19/10/2017: KRACK Attack: violato il protocollo di sicurezza Wi-Fi WPA2
Gravi vulnerabilità nel protocollo WPA2 che protegge i dati scambiati in una rete wireless.
Il ricercatore di sicurezza Mathy Vanhoef dell’Università di Leuven (Lovanio, Belgio) ha scoperto gravi vulnerabilità nel protocollo WPA2 (Wi-Fi Protected Access 2) che protegge i dati scambiati in una rete wireless.
Un attaccante che si trovi nel raggio di azione del dispositivo Wi-Fi della vittima e che sia in grado di intercettare il traffico effettuando un man-in-the-middle (MitM), può sfruttare queste falle mediante un tipo di attacco denominato dal ricercatore KRACK (Key Reinstallation Attack).
Stando a quanto riportato dall’autore della ricerca, l’attacco KRACK è mirato al 4-way handshake del protocollo WPA2 che viene eseguito quando un client chiede di accedere ad una rete Wi-Fi protetta. Questa tecnica è utilizzata per confermare che sia il client, sia l’access point possiedono le credenziali di autenticazione corrette e permette di creare una nuova chiave di cifratura mediante la quale verrà protetto da quel momento in poi tutto il traffico scambiato. L’attacco consente di forzare gli utenti connessi alla rete a reinstallare le chiavi di cifratura utilizzate per proteggere il traffico WPA2.
Se l’attacco va a buon fine, l’attaccante sarà in grado di decifrare e leggere in chiaro le informazioni in transito, tra cui potenzialmente dati sensibili quali password, numeri di carte di credito, messaggi privati, ecc.. In alcune condizioni, potrebbe essere anche possibile per l’attaccante manipolare i dati trasmessi per iniettare malware nei siti Web visitati dagli utenti.
Le vulnerabilità individuate, di cui si riporta un elenco in coda all’articolo, sono presenti nello stesso standard Wi-Fi e non in specifici prodotti o implementazioni. Per questo motivo, potrebbero risultare affette tutte le corrette implementazioni del protocollo WPA2. L’attacco KRACK funziona con tutti i tipi di dispositivi, applicativi e sistemi operativi che si connettono od instaurano una rete Wi-Fi WPA2, inclusi Android, Linux, iOS, macOS, Windows, OpenBSD, dispositivi IoT con Linux embedded e router Wi-Fi.
Dato che il problema risiede nel protocollo ed è indipendente dall’implementazione, l’unico modo per proteggersi è quello di installare aggiornamenti specifici per il proprio sistema o dispositivo non appena verranno messi a disposizione dai rispettivi produttori.
Si riportano nel seguito brevi descrizioni delle vulnerabilità coinvolte nell’attacco KRACK (in Inglese):
- CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
- CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
- CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
- CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
- CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
- CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
- CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
- CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
- CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
- CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
Per maggiori informazioni su queste vulnerabilità e sull’attacco KRACK si consiglia di consultare il sito Web appositamente creato dallo scopritore delle falle.
Fonte: certnazionale
29/01/2021: Rifiuti in auto
Ogni anno i produttori trasformano in inserti insonorizzanti tappetini e tessuti miliardi di bottiglie in Pet e reti di pesca abbandonate in mare oltre ad altri scarti industriali
28/01/2021: Sostegno alla salute muscoloscheletrica sul luogo di lavoro
Scopri tutto ciò che devi sapere
27/01/2021: Sicurezza sul lavoro e innovazione, al via un ciclo di webinar per le PMI
Promossi da Inail e Made Competence Center Industria 4.0 a partire dal 1° febbraio, gli incontri verteranno su pandemia, progettazione e sensoristica, rischio biomeccanico e robotica collaborativa
26/01/2021: I suggerimenti del Garante per proteggersi dal phishing
Phishing: attenzione ai «pescatori» di dati personali. Il vademecum del Garante per la protezione dei dati personali.
