La vulnérabilité WiFi KRACK a-t-elle été corrigée pour iOS?

Il existe une nouvelle vulnérabilité dans WPA2 appelée KRACK (abréviation de Key Reinstallation Attack), décrite dans l'article de The Guardian: " Tous les réseaux WiFi" sont vulnérables au piratage, découvre l'expert en sécurité "

Selon l'article:

La vulnérabilité affecte un certain nombre de systèmes d'exploitation et de périphériques, indique le rapport, notamment Android, Linux, Apple , Windows, OpenBSD, MediaTek, Linksys et autres.

Y at-il eu des versions de sécurité pour iOS corrigeant cela?

ios wifi security

— Dwightk
source

Électeurs proches: Cette question est certainement sur le sujet ici; À moins que vous ne connaissiez le fonctionnement interne de la gestion des vulnérabilités en matière de sécurité, il est difficile d'effectuer des recherches. En gros, vous ne savez pas ce dont vous n'êtes pas au courant.

— Allan

Les mises à jour du micrologiciel AirPort auront la même importance!

— self.name

Réponses:

Mises à jour publiées le 31 octobre 2017

Apple a publié des mises à jour qui incluent un correctif pour la vulnérabilité KRACK pour macOS, iOS, tvOS et watchOS. Pour obtenir les mises à jour:

macOS High Sierra 10.13.1 et mises à jour de sécurité pour Sierra & El Capitan -
Lancez l'App Store et sélectionnez l'onglet Mises à jour.
iOS 11.1 -
Accédez à Réglages> Général> Mise à jour de logiciel.
watchOS 4.1 -
Lancez l'application Watch sur votre iPhone, puis sélectionnez Général> Mise à jour du logiciel.
tvOS 11.1 -
Pour Apple TV 4 (et 4K), allez dans Paramètres> Système> Mises à jour de logiciels et sélectionnez Mettre à jour les logiciels.
Pour Apple TV (2e / 3e génération), accédez à Paramètres> Général> Mettre à jour le logiciel.

Apple a pour politique de ne pas commenter les vulnérabilités en matière de sécurité tant qu'elles ne sont pas corrigées. Même lorsqu'elles le sont, elles sont souvent assez vagues à ce sujet.

À propos des mises à jour de sécurité Apple

Pour la protection de nos clients, Apple ne divulgue pas, ne discute pas et ne confirme pas les problèmes de sécurité jusqu'à ce qu'une enquête soit menée et que les correctifs ou les versions soient disponibles. Les versions récentes sont répertoriées sur la page Mises à jour de sécurité Apple .

Cependant, avec un peu de travail de détective, nous pouvons obtenir un aperçu. En regardant les CVEs affectés à cette vulnérabilité particulière , ^* nous pouvons obtenir la liste des questions qui devraient être abordées par Apple quand ils décident de publier un correctif de sécurité:

CVE-2017-13077: Réinstallation de la clé de chiffrement par paire (PTK-TK) dans la négociation à 4 voies.

CVE-2017-13078: Réinstallation de la clé de groupe (GTK) dans l'établissement de liaison à 4 voies.

CVE-2017-13079: Réinstallation de la clé de groupe d'intégrité (IGTK) dans la négociation à 4 voies.

CVE-2017-13080: Réinstallation de la clé de groupe (GTK) dans le dialogue de clé de groupe.

CVE-2017-13081: Réinstallation de la clé de groupe d'intégrité (IGTK) dans la négociation de clé de groupe.

CVE-2017-13082: Accepter une demande de réassociation de retransmission Fast BSS (FT) rapide et réinstallation de la clé de cryptage par paire (PTK-TK) pendant son traitement.

CVE-2017-13084: Réinstallation de la clé STK dans la poignée de main PeerKey.

CVE-2017-13086: réinstallation de la clé PeerKey (TPK) TDLS (Tunneled Direct Setup) dans la liaison TDLS.

CVE-2017-13087: réinstallation de la clé de groupe (GTK) lors du traitement d'une trame de réponse en mode veille de la gestion de réseau sans fil (WNM).

CVE-2017-13088: réinstallation de la clé de groupe d'intégrité (IGTK) lors du traitement d'une trame de réponse en mode veille de la gestion de réseau sans fil (WNM).

