KRACK漏洞发现者回答纪实：所有设备都面临风险

　　原标题：可攻陷所有WiFi网络！KRACK 漏洞发现者回答纪实

　　如果你能连接到的 WiFi 一夜之间不安全了，通过自家路由器的 WiFi 上网冲浪却陷入勒索软件和其他恶意软件的包围中，一浪冲到沙滩上……

　　这并非是夸张，就在今天，比利时安全研究人员 Mathy Vanhoef 表示，WPA2安全加密协议已经被破解，并在演示视频中对一部 Android 智能手机执行了一次 KRACK。在演示中，攻击者可以对用户传输的全部数据进行解密。这一攻击方式（密钥重装攻击）对于 Linux 以及 Android 6.0 或者更高版本系统拥有强大的破坏性。

　　面对足以攻陷所有 WiFi 网络 的 KRACK 漏洞，其发现者 Mathy Vanhoef 有何看法与建议？雷锋网摘取了发现者的部分回答。

　　问：我们现在是否需要 WPA3？

　　Mathy Vanhoef：不需要，我们可以通过向下兼容的方式进行修复。这意味着安装补丁的客户端仍将与未经修复的接入点通信，反之亦然。换句话说，安装过补丁的客户端或者接入点将发送与以往完全相同的握手消息，且时间点完全一致。当然，安装更新将确保一条密钥仅被安装一次，从而避免受到攻击影响。所以一旦安装更新发布，应马上为设备安装。

　　问：我是否应该修改 WiFi 密码？

　　Mathy Vanhoef：更改 WiFi 密码并不能避免此类攻击。所以你不必更新 WiFi 网络的密码，而应该更新所有客户端设备以及路由器的固件。在路由器更新完毕后，你可以选择性地变更 WiFi 密码以作为额外预防手段。

　　问：我正在使用纯 AES WPA2 模式。这是否仍然面临安全风险？

　　Mathy Vanhoef：是的，这一网络配置同样存在安全隐患。我们的攻击手段同时针对 WPA1 与 WPA2，会影响到个人和企业网络，及所使用的任何加密套件（包括 WPA-TKIP、AES-CCMP 以及 GCMP）。所以每个人都应该更新相关设备，以防止攻击！

　　问：我的设备是否会受到影响？

　　Mathy Vanhoef：有可能，任何使用 WiFi 的设备都有可能面临这一安全风险。

　　问：如果我的路由器没有提供安全更新，该怎么办？

　　Mathy Vanhoef：我们的主要攻击手段面向四次握手，且不会利用接入点，而是主要指向客户端。因此你的路由器可能不需要进行安装更新。

　　总体来讲，你可以通过禁用客户端功能（例如用于中继器模式等）并禁用 802.11r（快速漫游）以减轻针对路由器与接入点的攻击风险。对于普通家庭用户，应该优先更新各类客户端，例如笔记本电脑及智能手机。

　　问：四次握手在数学层面上被证明是安全的，你的攻击为何能够实现？

　　Mathy Vanhoef：简单来讲，四次握手的正式实现方式并不能确保密钥仅被安装一次。相反，其仅能确保协商密钥始终处于保密状态，且握手消息不可被伪造。

　　要更具体地解答这个问题，则需要引用研究论文中的相关表述：我们的攻击并不会破坏四次握手在正式分析当中得到证明的安全属性。具体而言，这些证据表明协商加密密钥始终处于私有状态，且客户端与接入点身份亦可得到确认。我们的攻击并不会泄露加密密钥。

　　另外，虽然使用 TKIP 或者 GCMP 能够伪造正常数据帧，但攻击者仍无法伪造握手信息，因此无法在握手期间冒充客户端或者接入点。不过问题在于，证明本身并不会对密钥安装机制进行建模。换句话来讲，正式模型并没有定义应该于何时安装协商密钥。在实际使用当中，这意味着相同的密钥可进行多次安装，从而重置加密协议（例如 WPA-TKIP 或者 AES-CCMP）当中使用的随机数与重播计数器。

