11 KiB
由 KRACK 攻击想到的确保网络安全的小贴士
最近的 KRACK （密钥重装攻击，一个安全漏洞名称或该漏洞利用攻击行为的名称）漏洞攻击的目标是，在你的设备和 Wi-Fi 访问点之间的链路，它或许是在你家里、办公室中、或你喜欢的咖啡吧中的任何一台路由器，这些提示能帮你提升你的连接的安全性。Creative Commons ZeroPixabay
KRACK 漏洞攻击 现在已经超过 48 小时，并且已经在 相关技术网站 上有很多详细的讨论，因此，我将不在这里重复攻击的技术细节。攻击方式的总结如下：
-
在 WPA2 无线握手协议中的一个缺陷允许攻击者在你的设备和 wi-fi 访问点之间嗅探或操纵通讯。
-
它在 Linux 和 Android 设备上尤其严重，由于在 WPA2 标准中的措施含糊不清，也或许是在实现它时的错误理解，事实上，直到操作系统底层打完补丁以前，该漏洞一直可以强制实现无线之间的无加密通讯。
-
这个漏洞可以在客户端上修补，因此，天并没有塌下来，而且，WPA2 加密标准并没有像 WEP 标准那样被淘汰（不能通过切换到 WEP 加密的方式去“修复”这个问题）。
-
大多数流行的 Linux 分发版都已经通过升级修复了这个客户端上的漏洞，因此，老老实实地去更新它吧。
-
Android 也很快修复了这个漏洞。如果你的设备接收到了 Android 安全补丁，你将修复这个漏洞。如果你的设备不再接收这些更新，那么，这个特别的漏洞将是你停止使用你的旧设备的一个理由。
即使如此，从我的观点来看， Wi-Fi 是不受信任的基础设施链中的另一个环节，并且，我们应该完全避免将其视为可信任的通信通道。
作为不受信任的基础设备的 Wi-Fi
如果从你的笔记本电脑或移动设备中读到这篇文章，那么，你的通信链路看起来应该是这样：
KRACK 攻击目标是在你的设备和 Wi-Fi 访问点之间的链接，它或许是在你家里、办公室中、或你喜欢的咖啡吧中的任何一台路由器。
实际上，这个图示应该看起来像这样：
Wi-Fi 仅仅是在我们不信任的信道的长通信链的第一个链路。如果我去假设，你使用的 Wi-Fi 路由器没有使用一个安全更新，并且，更严重的是，它或许使用了一个从未被更改过的、缺省的，易猜出的管理凭据（用户名和密码）。除非你自己安装并配置你的路由器，并且你可以记得你上次更新的它的固件，否则，你应该假设现在它已经被一些人控制并不受信任的。
说完 Wi-Fi 路由器，我们的通讯进入一般意义上的常见不信任区域 -- 根据你的猜疑水平，这里有上游的 ISPs 和提供商，其中的很多已经被监视、更改、分析和销售我们的流量数据，试图从我们的浏览习惯中赠更多的钱。通常他们的安全补丁计划还留下许多期望改进的地方，最终让我们的流量暴露在一些恶意者眼中。
一般来说，在因特网上，我们必须担心强大的国家级的参与者能够操纵核心网络协议，以执行大规模的网络监视和状态级的流量过滤。
HTTPS 协议
值的庆幸的是，我们有一个基于不信任的介质进行安全通讯的解决方案，并且，我们可以每天都能使用它 -- HTTPS 协议，它加密你的点对点的因特网通讯，并且确信我们可以信任，站点与我们之间的通讯。
Linux 基金会的一些措施，比如像 让我们加密吧 使世界各地的网站所有者都可以很容易地提供端到端的加密，这有助于确保我们的个人设备与我们试图访问的网站之间的任何有安全隐患的设备不再重要。
是的... 几乎无关紧要。
DNS —— 剩下的一个问题
虽然，我们可以尽职尽责使用 HTTPS 去创建一个可信的通信信道，但是，这里仍然有一个攻击者可以访问我们的路由器或修改我们的 Wi-Fi 流量的机会 -- 在使用 KRACK 的这个案例中 -- 可以欺骗我们的通讯进入一个错误的网站。他们可以利用我们仍然非常依赖 DNS 的这一事实 -- 一个未加密的、易受欺骗的 诞生自1980年代的协议。
