19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
16/10/2015: Convegno in streaming sulle novità del d.lgs. 81/08
Si svolgerà il 19 ottobre il convegno gratuito "Le novità e gli adempimenti ai sensi del d.lgs. 81/08". L'evento sarà visibile anche in streaming.
16/10/2015: Settimana europea per la sicurezza: gli eventi dell'INAIL
L’Inail, in qualità di focal point per l’Italia, ha promosso un interessante calendario di seminari e appuntamenti culturali
15/10/2015: Le criticita' della formazione in materia di Salute e sicurezza sul Lavoro
Lettera inviata dalla CIIP al Ministero del Lavoro, al Coordinamento Tecnico delle Regioni, all'Assessorato alla Sanità dell'Emilia Romagna ed alla AUSL di Bologna.
15/10/2015: Seminari gratuiti per la Settimana della Sicurezza
La Direzione Centrale Organizzazione della Regione Emilia-Romagna organizza, dal 19 al 23 ottobre 2015, alcuni seminari in occasione della Settimana della Sicurezza. I Seminari saranno visibili anche in streaming
14/10/2015: Parametri microclimatici che influenzano l'inquinamento indoor
Pubblicata una disamina tecnica a cura del Gruppo di Studio Nazionale sull’Inquinamento Indoor
13/10/2015: Coro di cani: la sicurezza a teatro
Nell’ambito della Settimana Europea della Sicurezza l’Inail di Bergamo ha organizzato uno spettacolo teatrale dal titolo “Coro di cani”, che si svolgerà sabato 24 Ottobre presso il Teatro alle Grazie di Bergamo.
13/10/2015: Settimana europea per la sicurezza e la salute sul lavoro
Prevista dal 19 al 23 ottobre, la settimana fa parte della campagna Ambienti di lavoro sani e sicuri
12/10/2015: Resoconto della 65 Giornata Nazionale per le Vittime degli Incidenti sul Lavoro
Gli interventi della manifestazione nazionale a Roma
09/10/2015: Il futuro della formazione ad Ambiente Lavoro
Dal 14 al 16 ottobre, ad Ambiente Lavoro 2015 di Bologna, Mega Italia Media presenta le novità e le offerte relative ai prodotti per la formazione alla sicurezza. In omaggio i calendari 2016 di PuntoSicuro.
09/10/2015: 65ª Giornata per le Vittime degli Incidenti sul Lavoro
11 ottobre: L’ANMIL celebra la 65ᵃ edizione della Giornata Nazionale per le Vittime degli Incidenti sul Lavoro.
08/10/2015: Ricerca attiva delle patologie professionali e miglioramento delle notizie sullo stato di salute dei lavoratori
Si terrà il 30 ottobre a Viterbo il seminario "Ricerca attiva delle patologie professionali e miglioramento delle notizie sullo stato di salute dei lavoratori"
06/10/2015: Prepararsi all’impatto
Cyber crimine in crescita del 30% nei primi sei mesi del 2015.
06/10/2015: Come cambia la procedura in caso di malattia professionale?
Sintesi dell'italico bordello di sovrapposizioni di leggi...
05/10/2015: Convegno sulla nuova norma CEI 11-27
Si terrà a Taranto il 9 ottobre un incontro tecnico di aggiornamento professionale sulla nuova edizione della norma CEI 11-27 "Lavori su impianti elettrici"
02/10/2015: La sicurezza sul lavoro va in scena con “Renaceré_Rinascerò”
Previste due date a ottobre a Roma e Milano.
02/10/2015: Itaca: analisi della direttiva 2014/23/ue in materia di appalti e concessioni
Approvato un documento sull'analisi delle nuove direttive europee in materia di contratti di concessione
01/10/2015: Il rischio biologico negli ambulatori “Prime Cure“ Inail
Proposta di valutazione attraverso una metodologia integrata.
30/09/2015: Pubblicata la nuova edizione della norma UNI EN ISO 9001:2015
UNI EN ISO 9001:2015 "Sistemi di gestione per la qualità - Requisiti”
29/09/2015: Giornata mondiale per il cuore: fai una scelta di cuore… sul luogo di lavoro
Insieme al mondo del lavoro per ridurre la mortalità dalla malattie cardiovascolari
29/09/2015: Mettere in sicurezza conviene
Si terrà a Bologna il 2 ottobre il convegno gratuito "Mettere in sicurezza conviene"
92 93 94 95 96 97 98 99 100 101 102