2024年如何防范KRACK(安全指南)

哈尔斯·毛利亚高级技术专家

什麼是KRACK?
該攻擊如何發生？
哪些裝置會受到影響？
我怎樣才能保護自己免於攻擊？

什麼是KRACK?

KRACK是「密鑰重裝攻擊」（Key Reinstallation Attack）的縮寫。比利時魯汶天主教大學的博士後研究員Mathy Vanhoef發現了這項違規事件。這是一項針對WPA2協議且非常高明的攻擊。WPA2協議是目前最新的標準，且被認為是非常安全的。

KRACK針對協議規範中的一個漏洞，因此幾乎所有用於家庭、企業、政府機構等場所的Wi-Fi路由器都跟著遭殃。

該攻擊如何發生？

KRACK攻擊的目標是WPA2協議中四路交握的第三階段。而四路交握是其路由器連線網路的方式。

當客戶端和路由器通信時，其使用一個隨每個連線和每個設備而異的特殊密鑰。如此一來，其他設備即使在同一個網絡上也不能搭上同一個連線。

儘管如此，為了優化通訊並將連線問題降到最低，若路由器沒有收到來自客戶端的確認，該協議便會允許並推薦重複使用某個加密密鑰數次。 KRACK攻擊利用了這一點，並攫取一次性加密密鑰，然後再一次又一次地重複重發密鑰，以迫使客戶重新設置交換器。

藉由比較發送密鑰前後的加密文本，攻擊者可以計算出整個會話密鑰。攻擊者可以從而進行許多行動，如監控流量（類似於中間人攻擊）、安裝任何惡意軟體（如勒索軟體或木馬），並誘騙用戶連接到一個沒有HTTPS的安全網站（雖然適當配置的網站不受此影響）。

好消息是，攻擊者需要身在你路由器的位置附近才能採取這個手段，所以該攻擊發生在你家庭中的機會較少。然而，這並不影響採取預防措施的重要性。

哪些裝置會受到影響？

任何使用Wi-Fi和普通配置的WPA2協議的設備都有被攻擊的風險。儘管如此，某些操作系統比其他操作系統更容易受到攻擊。

由於其系統的建置，Android和Linux系統極易受到KRACK攻擊。在此情況下，攻擊者可以迫使通訊使用全零加密密鑰以致使安全性無法發揮作用。 Windows操作系統對這種攻擊是免疫的，而Apple公司已經開始為此作出補強。

我怎樣才能保護自己免於攻擊？

許多人認為改變你的Wi-Fi密碼可以防止這個漏洞，但實際上並沒有什麼影響。以下有幾種方法可以保護你免受有心人士的攻擊：

停止使用Wi-Fi：雖然這可能聽起來太激進，但在更新執行好前這是最好的解決方案之一。一般來說，在你的智慧型手機上使用移動數據而非Wi-Fi，尤其是在Android裝置上，並避免在公共場所（如咖啡店、機場等）使用Wi-Fi。
堅持使用HTTPS：通過HTTP傳輸的數據非常容易被監控，並以純文本的形式讀取。你應該堅持使用HTTPS網站，特別是如果你正在傳輸敏感資訊或進行線上交易。請注意，即使是安全的網站，攻擊者也可能可以誘騙你使用HTTP，因此你必須透過檢查URL欄中的綠色HTTPS標籤來自行確認。
使用VPN：使用VPN肯定會加強對於攻擊的防禦，因為其在客戶端和伺服器之間提供了一個安全的點對點通訊管道。此外，使用VPN也可以保護你免受其他威脅，所以我強烈建議你使用。
請記住，DNS請求仍然可能落在VPN網絡之外。為了防止這種情況發生，你必須選擇一個為你提供內建DNS伺服器的VPN供應商。想當然耳，你所選擇的VPN供應商必須是值得信賴而且可靠的，因為其有能力監控你所有的流量。如果可能的話，請使用付費VPN服務而非免費供應商的服務，因為確實有免費供應商販賣客戶數據的案例。（以下是可用來抵禦KRACK攻擊的最佳及最受好評VPN。）
更新你的設備：這是最重要且最可靠的解決方式。你的設備製造商終究會針對此漏洞推出修復程序，而你也應該盡快更新你的設備。這將才能治本而不只是治標。因此，請留意這些更新並閱讀其說明。然而，並不是所有製造商的反應都如此快速，有更多設備甚至都遲遲無法等到更新的曙光。在這種情況下，你便需要遵循上面討論的其他方法。

忽略KRACK攻擊很可能後患無窮，但你可以使用上述策略來確保自己和資訊的安全無虞。