DNS 是一个将人类友好的域名像 “linux.com” 这样的，转换成计算机可以用于和其它计算机通讯的 IP 地址的一个系统。去转换一个域名到一个 IP 地址，计算机将查询解析软件 -- 通常运行在 Wi-Fi 路由器或一个系统上。解析软件将查询一个分布式的 “root” 域名服务器网络，去找到在因特网上哪个系统有 “linux.com” 域名所对应的 IP 地址的“权威”信息。、
麻烦的是，所有发生的这些通讯都是未经认证的、易于欺骗的、明文协议、并且响应可以很容易地被攻击者修改，去返回一个不正确的数据。如果有人去欺骗一个 DNS 查询并且返回错误的 IP 地址，他们可以操纵我们的系统最终发送 HTTP 请求到那里。
幸运的是，HTTPS 有一些内置的保护措施去确保它不会很容易地被其它人诱导至其它假冒站点。恶意服务器上的 TLS 凭据必须与你请求的 DNS 名字匹配 -- 并且它必须通过你的浏览器由一个公认的、可信任的 认证机构 发布。如果不是这种情况，你的浏览器将在你试图去与他们告诉你的地址进行通讯时出现一个很大的警告。如果你看到这样的警告，在选择不理会警告之前，请你格外小心，因为，它有可能会把你的秘密泄露给那些可能会对付你的人。
如果攻击者完全控制了路由器，他们在一开始时，通过拦截来自服务器的指示你建立一个安全连接的响应，可以阻止你使用 HTTPS 连接（这被称为 “SSL 脱衣攻击”）。 为帮助你保护这种类型的攻击，站点可以增加一个 特殊响应头 去告诉你的浏览器以后与它通讯时使用 HTTPS 协议，但是，这仅仅是在你首次访问之后的事。对于一些非常流行的站点，浏览器现在包含一个 域名硬编码列表，即使是首次连接，它也将总是使用 HTTPS 协议访问。
现在已经有了 DNS 欺骗的解决方案，它被称为 DNSSEC，由于有重大的障碍 -- 真实和可感知的（译者注，指的是要求实名认证），它看起来接受程序很慢。直到 DNSSEC 被普遍使用之前，我们必须假设，我们接收到的 DNS 信息是不能完全信任的。
使用 VPN 去解决“最后一公里”的安全问题
因此，如果你不能信任固件太旧的 Wi-Fi -- 和/或无线路由器 -- 我们能做些什么来确保，发生在你的设备与一般说的因特网之间的“最后一公里”通讯的完整性呢？
一个可接受的解决方案是去使用信誉好的 VPN 供应商的 VPN 服务，它将在你的系统和他们的基础设施之间建立一条安全的通讯链路。这里有一个期望，就是它比你的路由器提供者和你的当前因特网供应商更注重安全，因为，他们处于一个更好的位置去确保你的流量不会受到恶意的攻击或欺骗。在你的工作站和移动设备之间使用 VPN，可以确保免受像 KRACK 这样的漏洞攻击，或不安全的路由器不会影响你与外界通讯的完整性。
这有一个很重要的警告是，当你选择一个 VPN 供应商时，你必须确信他们的信用；否则，你将被另外的一拨恶意的“演员”交易。远离任何人提供的所谓“免费 VPN”，因为，它们可以通过监视你和向市场营销公司销售你的流量来赚钱。 这个网站 是一个很好的资源，你可以去比较他们提供的各种 VPN，去看他们是怎么互相竞争的。
注意，你所有的设备都应该在它上面安装 VPN，那些你每天使用的网站，你的私人信息，尤其是任何与你的钱和你的身份（政府、银行网站、社交网络、等等）有关的东西都必须得到保护。VPN 并不是对付所有网络级漏洞的万能药，但是，当你在机场使用无法保证的 Wi-Fi 时，或者下次发现类似 KRACK 的漏洞时，它肯定会保护你。
via: https://www.linux.com/blog/2017/10/tips-secure-your-network-wake-krack
作者：KONSTANTIN RYABITSEV 译者：qhwdw 校对：校对者ID