Была ли исправлена ​​уязвимость WiFi KRACK для iOS?

В WPA2 появилась новая уязвимость, называемая KRACK (сокращение от Key Reinstallation Attack), как описано в статье The Guardian: « Все WiFi-сети» уязвимы для взлома, обнаруживает эксперт по безопасности ».

Согласно статье:

В отчете говорится, что уязвимость затрагивает ряд операционных систем и устройств, в том числе Android, Linux, Apple , Windows, OpenBSD, MediaTek, Linksys и других.

Были ли какие-либо релизы безопасности для iOS, исправляющие это?

Обновления выпущены 31 октября 2017 г.

Apple выпустила обновления, которые включают исправление уязвимости KRACK для macOS, iOS, tvOS и watchOS. Чтобы получить обновления:

• macOS High Sierra 10.13.1 и обновления безопасности для Sierra & El Capitan -
  запустите App Store и выберите вкладку «Обновления».
• iOS 11.1 -
  выберите «Настройки»> «Основные»> «Обновление программ».
• watchOS 4.1 -
  Запустите приложение Watch на вашем iPhone, затем выберите «Основные»> «Обновление программного обеспечения».
• tvOS 11.1 -
  для Apple TV 4 (и 4K) перейдите в «Настройки»> «Система»> «Обновления программного обеспечения» и выберите «Обновить программное обеспечение».
  Для Apple TV (2-го / 3-го поколения) выберите «Настройки»> «Основные»> «Обновление программного обеспечения».

Политика Apple состоит в том, чтобы не комментировать уязвимости безопасности до тех пор, пока они не будут исправлены, и даже когда они это делают, они часто весьма расплывчаты по этому поводу.

Об обновлениях безопасности Apple

В целях защиты наших клиентов Apple не раскрывает, не обсуждает и не подтверждает проблемы безопасности, пока не будет проведено расследование и не появятся исправления или выпуски. Последние выпуски перечислены на странице обновлений безопасности Apple .

Тем не менее, с небольшой работой детектива, мы можем получить некоторое понимание. Рассматривая CVE, назначенные для этой конкретной уязвимости , ^* мы можем получить список проблем, которые Apple должна решить, когда они решат выпустить исправление безопасности:

• CVE-2017-13077: переустановка ключа парного шифрования (PTK-TK) при четырехстороннем рукопожатии.
• CVE-2017-13078: переустановка группового ключа (GTK) при четырехстороннем рукопожатии.
• CVE-2017-13079: переустановка ключа группы целостности (IGTK) при четырехстороннем рукопожатии.
• CVE-2017-13080: переустановка группового ключа (GTK) в рукопожатии группового ключа.
• CVE-2017-13081: переустановка ключа группы целостности (IGTK) при квитировании ключа группы.
• CVE-2017-13082: Прием повторно переданного запроса на повторную ассоциацию быстрого BSS-перехода (FT) и переустановка ключа парного шифрования (PTK-TK) при его обработке.
• CVE-2017-13084: переустановка ключа STK в рукопожатии PeerKey.
• CVE-2017-13086: переустановка ключа PeerKey (TPK) Tunneled Direct-Link Setup (TDLS) при установлении связи TDLS.
• CVE-2017-13087: переустановка группового ключа (GTK) при обработке кадра ответа режима ожидания беспроводного сетевого управления (WNM).
• CVE-2017-13088: переустановка ключа группы целостности (IGTK) при обработке кадра ответа режима ожидания беспроводного сетевого управления (WNM).

Кроме того, эта статья в ZDNet. Вот каждый патч для уязвимости KRACK Wi-Fi, доступный прямо сейчас (16 октября 2017 г.), указывает, что производители быстро реагируют, и Apple подтвердила, что патчи находятся в бета-версии.

Apple подтвердила, что у нее есть исправление в бета-версии для iOS, MacOS, WatchOS и TVOS, и будет обновлено через несколько недель.

---

^* Общие уязвимости и уязвимости (CVE®) - это список общих идентификаторов общеизвестных уязвимостей кибербезопасности. Использование «Идентификаторов CVE (CVE IDs)», которые назначаются органами нумерации CVE (CNA) со всего мира, обеспечивает доверие сторон при использовании для обсуждения или обмена информацией об уникальной уязвимости программного обеспечения, обеспечивает основу для оценки инструмента, и обеспечивает обмен данными для автоматизации кибербезопасности.

---

Рене Ритчи, главный редактор iMore, сообщает, что эта уязвимость исправлена ​​во всех текущих бета-версиях macOS, watchOS, tvOS и iOS .

До выхода обновлений многие блоги по безопасности рекомендуют использовать VPN и сайты, защищенные SSL, для защиты любой информации, передаваемой по Wi-Fi.

Хотя SSL не гарантирует сохранность данных от атаки KRACK, это значительно усложняет задачу. Тем не менее, KRACK получает доступ достаточно глубоко, чтобы, возможно, получить доступ к данным до шифрования.

Учитывая, что уязвимость была только что опубликована (во время этого вопроса), и я сомневаюсь, что она была отправлена ​​сначала любым производителям (так как это будет очень сложно, учитывая количество сторон, чтобы сообщить об этом) - Apple потребуется некоторое время, чтобы связать новое обновление для всех существующих устройств и выпустить его.

Как это всегда было до того, как Apple не выполнила срочного исправления iOS / Mac OS только для одной уязвимости, она объединяет несколько исправлений / изменений в одном обновлении.

Также исправление, тестирование, проверка, выпуск и т. Д. Требуют времени. Так что это не будет решено мгновенно.