Bei Android 6 ist es besonders schlimm
Im Beispiel greifen die Forscher ein Android-Smartphone mit Android 6 an. Hier ist der Angriff seiner Darstellung nach "besonders verheerend", weil Android nach der Neuinstallation des Schlüssels auf einen leeren Verschlüsselungskey zurückfällt, anstatt den eigentlichen Session-Key zu benutzen. Aus diesem Grund sei es möglich, auch Inhalte der Verbindung zu manipulieren. Im Beispiel wird die Datingseite Match.com aufgerufen und per SSL-Strip die eigentlich vorhandene TLS-Verschlüsselung entfernt. Danach lassen sich eingegebene Daten per Wireshark auslesen.
Der Autor des Papiers gibt an, dass viele Nutzer das nicht merken würden. Moderne Browser warnen allerdings mittlerweile vor der Eingabe von Zugangsdaten in unverschlüsselte Eingabefelder.
Als Schutz vor entsprechenden Angriffen schlägt Vanhoef vor, im Handshake festzuschreiben, dass jeder Schlüssel nur einmal installiert wird.
Updates für Linux werden verteilt
Für Linux-Nutzer stehen Patches für die Standard-WLAN-Implementierung, wpa_supplicant, bereit, die die beschriebenen Probleme beheben sollen. Auf der Webseite der Entwickler heißt es dazu, dass sämtliche Versionen der Software in der ein oder anderen Art und Weise von dem Fehler betroffen seien. Das betrifft die in den meisten Linux-Distributionen genutzten Version 2.3, 2.4, 2.5 und 2.6 und wahrscheinlich auch ältere Versionen.
Verschiedene Linux-Distributoren haben die Patches für wpa_supplicant inzwischen verteilt oder bereiten dies vor. Dazu gehören Debian, Suse, und Red Hat. Für Ubuntu stehen die Informationen noch nicht öffentlich bereit, es ist aber davon auszugehen, dass die Patches hier ebenfalls schnell verteilt werden.
Update-Lotterie unter Android
Wie erwähnt ist auch Android von den Sicherheitslücken betroffen, da auch das auf Linux basierenden Mobilbetriebssystem von Google wpa_supplicant nutzt. Das Problem und die möglichen Angriffe sind damit die gleichen wie bei den anderen Linux-Distributionen auch, nur sind die Updates unter Android nicht einfach durch Nutzer einspielbar.
Die vergangenen Jahre haben zudem gezeigt, dass die meisten Android-Geräte nur selten Updates für derart tief im System steckende Fehler erhalten. Vermutlich sollten aber aktuell noch unterstützte Geräte namhafter Hersteller mit dem nächsten Systemupdate die entsprechenden Patches erhalten.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Krack: WPA2 ist kaputt, aber nicht gebrochen | Windows, Apple und fast alle Access Points betroffen |
Keine Ahnung, ich mach's einfach. Ich bin aber auch kein Großer Spieler. Mein letztes...
Na ja, komplett fehlt der Service nicht - aber besonders lange gibt es die Firmware...
Zur eigenen Fritzbox ist ein VPN natürlich sicher. Aber was dann? A) du willst auf dein...
Ja, aber ... - wann hast Du zuletzt geschaut? - welches ist das Richtige? - der Client...