Il ricercatore Mathy Vanhoef ha svelato al mondo i primi dettagli di KRACKs (o Key Reinstallation Attacks), un modo per sfruttare le gravi vulnerabilità individuate nel protocollo di sicurezza WiFi Protected Access II ( WPA2 ). Si tratta di un problema che coinvolge l’intera industria tecnologica, visto che gli attacchi dovrebbero funzionare su tutte le moderne reti WiFi protette tramite WPA2 e non solo. Ma è ancora presto per farsi prendere dal panico.
Come aveva già anticipato lo US-CERT poche ore prima della pubblicazione del sito Web di KRACKs, le vulnerabilità di sicurezza individuate da Vanhoef riguardano la gestione a “quattro stadi” delle chiavi crittografiche durante la fase di handshake della connessione: durante il terzo stadio, la chiave può essere inviata più di una volta e, con i dovuti accorgimenti, può essere compromessa in maniera completa.
Un malintenzionato a conoscenza dei dettagli delle 10 vulnerabilità usate da KRACKs potrebbe in teoria violare la sicurezza di qualsiasi dispositivo che supporti i segnali WiFi, dice il ricercatore, con tutti i sistemi client soggetti all’abuso (dai gadget mobile Android a Windows passando per OpenBSD) e possibili azioni malevole che includono il furto di dati sensibili e finanziari, installazione di malware, controllo della connessione e molto altro ancora.
La gravità del problema ha spinto Vanhoef a lavorare a stretto contatto con le grandi aziende, i produttori e l’alleanza che si occupa dello standard WiFi, ragion per cui i sistemi ancora supportati dovrebbero ricevere una patch correttiva in tempi brevi – se non sono stati già aggiornati in maniera “silenziosa” come nel caso dell’OS OpenBSD.
E per quanto riguarda i milioni di router privati o aziendali che non verranno, presumibilmente, mai aggiornati? In questo caso KRACKs può fare paura, ma non tutto è perduto: Vanhoef rivela che le vulnerabilità possono essere sfruttate solo quando un malintenzionato è in prossimità fisica dell’obiettivo, e che dovrebbe in ogni caso essere sufficiente l’aggiornamento del client (come ad esempio un OS Windows) per risolvere la questione.
Al momento non è insomma necessario l’arrivo di uno standard “WPA3” in anticipo sui tempi, suggerisce il ricercatore, anche se la WiFi Alliance ha già “un piano” per l’eliminazione delle vulnerabilità assieme ai produttori di terze parti.
Alfonso Maruccia
Ti potrebbe interessare
16 ott 2017