　　问：文中的一些攻击手段似乎很困难？

　　Mathy Vanhoef：我们已经采取后续完善工作，希望让我们的攻击手段（特别是针对 MacOS 以及 OpenBSD 的攻击）更加普遍且易于执行。当然，我们也认同文章中提到的某些攻击方法有些不切实际，但密钥重装攻击在实践当中确实有可能遭到利用。

　　问：如果攻击者可以进行中间人攻击，为什么他不能解密所有的数据？

　　Mathy Vanhoef：如上文所述，攻击者首先在被攻击者和真正的 WiFi 网络之间首先获得了一个中间人（MitM）。但是，MitM 的位置并不能使攻击者解密数据包！这个位置只允许攻击者延迟，阻止或重放加密的数据包。所以在攻击的这一点上，其还不能解密数据包。相反，延迟和阻止数据包的能力用于执行密钥重装攻击。执行密钥重装攻击后，数据包可以解密。

　　问：是否已经有人开始对这一漏洞加以实际利用？

　　Mathy Vanhoef：我们无法确定这一漏洞是否已经被他人（或者正在被他人）所利用。实际上，重装攻击能够自发发生，且其中并不涉及真正的攻击者。可能的场景为：背景干扰因素使得握手过程中的最后一条信息发生丢失，从而导致前一条信息重发。当处理这条重发信息时，密钥被重新安装，并致使随机数如真实攻击般被重复使用。

　　问：我是否应该暂时使用 WEP，直到我的设备完成补丁安装？

　　Mathy Vanhoef：不，还是继续使用 WPA2。

　　问：WiFi 标准是否会进行更新来解决这个问题？

　　Mathy Vanhoef：似乎有协议规定，WiFi 标准应该更新，以避免受到我们的攻击。这些更新可能将以向下兼容方式发布，从而覆盖其他早期 WPA2 实现方案。不过最终 WiFi 标准是否及如何更新，仍需时间来确定。

　　问：WiFi 联盟是否也在解决这些安全漏洞？

　　Mathy Vanhoef：对于不熟悉 WiFi 的用户，WiFi 联盟是一个负责证明 WiFi 设备符合某些互操作性标准的组织。除此之外，其还负责确保来自不同供应商的 WiFi 产品能够顺利地协同工作。

　　目前，WiFi 联盟已有计划帮助解决已发现的各类 WPA2 安全漏洞。总结来讲，该组织将：

　　问：你为何在演示视频中使用 match.com 作为示例？

　　Mathy Vanhoef：用户会在 match.com 这类网站上共享大量个人信息。因此本示例突出强调了攻击者能够获取的各类敏感信息，同时希望通过这个例子，人们能够更清晰地意识到这一攻击手段给用户带来影响。我们也希望通过这一例子帮助人们了解约会网站可能收集的用户信息类型。

　　问：如何避免此类 bug 的出现？

　　Mathy Vanhoef：我们需要更严格的对协议实现方案进行审查以及来自学术界的帮助和支持。在其他研究人员的协助下，我们希望组织起更多研讨活动以改进并验证各类安全协议实现方案的正确性。

　　问：与其他针对 WPA2 的攻击相比，这种攻击方式有何特点？

　　Mathy Vanhoef：这是有史以来第一种不需要依靠密码猜测的 WPA2 协议攻击手段。事实上，其他针对 WPA2 网络的攻击方法主要针对的是与之相关的其他技术，例如 WiFi 受保护设置（简称 WPS），或者 WPA-TKIP 等较为陈旧的标准。换句话来说，目前还没有哪种攻击方法专门针对四次握手或者 WPA2 协议当中的密码套件。相比之下，我们的密钥重新安装攻击专门针对四次握手（以及其他握手），这更加强调了 WPA2 协议本身所存在的安全隐患。

　　问：其他协议是否也会受到密钥重装攻击的影响？

　　Mathy Vanhoef：我们预计其他协议的某些实现方案也可能受到类似攻击的影响。因此，最好是能够将这类攻击纳入安全协议实现方案的审计工作当中。不过我们认为其他协议标准应该不会受到同一攻击手法的影响（或者我们至少希望不会）。然而，对其他协议开展针对性审计仍然很有必要！