2017년 10월 16일, 2004년 이후 출시된 대부분의 무선 라우터에서 발견되는 가장 일반적인 보안 방법인 WPA2에서 KRACK 취약점이 발견되었습니다. 그 특성으로 인해 해커가 너무 늦을 때까지 피해자 모르게 완전히 안전한 WiFi 연결에 침투할 수 있습니다. 그것에 대해 무엇이든 할 수 있습니다. 설상가상으로 대부분의 무선 장치는 WPA2를 사용하여 네트워크 진입을 협상합니다.
그리고 이야기는 끝나지 않았습니다. Apple 및 Microsoft와 같은 소프트웨어 제조업체가 시스템을 패치하기 위해 얼마나 많은 노력을 기울이든 상관없이 피해를 완전히 완화하려면 몇 년이 걸릴 수 있습니다.
KRACK 취약점의 작동 원리
Krack 취약점(미디어에서 "Key Reinstallation Attack"의 줄임말)을 이해하려면 먼저 WPA2가 작동하는 방식을 알아야 합니다. 네트워크에서 장치를 인증하기 위해 라우터와 장치는 모두 4방향 핸드셰이크라고 하는 4단계 프로세스를 거칩니다. 많은 매장에서 이 프로세스를 잘못 이해하기 때문에 이에 대해 조금 더 자세히 설명하겠습니다.
- 라우터는 일련의 숫자를 장치에 전송하여 라우터와 직접 통신할 자체 개인 키를 구성하는 수단을 제공합니다. 이를 PTK(Pairwise Transient Key)라고 합니다.
- 이제 기기는 메시지 무결성 코드(자신이 실제로 라우터와 통신하는 기기인지 확인)를 포함하는 다른 일련의 숫자를 통해 인증 정보를 전송한 다음 기기에 암호가 있음을 확인하는 인증 코드를 보냅니다. 네트워크에 액세스합니다.
- 라우터는 이전 정보를 수신하면 브로드캐스팅에 사용되는 그룹 시간 키(GTK)로 응답합니다.
- GTK를 수신한 기기는 확인 핑으로 응답하여 효과적으로 네트워크에 진입합니다.
이 과정은 제가 설명한 것보다 조금 더 복잡하지만 다음 설명에서는 충분합니다.
취약점을 악용하려는 해커는 라우터와 장치 간에 협상된 키를 "재설치"할 수 있습니다. 모든 보호가 이루어집니다. 이 작업을 수행할 수 있는 사람은 원하는 대로 피해자를 가장할 수 있으며 해커가 PTK를 다시 설치하는 경우에만 해당 패킷을 수신할 수 있습니다.
자신을 보호하는 방법
따라서 해커가 당신도 모르게 당신을 완벽하게 가장할 수 있다면 당신의 정보를 어떻게 보호해야 할까요? 이론적으로 Wi-Fi 네트워크에 연결한 다음 패킷을 조작하여 귀하를 대신하여 은행 계좌에 지불할 수 있습니다.
첫 번째 단계는 Wi-Fi를 완전히 피하는 것입니다. 온라인 뱅킹 애플리케이션에 로그인하는 것과 같은 민감한 사항을 위해. 이를 위해 셀룰러 네트워크를 사용할 수 있습니다. 1페니 또는 2센트의 비용이 들 수 있지만(전송된 데이터의 X량당 지불이 필요한 데이터 계획이 있는 경우), 적어도 해커 방지 기능이 더 많은 네트워크에 있다는 마음의 평화를 얻을 수 있습니다. 커피숍의 40달러 라우터보다 저렴합니다.
Wi-Fi를 피할 수 없는 경우 지금 무언가를 해야 합니다. , VPN(가상 사설망)에 연결하기 전에 연결하는 것이 좋습니다. VPN을 사용한다고 해서 반드시 해커로부터 면역이 되는 것은 아니지만, 특히 엔드 투 엔드 암호화가 포함된 경우 추가 보안 계층으로 보호 기능을 조금 더 강화할 수 있습니다. 해커가 연결된 라우터와 관련하여 사용자를 가장할 수 있더라도 VPN은 이러한 시도를 방지하는 다른 유형의 인증을 사용하기 때문에 작업이 훨씬 더 어려워집니다.
VPN이 없는 경우 , 그런 다음 WiFi를 통해 해야 할 일을 하는 데 위험을 감수하고 있다는 사실만 알아두세요. 은행 및 사용 중인 기타 애플리케이션에 다중 요소 인증을 사용하면 이러한 위험을 최소화할 수 있습니다.
세상의 끝은 아니지만, 그렇다고 해서 모든 귀중한 데이터를 최대한 경계하고 보호해서는 안 된다는 의미는 아닙니다. 현재 사용 중인 WiFi 연결이 취약한지 여부에 관계없이 이 단계를 따라야 합니다.
또한 대부분의 사람들은 라우터에 펌웨어 업데이트를 설치하지 않기 때문에 이 특정 취약점이 완전히 단계적으로 제거될 때까지 몇 년이 걸릴 것입니다. 라우터의 펌웨어를 업데이트하고 좋아하는 로케일에 업데이트하도록 하는 것도 나쁘지 않을 것입니다!
데이터를 보호하기 위해 또 무엇을 하고 있습니까? 댓글로 모든 것을 알려주세요!