Det ved vi om WPA2-sårbarheden: Android og Linux er mest udsatte

Tilsyneladende kræver Windows også at drivers bliver opdateret for at være helt dækket ifb med dvale funktion.

Den eneste test jeg har fundet er den her

https://github.com/vanhoefm/krackattacks-test-ap-ft

som tester selve APet.

Kunne være rart med en som tester klienterne.

eg er indigneret over den brug og smid væk mentalitet der ligger til grund for at alting kun skal være understøttet i 2 år - sådan som bla. Android er designet.

Det skulle så blive løst med Android Oreo og Project Treble. Med Treble kan Google bl.a. pushe sikkerhedsrettelser uden at disse skal omkring evt. producent og/eller netværksleverandør først.

Vi ville ikke acceptere at en bil var farlig efter 2 år!

Jeg synes også Androids opdateringsmodel er mislykket, men strengt taget er vores biler kun sikre at køre i efter 2 år, fordi vi betaler en mekaniker for at servicere bremserne. Burde der være lovkrav om, at vi betaler for service på vores dimser ...

Nu køre jeg permenent vpn via min pfsense boks.

Spørgsmålet er. Skal det være vpn fra min tlf til Accesspointet eller er det nok med vpn fra pfsense ud?

Da jeg med sikkerhed ved min tlf ikke bliver opdateret af asus. Med mindre jeg installerer en anden firmware. Og ved min accesspoint ikke vil modtage noget. Dog en god undskyldning for at købe en ny.

Hvad Android tablets og mobiler angår ville jeg kigge på om der er en LineageOS, https://wiki.lineageos.org/ Android firmware for enheden.

Til min Samsung Galaxy S2 i9100, og min Motorola Moto G falcon (2013), findes der en LineageOS Android 7.0 firmware.

Udvikleren af firmwaren for Samsung Galaxy S2 i9100 har annonceret at der laves en Android 8.0 firmware til den.

Fremgangsmåde for installation af LineageOS er:

1. Lav en backup af din mobil - nogle mobilers Android firmware har en indbygget backup og restore feature. Jeg brugte adt (Android Debug Tool), https://developer.android.com/studio/releases/platform-tools.html til at lave en backup.
2. Unlock fabrikantens boot loader - alle data du ikke har lavet en backup af bliver nuked.
3. Erstat fabrikantens bootloader med den TWRP bootloader der passer til din Android enhed.
4. Installer LingeageOS firmwaren der passer til din enhed.
5. Installer Open GApps, http://opengapps.org/ (Google Apps) via TWRP, hvis du ønsker at bruge en Google konto og Google Play.
6. Root evt din mobil - det skulle være nemt med TWRP - såvidt jeg har forstået det.
7. Har du gennemført punkt 6, så kan du installere apps der kræver root rettigheder.
8. Boot ind i LineageOS

Lav Nandroid backups med TWRP for at gemmen en komplet kopi af alle data fra din android enhed - meget nyttig når man opgraderer LineageOs til en nyere version af samme firmware.http://trendblog.net/android-guide-make-nandroid-backup-android-phone/

Det skræmmende er så at videoen viser at der både brydes igennem WPA2 og gennem HTTPS sikkerheden!

Dejligt at der Patches op flere steder. Men det understreger endnu engang problemeter fragmenteringen og mængden af usupporterede enheder der stadig bruges. Jeg har flere Android tablets der ikke har fået opdateringer i flere år, fordi producenten ikke ser benefit ved det. Det samme gælder min router, mine forældres enheder, mind svigerforældres enheder. "De virker så hvorfor skal de kasseres ud?" Men vi akkumulerer en voksende sårbarhedsportefølje ved at bruge enheder som ikke Patches. Jeg er indigneret over den brug og smid væk mentalitet der ligger til grund for at alting kun skal være understøttet i 2 år - sådan som bla. Android er designet. Og ja jeg kunne finde ud af at installere CyanogenMod og kan sikkert også DD-WRT men jeg orker ikke at skulle vejlede forældregenerationen igennem dette, og mener faktisk det burde være forankret som ansvar et andet sted. Vi ville ikke acceptere at en bil var farlig efter 2 år!

Windows 10 fik en patch d. 10. oktober. Det er argumentet :-).

Min Linux maskine fik opdatering i går og iOS enhedder er vel stadig ramt af fejlen.

Og ang. Linux distro'er: "Linux patches are available now. Linux distributions should have it very shortly."

Det står faktisk i artiklen.

"Det virker til, at Android og Linux begge kan blive snydt til at installere en krypteringsnøgle bestående udelukkende af 0'er - i stedet for at reinstallere den rigtige nøgle."

Det bliver også vendt i videoen, hvor de gennemgår et eksempel på udnyttelse af svagheden.

Google udsender et fix i starten af november til Android, Apple forventer at have et fix klar til MacOS og IOS inden for et par uger og Microsoft har som sagt allerede udgivet et fix til Windows 7 op op, undtaget Win8.

Windows 10 fik en patch d. 10. oktober. Det er argumentet :-).

Hvad er argumentet for at Android og Linux er særligt ramt? Hvid det er en fejl i protokollen er Windows og Mac vel også ramt.

Findes der en form for test, ligesom med Stagefright, der kan finde ud af om ens enhed er sårbar?

Hvad har WPA med HTTP at gøre?</p>
<p>Adgang til et WiFi kan da bære et hav af andre protokoller.

Hvis man bruger kryptering til både web, e-mail og alle andre protokoller, vil dette hul i WPA2 ramme mindre hårdt. Skulle der opstå et hul i en anden protokol, vil WPA2 reducere angrebsfladen sammenlignet med en ukrypteret trådløs forbindelse. Det handler om defence in depth og assume breach: Gør det svært at lave et angreb, også selvom man er kommet igennem ét forsvarsværk.

Hvad har WPA med HTTP at gøre?</p>
<p>Adgang til et WiFi kan da bære et hav af andre protokoller.</p>
<p>Eller er det pludseligt på magisk vis blevet muligt at skabe en ny forbindelse ud af det blå?

Det handler vel mest om at hvis man bruger SSL/TLS når man "taler" med en hjemmeside så er data krypteret.

Altså at dine data er krypteret, inde i den WPA krypterede luftbårne datastrøm.

Tyven kan altså "læse" data som flyder på dit trådløse netværk, men da de data er krypteret så får han ikke fat i dine bankoplysninger eller lignende.

Hvad har WPA med HTTP at gøre?

Adgang til et WiFi kan da bære et hav af andre protokoller.

Eller er det pludseligt på magisk vis blevet muligt at skabe en ny forbindelse ud af det blå?

Jeg mindes et (formentligt bevist) provokerende debat indlæg af PHK... Hvor der blev argumenteret imod HTTPS.

Mit argument for HTTPS var at flere sikkerhedslag er nødvendigt; fordi de fleste af vores sikkerhedslag har masser af huller. Og det her er nok hverken den første eller sidste mandag vi vågner op til et gigantisk hul et sted i stakken.

Note. til API'er bruger jeg gerne HTTPS + en "authorization" header med en per-request HMAC, netop fordi der nok kommer endnu en bug i HTTPS.