19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
08/01/2024: Online la nuova Banca dati statistica dell’Inail
Uno strumento dinamico per conoscere e monitorare i dati sull’andamento delle aziende, degli addetti-anno assicurati, degli infortuni e delle malattie professionali
21/12/2023: Il calendario 2024 con la sicurezza in pillole
La sicurezza non è un hobby, è la vita: il calendario della sicurezza dello SPISAL dell’Ulss Dolomiti
20/12/2023: La Privacy sotto l’albero
I consigli del Garante per proteggere efficacemente i dati personali anche a Natale
19/12/2023: OiRA: rinnovato il sito web
Per promuovere una valutazione dei rischi senza soluzioni di continuità
18/12/2023: Come utilizzare l’economia circolare per migliorare la biodiversità?
Le azioni verso un’economia circolare sono della massima importanza per salvaguardare la natura, ridurre l’inquinamento e raggiungere la neutralità climatica in Europa entro il 2050.
13/12/2023: Le emissioni di gas serra dell’UE
...sono diminuite lo scorso anno, ma sono ancora necessari sforzi accelerati per raggiungere gli ambiziosi obiettivi del 2030
12/12/2023: Il nuovo regolamento macchine: novita’ ed inquadramento tecnico
Un evento gratuito il 15 dicembre per introdurre le novità del nuovo Regolamento Macchine UE 2023/1230.
05/12/2023: La tutela del lavoratore nelle novità legislative
Avvocati Inail, la tutela del lavoratore nelle novità legislative e nel diritto vivente al centro del 22esimo seminario nazionale
29/11/2023: Cambiamento climatico: i “broken records” dell’Unep
È ancora possibile realizzare l’obiettivo di un aumento della temperatura globale limitato a 1,5 gradi centigradi?
28/11/2023: Salute, sicurezza, sostenibilità: le sfide della quinta rivoluzione industriale
Un seminario di aggiornamento a Roma, dal 4 al 6 dicembre 2023
27/11/2023: Un interpello sulla qualifica di sottoprodotto
Possono essere classificati come "sottoprodotti" anche residui derivanti da attività di servizio o ausiliare?
23/11/2023: Signal for help: come segnalare una possibile violenza sulle donne
Per segnalare una violenza domestica o una violenza sulle donne alcune organizzazioni hanno stabilito un “Signal for help”, un segnale di aiuto. Come segnalare una possibile violenza.
22/11/2023: Un rapporto sulle emissioni di inquinanti atmosferici
Disponibile il Rapporto AEA n. 4/2023
20/11/2023: Una campagna e un’infografica per ridurre la violenza sulle donne
Per ridurre la violenza sulle donne e nelle relazioni è importante che tutti sappiano riconoscere i segnali della violenza. L’infografica della campagna “Abuse is not love” e i nove segnali di allerta.
17/11/2023: Lavoro sano e sicuro nell'era digitale
Un convegno gratuito a Brescia il 21 novembre per la "Campagna europea 2023 -2025 Ambienti di lavoro sani e sicuri"
17/11/2023: Convegno Safap 2023
Si svolgerà a Brescia dal 22 al 24 novembre 2023 il convegno gratuito "Sicurezza e affidabilità delle attrezzature a pressione e degli impianti di processo"
15/11/2023: Le morti premature causate dall'inquinamento atmosferico
Sono in continuo calo nell'UE, ma è necessario un maggiore impegno per creare un ambiente privo di sostanze tossiche
14/11/2023: La digitalizzazione può sostenere il passaggio a trasporti più sostenibili
Le tecnologie digitali offrono opportunità per mitigare gli impatti del settore della mobilità europeo. Un briefing previsionale separato esamina più da vicino il telelavoro e la sostenibilità.
09/11/2023: Presenta la tua candidatura ai premi per le buone pratiche
Entra nell’era digitale del lavoro!
08/11/2023: Energie per la mobilità
Rinnovata la collaborazione tra Inail e Unem per la salute e la sicurezza nella filiera
1 2 3 4 5 6 7 8 9 10 11