19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
29/09/2015: Mettere in sicurezza conviene
Si terrà a Bologna il 2 ottobre il convegno gratuito "Mettere in sicurezza conviene"
29/09/2015: Aggiornata Banca Dati WBV
Vibrazioni a bordo di gommoni, carrelli elevatori e ruspa con ruote
28/09/2015: Nuovo elenco dei soggetti abilitati per l'effettuazione delle verifiche periodiche
Il suddetto elenco sostituisce integralmente il precedente elenco allegato al Decreto Dirigenziale del 20 gennaio 2015.
28/09/2015: Privacy: il datore di lavoro non può spiare le conversazioni dei dipendenti
Il contenuto di comunicazioni di tipo elettronico o telematico scambiate dai dipendenti nell’ambito del rapporto di lavoro godono di garanzie di segretezza tutelate anche a livello costituzionale
28/09/2015: La Copertura Vaccinale degli Addetti alle Squadre di Emergenza
Primo Soccorso e Antincendio: adesione alla copertura vaccinale.
25/09/2015: DLGS 81/08: disponibile il testo coordinato nell'edizione settembre 2015
Il Ministero del Lavoro ha pubblicato il testo coordinato del D.Lgs 9 aprile 2008 n.81 con gli ultimi aggiornamenti.
25/09/2015: Pubblicata in italiano la nuova edizione della UNI EN ISO 14001
UNI EN ISO 14001:2015 “Sistemi di gestione ambientale - Requisiti e guida per l'uso”
24/09/2015: Inaugurazione SAFETY TRAINING TOWER
Il 25 settembre in Valcamonica, a Darfo (BS)
24/09/2015: Salute e sicurezza, ok del governo al disegno di legge per la ratifica di due convenzioni Ilo
Prevenire gli infortuni e le malattie professionali attraverso la piena partecipazione di tutte le parti interessate
24/09/2015: Lettera al Ministro della Salute
La nuova lettera della SNOP al Ministro sul patto per la salute.
23/09/2015: Considerazioni sulla polvere da farina nelle attività di pizzeria
Dal punto di vista normativo, la polvere di farina si configura come rischio chimico e in questo ambito deve essere valutato
22/09/2015: Il testo dei decreti attuativi del Jobs Act approvati dal Consiglio dei Ministri il 4 settembre
Disponibili i testi dei quattro decreti legislativi, in attuazione della legge 10 dicembre 2014, n. 183, approvati in via definitiva dal Consiglio dei Ministri nella seduta del 4 settembre 2015.
22/09/2015: Nuove norme regionali per la sicurezza dei lavori in quota
La IV Commissione permanente della Regione Friuli Venezia Giulia ha approvato all'unanimità, con modifiche, la proposta di legge n. 84 'Norme per la sicurezza dei lavori in quota e per la prevenzione di infortuni conseguenti al rischio di cadute dall'alto'.
21/09/2015: Manutentore di estintori di incendio: nuova norma nazionale UNI 9994-2
UNI 9994-2:2015 “Apparecchiature per estinzioni incendi - Estintori di incendio - Parte 2: Requisiti di conoscenza, abilità e competenza del tecnico manutentore di estintori d'incendio”
18/09/2015: All Blacks difensori della sicurezza: le istruzioni di sicurezza in volo
Il video dei Men In Black/All Blacks con le istruzioni per la sicurezza in volo
17/09/2015: Nei gironi danteschi delle miniere della Mongolia
Apprezzato alla Mostra del cinema di Venezia “Behemoth”, il documentario di Liang Zhao che racconta il dramma dei minatori impegnati nell’estrazione di ferro e carbone.
16/09/2015: Convegno gratuito sulla sorveglianza sanitaria degli ex-esposti amianto
Si terrà il 21 e 22 settembre il Convegno Nazionale “L'amianto e le patologie amianto correlate: diagnosi, terapia e sorveglianza sanitaria degli ex-esposti”
15/09/2015: Malattie professionali: nasce portale dedicato
Nasce il portale www.malattieprofessionali.it: uno strumento di prevenzione fondato su competenze consolidate, su risposte semplici e accessibili a tutti.
14/09/2015: Semplicemente Salute
Nasce il portale semplicementesalute.i: un canale di informazione in grado di offrire servizi e contenuti per rispondere direttamente alla domanda di salute dei cittadini.
14/09/2015: Convegno gratuito Sicurezza sul lavoro nel condominio
Si terrà a Bergamo il 18 settembre il seminario gratuito sulla Sicurezza sul lavoro nel condominio
93.5 94.5 95.5 96.5 97.5 98.5 99.5 100.5 101.5 102.5 103.5