19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
02/05/2022: Primo maggio, presidente e direttore generale dell’Inail alla Festa del Lavoro al Quirinale
Franco Bettoni e Andrea Tardiola hanno partecipato alla celebrazione con il Capo dello Stato e i più alti rappresentanti istituzionali.
02/05/2022: 1 maggio: non può esserci festa se cresce strage sul lavoro
Le testimonianze sono un antidoto efficace
29/04/2022: Festival internazionale della Salute e Sicurezza sul Lavoro
Il programma della manifestazione che si svolgerà dal 4 al 6 maggio
28/04/2022: Giornata mondiale della SSL 2022
Collaborare per costruire una solida cultura della salute e della sicurezza
28/04/2022: I temi chiave della Giornata mondiale per la sicurezza sul lavoro
L’omaggio ai caduti, la prevenzione, le sfide del dopo pandemia: i temi delle celebrazioni
27/04/2022: La promozione della salute muscolo-scheletrica inizia a scuola
Leggi la relazione «Scuole migliori grazie alla promozione della salute muscolo-scheletrica»
26/04/2022: Webinar "Ripresa economica e costruzioni"
In occasione della giornata mondiale per la salute e la sicurezza sul lavoro promuove in collaborazione con ANCE il seminario "Ripresa economica e costruzioni"
21/04/2022: Sicurezza antincendi: siglato un protocollo d’intesa
Siglato un protocollo d’intesa tra Vigili del Fuoco e Inail che consentirà di utilizzare proficuamente le conoscenze e le competenze maturate nella valutazione dei rischi antincendio attraverso attività congiunte di informazione, formazione, studio e sperimentazione
20/04/2022: Gestione dei rischi psicosociali nelle micro e piccole imprese europee
La relazione per paese sulla gestione dei rischi psicosociali nelle micro e piccole imprese europee: prove qualitative da ESENER 2019
13/04/2022: I vincitori del 15º concorso «Premi per le buone pratiche»
L’elenco di tutti i vincitori e delle iniziative encomiate
08/04/2022: Firmato il protocollo d’intesa tra Inail e Confesercenti Firenze
Previsti interventi congiunti per promuovere soluzioni normative e tecniche finalizzate alla riduzione degli infortuni e delle malattie professionali nelle piccole e medie imprese
07/04/2022: D.Lgs. 81/2008: disponibile il testo coordinato nell'edizione aprile 2022
Pubblicato il testo coordinato del Decreto Legislativo 9 aprile 2008 n. 81 in materia di salute e sicurezza nei luoghi di lavoro nella versione di aprile 2022.
05/04/2022: I dati del primo bimestre: serve un impegno comune per la sicurezza
Il presidente dell’Inail Franco Bettoni commenta gli open data del primo bimestre 2022 sottolineando i preoccupanti incrementi di infortuni e casi mortali rispetto ai primi due mesi dell’anno scorso.
04/04/2022: Sorveglianza sanitaria eccezionale: proroga
Sono state prorogate fino al 30 giugno 2022 le disposizioni sulla Sorveglianza sanitaria eccezionale.
31/03/2022: Italian Summit HSE: 7 aprile 2022
Per la prima volta le associazioni di settore uniscono le forze
30/03/2022: I suggerimenti del Garante per proteggersi dal phishing
Phishing attenzione ai pescatori di dati personali. Infografica
25/03/2022: Pubblicato il decreto che sancisce la fine dello stato di emergenza
Disposizioni urgenti per il superamento delle misure di contrasto alla diffusione dell’epidemia da COVID-19, in conseguenza della cessazione dello stato di emergenza.
24/03/2022: La gestione della qualità dell’aria
L’aria nei centri urbani e nelle regioni ad alta densità di popolazione è soggetta a monitoraggi e misurazioni per avviare le azioni ed i provvedimenti necessari a mantenerne la qualità entro i limiti previsti
23/03/2022: Webinar - “La progettazione della sicurezza antincendio nei luoghi di lavoro”
8 aprile 2022. Realizzato in collaborazione da Inail e Consiglio nazionale degli ingegneri (Cni), l’evento si rivolge alle figure della prevenzione e ai professionisti
22/03/2022: Giornata mondiale dell'acqua
Il tema di quest'anno sono le acque sotterranee e come il cambiamento climatico incida sulla loro qualità e portata
14 15 16 17 18 19 20 21 22 23 24