19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
15/06/2015: Viaggia in Salute: l'APP per i viaggiatori internazionali
ASL di Milano presenta Viaggia in Salute, APP per dispositivi mobili (smartphone e tablet) dedicata ai viaggiatori internazionali.
15/06/2015: Alcoldipendenza e Controlli Alcolimetrici in Lombardia: I Conti NON Tornano
In Lombardia non è consentito effettuare i controlli alcoldipendenza ma solo i controlli alcolimetrici
12/06/2015: Eu-Osha: relazione annuale 2014
Il miglioramento delle condizioni di lavoro in Europa
12/06/2015: 112 Where ARE U: un'APP per le emergenze gratuita
Disponibile un’app che permette di effettuare una chiamata di emergenza e inviare contemporaneamente la posizione esatta del chiamante alla Centrali del Numero Unico dell’Emergenza (NUE) 112 della Lombardia.
11/06/2015: Meno infortuni nel commercio, ma le tecnopatie in cinque anni sono aumentate di un terzo
Prevalenza dei disturbi muscolo-scheletrici e incidenza del lavoro festivo e notturno sullo stress
10/06/2015: Un convegno a Padova sulla formazione nelle imprese edili
Il 3 luglio 2015 si terrà a Padova si terrà il convegno nazionale “La formazione nelle imprese edili: novità normative, criticità e prospettive”.
10/06/2015: Una gru da cantiere crolla tra due villette
A Porcia di Pordenone una enorme gru da cantiere è crollata in uno spazio tra due villette.
09/06/2015: La relazione sugli infortuni del 2014 nelle aziende del territorio dell’ULSS 5 Ovest vicentino
L'analisi epidemiologica sugli infortuni del lavoro accaduti nel 2014 nelle aziende attive nel territorio dell’ULSS 5 Ovest vicentino
09/06/2015: Un convegno a Messina sulla protezione delle vie respiratorie
Il 12 giugno 2015 si terrà a Messina si terrà il convegno “Protezione delle vie respiratorie”.
08/06/2015: Bando Isi 2014: il 25 giugno la fase di inoltro delle domande per accedere ai finanziamenti
Bando Isi 2014: il 25 giugno parte il terzo step relativo alla la fase di inoltro delle domande di accesso ai finanziamenti
08/06/2015: Dal 1 giugno 2015 in vigore l’articolo 13 della direttiva 2014/68/UE
La nuova Circolare del 15 maggio 2015 relativa alla “Classificazione delle attrezzature a pressione in applicazione dell’articolo 13 della direttiva 2014/68/UE del 15 maggio 2014”.
05/06/2015: CLP: chiarimenti sulla deroga al 1 giugno 2017
Come applicare la deroga di due anni per l'adozione della etichetta CLP.
04/06/2015: Nuova modifica alla regola tecnica per le strutture sanitarie
Modifica all'allegato III del decreto del 19 marzo 2015 - Sistema di gestione della sicurezza finalizzato all’adeguamento antincendio.
04/06/2015: Privacy e lavoro: il nuovo vademecum del Garante
Le regole per il corretto trattamento dei dati personali dei lavoratori da parte di soggetti pubblici e privati
03/06/2015: DURC ONLINE: pubblicato il Decreto di Semplificazione
Dal 1° luglio basterà un clic per avere il rilascio on-line del Durc in formato “.pdf
01/06/2015: POS: un modello di piano delle demolizioni
Schema di piano delle demolizioni, ai fini del controllo da parte del CSE dell'art. 92 Dlgs. 81/08
29/05/2015: Thyssen: pene ridotte, parenti vittime protestano
Sono state ridotte le condanne per tutti i sei imputati del processo Thyssekrupp.
29/05/2015: 31 maggio: giornata mondiale senza tabacco
I rischi da fumo passivo negli ambienti di lavoro
29/05/2015: Legge n. 68 del 2015. Disposizioni in materia di delitti contro l’ambiente
I contenuti del provvedimento.
28/05/2015: Allegato 3B: analisi dei dati
Allegato 3B del D.Lgs 81/08: prime analisi dei dati inviati dai medici competenti ai sensi dell’art. 40
100 101 102 103 104 105 106 107 108 109 110