En outre, cet article de ZDNet - Voici chaque correctif pour la vulnérabilité KRACK Wi-Fi disponible actuellement (16 octobre 2017) indique que les fournisseurs répondent rapidement et Apple a confirmé que les correctifs sont en version bêta.

Apple a confirmé avoir un correctif en version bêta pour iOS, MacOS, WatchOS et TVOS, et qu'il le diffusera dans une mise à jour logicielle dans quelques semaines.

^*Common Vulnerabilities and Exposures (CVE®) est une liste d'identifiants communs des vulnérabilités de cyber-sécurité connues du public. L'utilisation des «identifiants CVE (identifiants CVE)», attribués par les autorités de numérotation (CNA) CVE du monde entier, garantit la confiance entre les parties lorsqu’ils sont utilisés pour discuter ou partager des informations sur une vulnérabilité logicielle unique. et permet l'échange de données pour l'automatisation de la cybersécurité.

— Allan
source

Je suis tenté de tester cela. L'absence de documentation sur les correctifs pourrait effectivement constituer une preuve d'absence de correctif, mais Apple pourrait simplement jouer à des astuces psychologiques sur des crackers wannabe pour les détourner des problèmes en suspens. (Bien entendu, je ne partagerai pas mes conclusions tant que Apple n'aura pas résolu le problème.)

— wizzwizz4

Rene Ritchie, rédacteur en chef d'iMore, indique que cette vulnérabilité est corrigée dans tous les bêtas actuelles de macOS, watchOS, tvOS et iOS .

Jusqu'à l'envoi des mises à jour, de nombreux blogs sur la sécurité recommandent d'utiliser un réseau privé virtuel (VPN) et des sites protégés avec SSL pour protéger toute information transmise par Wi-Fi.

Bien que SSL ne garantisse pas la sécurité des données suite à une attaque KRACK, cela le rend beaucoup plus difficile. Cependant, KRACK obtient un accès suffisamment profond pour pouvoir éventuellement accéder aux données avant le cryptage.

— Vykor
source

Mais s'il vous plaît, n'utilisez pas de VPN gratuits ou non fiables, cela échangerait une menace contre une autre

— Steve

Oui. Cette ligne VPN a été ajoutée à mon message d'origine par un éditeur. Personnellement, je ne ferais pas confiance à un VPN que je ne m'étais pas lancé, à partir de mon propre serveur.

— vykor

J'ai vu que ce n'était pas votre montage, mais je voulais juste m'assurer que j'ai ajouté une note pour tous les passants :)

— Steve

"Cependant, KRACK obtient un accès suffisamment profond pour pouvoir éventuellement accéder aux données avant le cryptage." Umm non. Ceci est une vulnérabilité dans la communication sans fil. C'est votre réponse, vous pouvez rejeter les modifications apportées par d'autres personnes.

— miken32

@FyodorGlebov cette attaque est contre les clients. Le routeur doit être mis à jour, mais les clients sont la source de la vulnérabilité.

— dimanche

-2

Considérant que la vulnérabilité vient d'être publiée (au moment de poser cette question) et je doute qu'elle ait été envoyée à un fabricant en premier (car cela serait très difficile compte tenu du nombre de parties à informer à ce sujet) - il faudra un certain temps à Apple pour regroupez la nouvelle mise à jour pour tous les périphériques existants et publiez-la.

Comme cela a toujours été le cas auparavant, Apple ne fait pas de correctif urgent pour iOS / Mac OS pour une seule vulnérabilité, il regroupe quelques-uns des correctifs / modifications dans une mise à jour.

Également, réparer, tester, vérifier, publier, etc. prend du temps. Donc, cela ne sera pas traité instantanément.

— Alexey Kamenskiy
source

US-CERT coordonne les notifications dans ces cas. Dans ce cas, les fournisseurs ont été informés en juillet et août ( krackattacks.com ). Beaucoup de temps a été donné avant la divulgation. En fait, OpenBSD a rompu l’embargo et mis à jour trop tôt, provoquant un incident mineur avec le chercheur initial.

— vykor

"Comme cela a toujours été le cas avant qu'Apple ne réalise pas de correctif urgent pour iOS / Mac OS pour une seule vulnérabilité ..." Euh, Apple a rapidement publié un correctif ponctuel pour Bash - en dehors des chaînes et des programmes de mise à jour habituels - lorsque "shellshock" a été découvert.

— JakeGould