זה כנראה לא צריך לחזור על כך שאבטחת ה- WEP לאינטרנט אלחוטי כבר מזמן נפרצה רחבה יותר מהמפטי דמפטי ברעידת אדמה, וגם WPA לא בטוח כמו הרוב של חבר הפרלמנט של Lib Dem. ובכל זאת, סקר שנערך לאחרונה על ידי בגד אירוח אתרים UK2 בשיתוף עם YouGov מגלה כי הציבור הבריטי, אם נשאל האם חיבור ה- Wi-Fi שלך מוצפן? בדרך כלל יענה לא מוצץ.
איך לעשות סנאפצ'אט מבלי שהם ידעו
מבין הנשאלים, 56% אף פעם או רק לעתים נדירות בודקים אם נקודה חמה מוצפנת לפני שנכנסים אליו. אותם אנשים נוטים יותר לאבטח את ה- Wi-Fi הביתי שלהם, כך שזה לא רק כישלון מודעות אלא יותר כמו עודף אמון. אמון, כלומר במלון או בבית הקפה או בפאב המציע אינטרנט אלחוטי בחינם - ואת נותן השירות.
כדי לקבל גישה לרשת האלחוטית המאובטחת כביכול שלך, הוא אינו דורש גישה פיזית לנתב שלך, למחשב או לכל דבר אחר
לעתים קרובות אמון כזה אינו מוטעה, שם נמצא הסיכון האבטחתי הפוטנציאלי, שמיישר אותי יפה לסיפור האמיתי שתפס את תשומת ליבי - כלומר, פרוטוקול הגדרת ה- Wi-Fi Protected Setup (WPS) נפגע היטב. WPS הוא הלחצן הזה שכנראה לחצת עליו כדי לאבטח את הנתב האלחוטי שלך כשהגדרת אותו לרשת הביתית שלך או לעסקים קטנים, זה שעזר בצורה מועילה עם כל תצורת האבטחה הידנית והפך את הגדרת האבטחה האלחוטית לפשוטה ומהירה. או כך לפחות חשבת.
האמת פחות מעודדת, מכיוון ש- WPS חשוף להתקפה, אך לא חלק הכפתורים האדום הגדול בה. יש היבט נוסף ל- WPS שלא מגיע באמצעות לחיצת כפתור אלא באמצעות PIN בן שמונה ספרות כדי להזין אותו, וגרסת ה- PIN הזו לפרוטוקול WPS הוכחה הרבה פחות בטוחה ממה שכולם הניחו. מתברר שכדי לפצח את ההצפנה הזו באמצעות התקפת כוח ברוטלי רגיל, ההאקר לא צריך לחשוף את כל שמונה הספרות, מה שדורש זמן רב וכוח מחשוב. במקום זאת עליהם לפענח רק את ארבע הספרות הראשונות של ה- PIN.
כיצד למחוק שפע של פרופיל דגים
כן, קראת את זה נכון: ה- PIN למבט מאובטח לא כל כך מאובטח. בטח, בכרטיסי בנק יש מספר PIN בן ארבע ספרות, וגם הבנקים וגם הלקוחות שלהם נראים מאושרים מספיק בכדי לשים אמון בכך בעת שימוש בכרטיסים בכספומט, אך יש הבדל גדול בין שני המקרים הזהים שלכאורה זהים.
כדי להוציא את כספך מכספומט, כל בחור רע יכול להיות בעל הכרטיס הפיזי שלך וכן להיות מסוגל לנחש או לקבל את קוד ה- PIN שלו בדרך אחרת. כדי לקבל גישה לרשת האלחוטית המאובטחת כביכול שלך, לעומת זאת, הוא אינו דורש גישה פיזית לנתב שלך, למחשב או לכל דבר אחר - הוא יכול פשוט להגדיר את המחשב האישי שלו לנסות כל שילוב אפשרי. (ישנה שימושית כמה זמן לפצח את מחשבון הסיסמה שלי ב אתר האבטחה GRC של סטיב גיבסון : בופינים במתמטיקה יצביעו על חסרונותיה, אך זה מספיק טוב להערכות של חבילה חזקה.
