Apakah kerentanan WiFi KRACK telah ditambal untuk iOS?

41

Ada kerentanan baru di WPA2 yang disebut KRACK (kependekan dari Key Reinstallation Attack), seperti yang dijelaskan dalam artikel The Guardian: ' Semua jaringan WiFi' rentan terhadap peretasan, ahli keamanan menemukan '

Menurut artikel:

Kerentanan mempengaruhi sejumlah sistem operasi dan perangkat, kata laporan itu, termasuk Android, Linux, Apple , Windows, OpenBSD, MediaTek, Linksys dan lainnya.

Apakah ada rilis keamanan untuk iOS yang memperbaiki ini?

ios wifi security dwightk
sumber
5
Tutup pemilih: Pertanyaan ini jelas tentang topik di sini; kecuali Anda terbiasa dengan pekerjaan internal manajemen kerentanan keamanan, sulit untuk melakukan riset - pada dasarnya, Anda tidak tahu apa yang tidak Anda sadari.
Allan
5
Pembaruan firmware AirPort akan menjadi sama pentingnya!
self.name

Jawaban:

32

Pembaruan dirilis 31 Oktober 2017

Apple telah merilis pembaruan yang mencakup perbaikan untuk kerentanan KRACK untuk macOS, iOS, tvOS dan watchOS. Untuk mendapatkan pembaruan:

Adalah kebijakan Apple untuk tidak mengomentari kerentanan keamanan sampai mereka ditambal, dan bahkan ketika mereka melakukannya, mereka sering tidak jelas tentang hal itu.

Tentang pembaruan keamanan Apple

Demi perlindungan pelanggan kami, Apple tidak mengungkapkan, mendiskusikan, atau mengonfirmasi masalah keamanan sampai investigasi telah terjadi dan tambalan atau rilis tersedia. Rilis terbaru terdaftar di halaman pembaruan keamanan Apple .

Namun, dengan sedikit pekerjaan detektif, kita bisa mendapatkan beberapa wawasan. Melihat CVEs yang ditugaskan untuk kerentanan khusus ini , * kita bisa mendapatkan daftar masalah yang harus diatasi oleh Apple ketika mereka memutuskan untuk mengeluarkan patch keamanan:

  • CVE-2017-13077: Instalasi ulang kunci enkripsi berpasangan (PTK-TK) dalam jabat tangan 4 arah.
  • CVE-2017-13078: Instalasi ulang kunci grup (GTK) dalam jabat tangan 4 arah.
  • CVE-2017-13079: Instalasi ulang kunci grup integritas (IGTK) dalam jabat tangan 4 arah.
  • CVE-2017-13080: Instalasi ulang kunci grup (GTK) di jabat tangan kunci grup.
  • CVE-2017-13081: Instalasi ulang kunci grup integritas (IGTK) di jabat tangan kunci grup.
  • CVE-2017-13082: Menerima Permintaan Reasosiasi Cepat BSS Transisi (FT) yang dikirimkan ulang dan menginstal ulang kunci enkripsi berpasangan (PTK-TK) saat memprosesnya.
  • CVE-2017-13084: Menginstal ulang kunci STK di jabat tangan PeerKey.
  • CVE-2017-13086: menginstal ulang Tunered Direct-Link Setup (TDLS) PeerKey (TPK) key di handshake TDLS.
  • CVE-2017-13087: instal ulang kunci grup (GTK) saat memproses bingkai Respons Mode Tidur Manajemen Jaringan (WNM) Nirkabel.
  • CVE-2017-13088: instal ulang kunci grup integritas (IGTK) saat memproses bingkai Respons Mode Tidur Manajemen Jaringan Nirkabel (WNM).

Juga, Artikel ZDNet ini - Inilah setiap tambalan untuk kerentanan KRACK Wi-Fi yang tersedia saat ini (16 Oktober 2017) menunjukkan bahwa vendor merespons dengan cepat dan Apple telah mengkonfirmasi bahwa tambalan dalam versi beta.

Apple mengonfirmasi bahwa ia memiliki perbaikan dalam versi beta untuk iOS, MacOS, WatchOS dan TVOS, dan akan meluncurkannya dalam pembaruan perangkat lunak dalam beberapa minggu.

