WPA2 -haavoittuvuus KRACK

[Jarppaboi]

Moi!

Viitaten: https://www.viestintavirasto.fi/kyberturvallisuus/varoitukset/2017/varoitus-2017-03.html

Onko Intenon modeemeille tämän tietoturvariskin (KRACK) korjaavaa päivitystä tulossa/jo asennettu? Intenon DG301 on muutenkin jo ilmeisesti valmistajan näkökannalta tuotannosta poistunut (legacy device), joten hieman huolestuttaa asia itseäni.

Jos niin kävisi että päivitystä ei ole saatavilla Telia varmaan toimittaa turvallisen laitteen tuon tilalle?

[Sekunti]

---

@Jarppaboi kirjoitti:

Moi!

Viitaten: https://www.viestintavirasto.fi/kyberturvallisuus/varoitukset/2017/varoitus-2017-03.html

Onko Intenon modeemeille tämän tietoturvariskin (KRACK) korjaavaa päivitystä tulossa/jo asennettu? Intenon DG301 on muutenkin jo ilmeisesti valmistajan näkökannalta tuotannosta poistunut (legacy device), joten hieman huolestuttaa asia itseäni.

Jos niin kävisi että päivitystä ei ole saatavilla Telia varmaan toimittaa turvallisen laitteen tuon tilalle?

---

Niin, itse asiassa Wi-Fi-verkkoja ei ole koskaan käytetty ympäristöissä joissa turvallisuudella on oikeasti merkitystä. Viestintäviraston uutisessa kerrotaan hyvin epäselvästi parikin merkittävää asiaa:

1. 802.11r:n pois kytkeminen ei auta, koska WPA2-salausmenetelmälle ei oikeastaan ole kovinkaan järkevää vaihtoehtoa.
   
2. Langallista verkkoa tämä ei koske ollenkaan
3. HTTPS-yhteys suojaa tietoja niin kauan kuin se on käytössä. Yksi haavoittuvuuden avaamia mahdollisuuksia on kuitenkin huijata käyttäjä käyttämään sivustojen ei-salattua versiota mikäli kohdesivusto tämän sallii (hyvin asetetut sivut eivät tätä salli). Kannattaa AINA varmistaa, että osoiteriviltä löytyy se lukon kuva jos haluaa olla turvassa vaikka se ei takaa suojaa 100 prosenttisesti.
4. Jos reitittimesi on VPN-palvelimessa, et ole siltikään turvassa.
5. Jos käytät VPN-ohjelmaa, olet turvassa.
6. Korjaus pitää suorittaa käyttöjärjestelmä tasolla. Esimerkiksi Microsoft tekee asiasta Windows-päivityksen. Kannattaa siis pitää laitteen käyttöjärjestelmä ja tietoturvaohjelmistot ajan tasalla!
7. Parhain suoja syntyy aina penkin ja näppäimistön välissä. Kotikäyttäjät tulevat olemaan jatkossakin turvassa

[Jarppaboi]

Kiitos ripeästä vastauksesta. Listaamasi asiat kyllä on tiedossa ja kunnossa. Enkä nyt usko että kukaan hämärämies tulee omalle tontille kaappaamaan kriittisiä tietoja, joita halukkaasti syötän suojaamattomille sivuille. Kuitenkin asiakkaana kiinnostaisi tietää tuleeko Intenon laitteelle firmware-päivitystä asiaan liittyen? Telian kuluttaja-asiakkaana kuitenkin helpointa on käyttää tuota Intenon laitetta eikä alkaa konffaamaan jonkun muun valmistajan modeemia niin että tv-kanavat sun muut toimii edelleen. Intenon laitteista kun ei toimittajan sivuilta löydä mitään tietoa koska operaattori hoitaa laitetuen.

[MMALINEN]

Onko kellään tietoo onko korjattu  tämmäset paljon vaarallisempia

eli ssl suojaus

https://www.viestintavirasto.fi/kyberturvallisuus/haavoittuvuudet/2014/haavoittuvuus-2014-112.html

[TeroRe · Accepted solution]

Asiasta on nyt tiedote telia.fi:llä. Muuta kerrottavaa ei ainakaan tässä vaiheessa ole.

LANGATTOMASSA VERKOSSA HAVAITTU YLEINEN HAAVOITTUVUUS

Häiriön alkamisaika: 16.10.2017 08:00:00

Langattomassa Wi-Fi yhteydessä on havaittu kansainvälinen haavoittuvuus. WLAN-verkoissa yleisimmin käytetystä WPA2-salauksesta on paljastunut haavoittuvuus, joka mahdollistaa esimerkiksi verkkoliikenteen seuraamisen.

Haavoittuvuus on mahdollista korjata päivittämällä päätelaite ja modeemi heti, kun päivityksiä on saatavilla. Pyrimme saamaan laitevalmistajien kanssa päivitykset mahdollisimman pikaisesti saataville.

Haavoittuvuus ei vaikuta suojattuun SSH-, HTTPS- ja VPN-liikenteeseen. Kiinteä, suoraan reitittimeen kytketty liikenne on suojattu.

Telia

Lisätietoja viestintäviraston sivuilta: https://www.viestintavirasto.fi/kyberturvallisuus/haavoittuvuudet/2017/haavoittuvuus-2017-033.html

[VesaTu]

Hyvät ohjeet Sekunti. Päivitykset kaikkiin laitteisiin (jahka niitä tulee) ja VPN päälle niin riskit pienenee huomattavasti.

