE ID)”, które są przypisywane przez organy numerujące CVE (CNA) z całego świata, zapewnia zaufanie stron podczas dyskusji lub udostępniania informacji o unikalnej podatności na oprogramowanie, stanowi podstawę oceny narzędzi, i umożliwia wymianę danych w celu automatyzacji bezpieczeństwa cybernetycznego.

---

Rene Ritchie, redaktor naczelny iMore, informuje, że ta usterka została naprawiona we wszystkich obecnych wersjach beta macOS, watchOS, tvOS i iOS .

Do czasu opublikowania aktualizacji wiele blogów poświęconych bezpieczeństwu zaleca korzystanie z VPN i witryn chronionych protokołem SSL w celu ochrony wszelkich informacji przesyłanych przez Wi-Fi.

Chociaż protokół SSL nie gwarantuje bezpieczeństwa danych przed atakiem KRACK, znacznie go utrudnia. Jednak KRACK uzyskuje dostęp na tyle głęboko, aby możliwe było uzyskanie dostępu do danych przed szyfrowaniem.

Biorąc pod uwagę, że luka w zabezpieczeniach została właśnie opublikowana (w momencie zadawania tego pytania) i wątpię, aby najpierw została wysłana do dowolnego producenta (ponieważ byłoby to bardzo trudne, biorąc pod uwagę liczbę stron o tym poinformować) - Apple zajmie chwilę dołącz nową aktualizację dla wszystkich istniejących urządzeń i wypuść ją.

Jak zawsze przedtem, Apple nie robi pilnej łaty dla systemu iOS / Mac OS tylko dla pojedynczej luki, łączy kilka poprawek / zmian w jedną aktualizację.

Również poprawka, testowanie, weryfikacja, wydanie itp. Zajmuje dużo czasu. Więc nie zostanie natychmiast rozwiązany.