19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
10/07/2015: Informazione al Lavoratore sul significato della Sorveglianza Sanitaria
L'art. 25, comma 1, lettera g) del D.Lvo 81/08 prevede che il Medico Competente: "fornisce informazioni ai lavoratori sul significato della sorveglianza sanitaria..."
09/07/2015: Presentata la Relazione annuale Inail
Confermano l’andamento decrescente degli incidenti sul lavoro: nel 2014 437mila infortuni e 662 casi mortali
09/07/2015: Premio SIE 2015 “Ergonomia applicata”
Un premio per i progetti che prevedono l’applicazione di principi e misure dell’ergonomia fisica, cognitiva od organizzativa in ambienti di lavoro.
08/07/2015: Nota del Ministero sui "rifiuti" da sfalci e potature
Il Ministero dell’Ambiente e della Tutela del Territorio e del Mare chiarisce in una nota quando sfalci e potature non sono da classificare come rifiuti
07/07/2015: Report annuale sugli infortuni mortali e con feriti gravi nel settore agricolo
Il report con le dinamiche degli infortuni, le macchine coinvolte, ecc. nel settore agricolo e forestale
07/07/2015: Convegno sul rischio stress
Si svolgerà il prossimo 13 luglio a Cagliari il seminario organizzato da Inail "La prevenzione e la gestione dello stress lavoro-correlato: strumenti di valutazione e buone pratiche”,
06/07/2015: Decreto ministeriale sulla revisione periodica delle macchine agricole
Revisione generale periodica delle macchine agricole ed operatrici, ai sensi degli articoli 111 e 114 del decreto legislativo 30 aprile 1992, n. 285.
03/07/2015: La prevenzione nei luoghi di lavoro: un confronto tra esperienze europee
La gestione della salute e della sicurezza nei luoghi di lavoro in quattro Paesi europei - Italia, Danimarca, Germania e Regno Unito
02/07/2015: Primi risultati ottenuti attraverso la partecipazione degli utenti al portale sicurezzainpratica.eu
I risultati raccolti per l’attività di Potatura Alberi: i rischi identificati, l’individuazione delle cause, delle misure di prevenzione
02/07/2015: Disponibili i risultati dell'indagine ESENER 2 sulla sicurezza e salute sul lavoro
Risultati della seconda edizione dell'indagine europea Eu-Osha sui rischi nuovi ed emergenti ESENER 2
01/07/2015: Seminario gratuito INAIL su macchine e attrezzature di lavoro
Si terrà a Roma il 15 luglio il seminario gratuito "Macchine e attrezzature di lavoro"
01/07/2015: Durc online: da oggi nuova procedura
La regolarità contributiva sarà scaricabile in pdf in tempo reale.
30/06/2015: Viaggiare Sicuri
Un sito che contiene informazioni sui Paesi esteri, ivi comprese quelle relative alla situazione di sicurezza.
30/06/2015: REACH: aggiornata la Candidate List
Aggiornamenti in materia di elenco delle sostanze SVHC della candidate list e elenco delle sostanze sottoposte al regime di autorizzazione
29/06/2015: Audit Attività Medici Competenti
Una check-list di audit dell'attività di medico competente.
29/06/2015: SISTRI: nuova formulazione e riduzione dei contributi?
La Commissione Ambiente della Camera dei deputati nella seduta del 17 giugno 2015 ha approvato un impegno del Governo a valutare e prevedere una nuova formulazione del Sistri e la riduzione dei contributi.
26/06/2015: Seveso III: approvato il decreto attuativo della direttiva 2012/18
Approvato in via definitiva, il decreto legislativo che dà attuazione alla direttiva 2012/18 relativa al controllo di incidenti rilevanti connessi con determinate sostanze pericolose
26/06/2015: Incentivi Inail alle imprese, in 23mila al “click day” per assegnare 267 milioni
I fondi suddivisi in budget regionali.
26/06/2015: Convegno gratuito "Infortuni sul lavoro e malattie professionali: bilanci e prospettive a 50 anni dal Testo unico"
Il Testo unico compie 50 anni: all’Università di Padova un convegno patrocinato dall’Inail
25/06/2015: Sistema di allarme per la prevenzione degli effetti delle ondate di calore sulla salute
Consigli generali per affrontare il gran caldo senza rischi per la salute.
98.5 99.5 100.5 101.5 102.5 103.5 104.5 105.5 106.5 107.5 108.5