25/01/2021: Emergenza Covid-19, al 31 dicembre denunciati all’Inail 131mila contagi sul lavoro
l nuovo report mensile dell’Istituto sulle infezioni di origine professionale, rileva un incremento di quasi 27mila casi rispetto al monitoraggio di fine novembre (+25,7%). Oltre la metà delle denunce è concentrata nel trimestre ottobre-dicembre. I decessi sono 423 (+57)
22/01/2021: Sospeso per l’anno 2021 il termine di invio dati allegato 3B
Covid-19-Comunicazione medico competente:: Sospeso per tutto il 2021 il termine per l’invio delle informazioni relative ai dati collettivi aggregati e sanitari di rischio dei lavoratori sottoposti a sorveglianza sanitaria nell’anno 2020.
21/01/2021: Global carbon budget: nel 2020 le emissioni sono diminuite del 7% rispetto al 2019
Le restrizioni alla mobilità hanno causato un calo senza precedenti nella quantità di anidride carbonica immessa nell’atmosfera. Regno Unito, Usa e Ue registrano i risultati migliori, mentre la Cina arranca. Incertezza sul 2021
20/01/2021: Sicurezza delle macchine, se ne parla in un convegno Inail-Cni
L’evento si inserisce nell’ambito della collaborazione fra l’Istituto e il Consiglio nazionale degli ingegneri per lo sviluppo di iniziative in materia di sicurezza e salute nei luoghi di lavoro e per l’aggiornamento culturale, tecnico e formativo di questa comunità professionale
19/01/2021: Vademecum privacy per la sicurezza di foto e video online
I suggerimenti del Garante per tutelare la tua privacy quando pubblichi immagini online
18/01/2021: Safety in healthcare
Un portale per i Rls in sanità nel post Coronavirus
15/01/2021: Pandemia: Decreto-legge del 14 gennaio e Dpcm
Da domani entrerà in vigore il nuovo Dpcm con le misure di contrasto alla pandemia.
15/01/2021: Gestione per la qualità
La UNI ISO 10018:2020 “Gestione per la qualità - Linee guida per la partecipazione attiva delle persone”
14/01/2021: Seminario rischio da esposizione ad agenti fisici nelle attività outdoor
Si svolgerà il 21 gennaio il seminario gratuiti sui rischi fisici
13/01/2021: Data Breach: il Garante lancia un nuovo servizio online per semplificare gli adempimenti
E' operativo il nuovo servizio del Garante per supportare i titolari del trattamento negli adempimenti previsti in caso di Data Breach (violazioni dei dati personali).
12/01/2021: Covid-19, se l’incidenza delle infezioni è alta le riaperture sono rischiose anche con Rt minore di 1
Lo dimostra uno studio realizzato da Fondazione Bruno Kessler, Istituto superiore di sanità e Inail, pubblicato sulla rivista Proceedings of the National Academy of Sciences of the United States.
11/01/2021: Speranza firma nuove ordinanze: cinque le regioni in area arancione
Le Ordinanze, che saranno in vigore da domenica 10 gennaio 2021, collocano in area arancione le Regioni Calabria, Emilia Romagna, Lombardia, Sicilia e Veneto.
08/01/2021: Brexit: quali sono le conseguenze in termini di protezione dei dati?
Dal 1° gennaio 2021 il Regno Unito ha lasciato definitivamente l’Unione europea. Le indicazioni del Garante per la protezione dei dati personali sulle conseguenze in termini di protezione dati.
07/01/2021: PREVENZIONE DEL CONTAGIO DA COVID-19
Ulteriori disposizioni urgenti in materia di contenimento e gestione dell’emergenza epidemiologica da COVID-19 (decreto-legge)
23/12/2020: Le informazioni per l’assicurazione contro gli infortuni domestici
Un nuovo documento dell’Inail riporta le informazioni utili per l’iscrizione e il rinnovo della polizza assicurativa in modalità telematica entro la scadenza del 1° febbraio.
22/12/2020: Safety in healthcare: un portale per i Rls in sanità nel post Coronavirus
Nel webinar conclusivo è stato presentato il sito, nato dal progetto omonimo scaturito dall’Avviso pubblico formulato nel 2015 dalla Direzione centrale prevenzione dell’Inail per valorizzare la figura del Rappresentante dei lavoratori per la sicurezza
23.5 24.5 25.5 26.5 27.5 28.5 29.5 30.5 31.5 32.5 33.5