WPA2の脆弱性について

質問

iosのセキリュティアップデートの記事でWPA2の脆弱性「Kracks」について書かれていたのですが、

https://internet.watch.impress.co.jp/docs/news/1089/292/amp.index.html

これは結局どういう意味でしょうか。KracksはiPhoneでは動作しないということですか。

回答No.2

121CCagent

他の方が回答されていますが簡単言えばブラウザだとSSL/TLSと言う技術で暗号化されたもの（https://となっているもの）だと通信内容が暗号化されているので内容を盗み見られる心配はありませんがhttp://で始まるサイトだと通信内容が全部見ようと思えば見ることができるって言う脆弱性になります。

もう一つルーターにWi-Fi接続する為のパスワードが解読されるのでルーターの無線が届く範囲内に悪意のある人がいたらインターネット接続にダダ乗りされる危険はあります。フリーWi-Fi状態になるので。

回答No.1

asciiz

KRACKsは、iPhoneやPC機器そのものに影響を与える脆弱性ではありません。

無線のWPA通信開始時に、キーを盗み取られることで、「無線通信内容が丸裸になる」と言う危険性があるものです。(キーそのものではないのかも? 復号化情報)
正規の手順通りであれば問題ないはずでしたが、機器への実装上において何らかの省略手順や特定パターンがあったのでしょうか、そこを突かれることとなりました。
通信内容を盗み見られるだけですので、iPhone自体が壊れたり、悪意のあるアプリを勝手にインストールされたりといったことはないのですが、機器間で平文(暗号化なし)で通信している情報は盗まれる恐れがあります。

例えばeメールの送受信内容や、Web上のフォームに入力して送信した文字列、SSL通信なしにログインするようなサイトのID/パスワード。
そしてアプリ内などからも、平文でID/Passログインなどしていれば、そのアカウントを乗っ取られる恐れなども出てくるわけです。

ただ、別方面からの対策も取られていることがあります。
上にも書きましたが、ID/パスワードによるログイン画面などは、ふつうSSL暗号化通信による通信をするようになっていることが多いので、無線区間が裸になっていても、端末-サイト間の通信は保護され、パスワード等は漏れません。
また、YahooやGoogleと言った検索サイトも、httpでアクセスしても自動的にhttpsで接続し直すようになっており、そうなると入力した検索文字列の内容も、表示された検索結果も、他者にはわからないことになります。
また、通常の一般Webサイトでも自動的にhttps接続になるサイトも増えていますね。

KRACKsは、機器にすぐ異常が出るという類の脆弱性ではありません。
しかし情報を盗み見られることにより、プライバシー情報の漏洩、アカウントの乗っ取り、ひいては日々の生活に影響が出てくるかもしれない、と言う脆弱性なわけです。

そしてその記事の内容は、「KRACKsの修正だけではなく、それとは別で勧告されていた他の脆弱性の修正も、新しいiOSアップデートに含まれる」と言う話なので、まあ最新OSにアップデートしておくのが一番安全であるという当たり前の結論ではあります。