* Common Vulnerabilities and Exposures (CVE®) adalah daftar pengidentifikasi umum untuk kerentanan keamanan cyber yang diketahui secara publik. Penggunaan "Pengidentifikasi CVE (ID CVE)," yang ditugaskan oleh Otoritas Penomoran CVE (CNA) dari seluruh dunia, memastikan kepercayaan di antara para pihak ketika digunakan untuk membahas atau berbagi informasi tentang kerentanan perangkat lunak yang unik, memberikan dasar untuk evaluasi alat, dan memungkinkan pertukaran data untuk otomatisasi keamanan siber.

Allan
sumber
2
Saya tergoda untuk menguji ini; tidak adanya dokumentasi perbaikan mungkin secara efektif menjadi bukti tidak adanya perbaikan tetapi Apple bisa saja bermain trik psikologis pada cracker wannabe untuk mengalihkan mereka dari masalah terbuka. (Tentu saja, saya tidak akan membagikan temuan saya sampai Apple menyelesaikan masalah.)
wizzwizz4
11

Rene Ritchie, pemimpin redaksi iMore, melaporkan bahwa kerentanan ini diperbaiki di semua beta macOS, watchOS, tvOS, dan iOS saat ini .

Hingga pembaruan dikirimkan, banyak blog keamanan menyarankan untuk menggunakan VPN dan situs yang dilindungi SSL untuk melindungi informasi yang dikirim melalui Wi-Fi.

Meskipun SSL tidak menjamin keamanan data dari serangan KRACK, itu membuatnya secara signifikan lebih sulit. Namun, KRACK mendapatkan akses yang cukup dalam untuk mengakses data sebelum enkripsi.

vykor
sumber
2
Tapi tolong jangan gunakan VPN gratis atau tidak terpercaya karena itu hanya akan menukar satu ancaman dengan yang lain
Steve
1
Iya nih. Garis VPN itu ditambahkan ke posting asli saya oleh editor. Saya pribadi tidak akan mempercayai VPN apa pun yang tidak saya jalankan sendiri, dari server saya sendiri.
vykor
Saya memang melihat bahwa itu bukan hasil edit Anda, tetapi hanya ingin memastikan saya menambahkan catatan untuk siapa saja yang lewat :)
Steve
1
"Namun, KRACK mendapatkan akses yang cukup dalam untuk mengakses data sebelum enkripsi." Umm no. Ini adalah kerentanan dalam komunikasi nirkabel. Ini jawaban Anda, Anda bisa menolak pengeditan yang dilakukan orang lain.
miken32
1
@FyodorGlebov serangan ini terhadap klien. Router harus diperbarui, tetapi klien adalah sumber kerentanan.
dwightk
-2

Mempertimbangkan kerentanan baru saja diterbitkan (pada saat pertanyaan ini diajukan) dan saya ragu bahwa itu dikirim ke produsen mana pun terlebih dahulu (karena itu akan sangat sulit mengingat sejumlah pihak untuk menginformasikan tentang hal ini) - perlu beberapa saat bagi Apple untuk bundel pembaruan baru untuk semua perangkat yang ada dan lepaskan.

Seperti yang selalu terjadi sebelum Apple tidak melakukan patch mendesak iOS / Mac OS hanya untuk satu kerentanan, itu bundel beberapa perbaikan / perubahan bersama menjadi pembaruan.

Juga membuat perbaikan, pengujian, verifikasi, rilis dll membutuhkan waktu. Jadi itu tidak akan ditangani secara instan.

Alexey Kamenskiy
sumber
10
US-CERT mengoordinasikan pemberitahuan dalam kasus ini. Untuk kasus ini, vendor diberitahu pada bulan Juli dan Agustus ( krackattacks.com ). Banyak waktu diberikan sebelum pengungkapan. Faktanya, OpenBSD melanggar embargo dan ditambal terlalu dini, menyebabkan insiden kecil dengan peneliti asli.
vykor
2
"Seperti yang selalu terjadi sebelum Apple tidak melakukan patch mendesak iOS / Mac OS hanya untuk satu kerentanan ..." Err, Apple memang dengan cepat merilis patch satu kali untuk Bash — di luar saluran dan jadwal pembaruan normal — ketika “shellshock” telah ditemukan.
JakeGould