[olkitu]

---

@MMALINEN kirjoitti:

Onko kellään tietoo onko korjattu  tämmäset paljon vaarallisempia

eli ssl suojaus

https://www.viestintavirasto.fi/kyberturvallisuus/haavoittuvuudet/2014/haavoittuvuus-2014-112.html

---

SSL3.0 on vanhentunut salaus, joka korvattu TLS:llä, nykyisin uusin 1.2 versio. 1.3 tulossa pian...  Vaikka puhutaan SSL-salauksesta, tarkoitetaan TLS-salausta. Itse siksi käytän SSL/TLS-salausta, koska monet tuntevat SSL:n mutta eivät tiedä mikä on TLS. 

Taitavat selaimetkin jo estää SSL3.0:n käyttämisen, joten olet turvassa tältä. Ainakin pitäisi varoittaa heikosta salauksesta jo. 

--

Itse kirjoitin blogiini aiheestakin artikkelin kun jaetaan hirveästi vääriä ohjeita tai media vetänyt tämän ihna överiksi. Kurkatkaa vaikka tänne: https://mt-tech.fi/wpa2-salaus-ja-krack/

Kuitenkin @Sekunti aika hyvin avasi asian, mutta sen verran VPN:stä että tulee muistaa että VPN:ssä salaus on vain tunnelin alkupäästä loppupäähän. EI verkkosivustoon asti. Olet samalla tavalla haavoittuvainen salakuunteluun tunnelin päättymisestä palvelimelle saakka, ellei yhteyttä ole muilla tavoin salattu esimerkiksi SSL/TLS-tekniikalla (yleisin HTTPS). Lisäksi hyvä tietysti varmentaa kuka on sivuston varmentanut aidoksi... 

Sähköpostiohjelman käyttäjän kannattaa varmistaa, että käyttää salattua yhteyttä keskustellessä sähköpostipalveluntarjoajan kanssa. Asetukset kannattaa varmistaa sähköpostipalvelun palveluntarjoajalta. Telian asetukset löytyy täältä: https://www.telia.fi/asiakastuki/palvelut/telia-sahkoposti/asetukset-matkapuhelimeen-sahkoposti . Käyttäkää EHDOTTOMASTI salattua yhteyttä (SSL-nimellä, tosiaan se siis on TLS-salattu). Telia voisi viedä salaamattomat portit pois, kun altistaa käyttäjät vaan salasanojen ja sähköpostien varastamiseen. Ei ole mitään syytä käyttää salaamatonta yhteyttä.

Langallinen verkko on oletuksena salaamatonta, eli SSL/TLS-käyttöön vain. Mutta haavoittuvuus tosiaan ei koske langallista verkkoa, sillä WPA2:sta käytetään langattoman puolella.

---

Helpoiten kannattaa ajatella että ennen turvallinen ja salattu langaton verkko on melkein sama kuin salaamaton verkko. Älä tietenkään ota salausta pois käytöstä, mutta näin voi ajatella. Pitää olla muu tapa salata yhteys, esimerkiksi SSL/TLS. 

[Sekunti]

Vielä lisään tuohon edelliseen, että voihan tuon langattoman verkon piilottaa jolloin verkon tiedot syötetään manuaalisesti. Harvoin kukaan tulee nuuskimaan normikäyttäjän wifi-verkkoa kuin korkeintaan hakkerit, jotka tykkäävät testailla juttuja 🙂

[olkitu]

---

@Sekunti kirjoitti:

Vielä lisään tuohon edelliseen, että voihan tuon langattoman verkon piilottaa jolloin verkon tiedot syötetään manuaalisesti. Harvoin kukaan tulee nuuskimaan normikäyttäjän wifi-verkkoa kuin korkeintaan hakkerit, jotka tykkäävät testailla juttuja 🙂

---

Ja miten tämä liittyi tähän haavoittuvuuteen? Ei mitenkään eikä auta tämän kanssa mitenkään koska tämä on asiakkaslaitteen ongelma pääasiassa. Piilotettu SSID ei paranna suojausta ollenkaan, koska vielä asiakaslaitteet huutaa sitä nimeä, niin eiköhän kaikki sitten kuuleekin sen 🙂

[Sekunti]

---

@olkitu kirjoitti:

---

@Sekunti kirjoitti:

Vielä lisään tuohon edelliseen, että voihan tuon langattoman verkon piilottaa jolloin verkon tiedot syötetään manuaalisesti. Harvoin kukaan tulee nuuskimaan normikäyttäjän wifi-verkkoa kuin korkeintaan hakkerit, jotka tykkäävät testailla juttuja 🙂

---

Ja miten tämä liittyi tähän haavoittuvuuteen? Ei mitenkään eikä auta tämän kanssa mitenkään koska tämä on asiakkaslaitteen ongelma pääasiassa. Piilotettu SSID ei paranna suojausta ollenkaan, koska vielä asiakaslaitteet huutaa sitä nimeä, niin eiköhän kaikki sitten kuuleekin sen 🙂

---

Niin, totta. Ainakin erilaiset toimenpiteet vaikeuttavat, mutta eipä kiirettä koska jossakin vaiheessa laitteisiin alkaa tulemaan korjauspäivityksiä.