חוקרי אבטחה פרסמו כלי בשם Reaver שיכול לנצל את הפגם הזה, ומאפשר לכל אחד לפצח את ה- PIN הפשוט יותר של WPS ולגשת לגרסת הטקסט הקלף של מפתח ה- WPA2 המשותף מראש (PSK) של הנתב, שנחשף כתוצאה מכך. קוד ה- PIN המלא יכלול יותר מעשרה מיליון שילובים, אך מספר ה- PIN המופחת כולל 11,000 בלבד או בערך. זכור, לא חשוב לשים לב כמה מורכב ה- PSK שמאחורי ה- PIN שלך - על ידי שימוש בשיטת ה- PIN של WPS, הגנת על רשת ה- Wi-Fi שלך באמצעות למעשה ארבע ספרות בלבד.
חיפוש בגוגל אחר מדריכי פריצה לפריצת PSK יוכיח שגם ללא פגיעות PIN מסוג WPS זה די אפשרי למצוא WPA2-PSK בכוח מוחלט, אך ייקח הרבה יותר זמן והאקר פוטנציאלי יצטרך סיבה טובה מאוד להשקיע את הזמן. ומשאבים נדרשים. צמצם את משך הזמן והמשאבים מספיק ופתאום הנתב ורשת ה- Wi-Fi שלך הופכים למטרות אטרקטיביות יותר לפריצה מזדמנת.
לא כל החדשות הרעות: אתה יכול פשוט להשבית את תכונת ה- WPS בנתב שלך כדי להסיר את ה- PIN שאותו אוהבים ריוור. אני מאמין, אך בעת כתיבת שורות אלה אין לי שום מידע שיגבה את האמונה הזו, שמספר יצרני נתבים שיחררו או עובדים על עדכוני קושחה בכדי לסגור את הפגיעות, אחד מניח על ידי כיבוי ה- PIN (שלא כל הנתבים. יש אפשרות לתצורת משתמש עבור).
יתרה מכך, התחל מחדש והגדר את רשת ה- Wi-Fi שלך באמצעות PSK ארוך ומורכב כדי להפוך התקפות כוח בלתי-אפשריות: חשבו במונחים של 32 תווים ומעלה, עם השילוב הרגיל של אותיות, מספרים ותווים מיוחדים. באמצעות אותו מחשבון הייסטאק שהזכרתי לעיל, תראה שלקוד PIN פשוט בן ארבע ספרות לוקח שניות בלבד לפיצוח, אך סיסמה מורכבת בת 32 תווים תדרוש 6.22 אלף טריליון טריליון טריליון מאות שנים - אפילו בתרחיש הגרוע ביותר של מערך פיצוח מסיבי המשמש לביצוע מאה טריליון ניחושים בכל שנייה!
הסרת הגנת כתיבה מכונן הבזק
WPA2-PSK, יישום המפתח המשותף מראש שאהוב על איש העסקים הקטן והסטריאוטיפי המסוכן, נפרץ לפני כמה שנים, וגם WPA2 עם TKIP אינה אפשרות בטוחה, מה שהופך Wi-Fi - עבור אנשים רבים - די פשוט חסר ביטחון. WPA2 עם AES זה בסדר, כמו WPA2-Enterprise עם שרת אימות RADIUS או אפילו WPA2-PSK עם מפתח של 32 תווים. מכיוון ש- WPA2-PSK תומך בפועל במקשים של עד 63 תווים, ורוב המכשירים האלחוטיים שומרים את המקש הזה לנצח, כך שיש להזין אותו פעם אחת בלבד, לא כל כך קשה להבין מה עליכם לעשות - ובכל זאת סיסמאות ארוכות עדיין נתפס לעתים קרובות מדי כמיותר ומורכב מדי. אֲנָחָה…
