1.WPA2既然不安全，是否到了該需要更換WPA3的時候了？
不。
這次的漏洞可以透過更新來解決。更新之後的客戶端（行動裝置、筆電）依然可以與一個沒有更新的路由器端進行通訊，換句話說，更新之後的客戶端或是AP，採用的handshake跟之前的方式是一樣的。但是更新之後，可以確保加密金鑰只能被安裝在裝置上一次，透過這種方式，可以確保防止KRACK攻擊。
所以，只要更新你的裝置的安全更新，就可以解決KRACK攻擊的問題。
要注意的是，雖然一個沒有更新的客戶端，一樣可以連接上一個已經更新的AP端；或是更新的客戶端可以與一個沒有更新的AP端進行通訊，但是強烈建議兩端都必須要進行更新，才能確保抵擋KRACK攻擊。
2.我該更換我的Wi-Fi密碼嗎？
KRACK攻擊與密碼無關，更換或是不更換密碼都無法防止KRACK攻擊。要防止的方法只有更新手機或是行動裝置的安全更新，以及路由器要更新韌體。
不過，當你更新了你的客戶端以及路由器端裝置韌體之後，如果你想更換你的Wi-Fi密碼，也不是一個壞主意。
3.我用的是企業級的路由器，也會受到影響嗎？
沒錯。
KRACK攻擊對於WPA1以及WPA2都同樣有效，對於個人或是企業架構都適用，並且適用於WPA-TKIP, AES-CCMP, GCMP等加密方式。
4.KARCK的作者是誰？
就是網站作者本人，Mathy Vanhoef，他是比利時KU Leuven大學一位資安研究員。雖然在發表的報告上還有合作的其它專家，不過KRACK實際的所有工作都是由Mathy Vanhoef獨立完成的。
5.說了這麼多，我的裝置是不是會被KRACK攻擊
有可能。
任何使用Wi-Fi的裝置都可能會被KRACK攻擊。但實際上因為各種裝置不同的狀況，你可能要請教原廠來詢問更多的資訊。
但你也不用太過擔心，因為要實現KRACK攻擊，駭客必須要一對一並且親自到你附近才能進行攻擊，無法利用工具大批次的進行入侵。這種攻擊方式太過沒有效率，對於一般駭客來說還看不上眼。除非你真的擁有有價值的資料或是名人，否則應該不會有駭客用這種方式來攻擊你。
6.如果我的路由器沒有安全更新的消息怎麼辦？
KRACK攻擊是針對四路握手協議而來，攻擊的目標不是在AP，而是在客戶端。所以，也許你的路由器並不需要安全更新。但還是建議你向原廠瞭解進一步的資訊。不過，你可以透過下列方式來降低攻擊路由器的可能：關閉客戶端功能、將802.11r的功能disabling掉。
對於一般家用使用者，你第一優先該做的是先更新客戶端的安全更新，像是筆電、智慧手機，這個優先權要高於路由器的更新。
7.4路的握手協議已經在數學上被證明了是夠安全的，為什麼KRACK攻擊會成功？
簡單的回答，就是目前的4路握手協議並沒有辦法確保金鑰只能被安裝一次。它只能確保金鑰維持隱密性，以及握手過程中傳遞的訊息並不會被偽造。
KRACK並沒有破解4路握手協議的安全性。事實上，在過程中傳遞的加密金鑰依然是安全的，以及握手協議過程中，用來確認AP端以及客戶端的身份驗證性也是安全的。KRACK並沒有破解加密金鑰，因此4路握手協議依然是安全的。
8.在你的報告中，有些攻擊看來很難以在現實環境中實現
我們試著將KRACK攻擊應用在不同的環境上（例如攻擊 macOS、OpenBSD），發現大多數情況下都是很容易去執行的。所以，我們也同意在這份報告中某些情況的確比較不容易發生，但是不要因為這個特殊狀況讓你誤解KRACK攻擊不可能在現實中用到。
9.如果攻擊者可以實現中間人攻擊，為什麼不在「中間人」的時候就解密封包？
要實現中間人攻擊，他必須要在實際的Wi-Fi網路範圍內，並且與受害者在同一個網域下。
總之，雖然可以讓駭客成為中間人攻擊的攻擊者，但無法讓他解密封包。它只能讓他延遲、遮蔽或是重送加密封包。因此，當他還是「中間人」的時候，是無法讀取封包內容的。這個「中間人」的過程，只是讓他得以進行KRACK攻擊，當他實施了這個攻擊，金鑰被重複安裝，封包才可能被解密。
10.我該暫時回去使用WEP加密協議，直到有更新出來嗎？
千萬不要。
WEP更不安全，請繼續使用WPA2。
11.為什麼你在示範的攻擊影片中，要用match.com來示範？
使用者在match.com上面分享了很多個人資訊，所以這個範例可以讓大家瞭解到攻擊者可以獲得到多敏感的資料。我們也希望透過這個影片，讓更多人知道，他們在約會網站上的所有資訊都是可能被收集的。
12.Wi-Fi標準是否也該更新，以因應這類型的攻擊？
是。未來應該更新因應到最新的狀況，並且向下相容到舊版（現在使用的）的WPA2。
13.與其它的WPA2攻擊比較起來，這次的攻擊有何不同？
這是首次不依靠密碼對WPA2協議進行的攻擊。
其它的WPA2攻擊主要是利用WPS漏洞、或是暴力密碼破解法。沒有一個現有的攻擊法是針對四路握手協議而來。KRACK攻擊是針對WPA2加密協議本身進行攻擊的。
14.講真的，你靠這次的漏洞賺了多少錢？
我還沒有申請任何的漏洞獎金，因此我也沒有收到任何一筆獎金。
附加題:既然KRACK網站說可以攻擊Android與Linux，那麼iPhone安全嗎?
這也是很多網友會問的問題，在官網上並沒有針對iPhone提出來會不會被攻擊。不過，其實只要是用到WPA的機制，都會受到影響，也包含了iPhone跟Mac。
根據macrumors的報導，蘋果官方對記者的回應是，蘋果已經針對KRACK攻擊推出了更新。（同樣的，這則也表明了，KRACK會影響的裝置包括 iOS, tvOS, watchOS, and macOS等系統）
from T客邦 http://ift.tt/2ynAL47
沒有留言:
張貼留言