最近對(duì)Wi-Fi WPA2安全協(xié)議（CVE-2017-13077至CVE-2017-13088）的KRACK（密鑰重新安裝攻擊）攻擊突出了主動(dòng)維護(hù)和更新嵌入式系統(tǒng)的要求，尤其是部署在惡劣環(huán)境中的長(zhǎng)壽命系統(tǒng)。

KRACK很有趣，因?yàn)樗且粋€(gè)成熟，廣泛使用的安全協(xié)議中的一個(gè)缺陷。KRACK利用Wi-Fi設(shè)備使用WPA2建立加密通信的四向握手中的缺陷。幸運(yùn)的是，有一個(gè)針對(duì)此漏洞的向后兼容修復(fù)程序;修補(bǔ) Wi-Fi 鏈路的任一端都可以解決問(wèn)題。

與其詳細(xì)介紹KRACK，不如將其用作案例研究和課程計(jì)劃，供那些負(fù)責(zé)管理連接和嵌入式系統(tǒng)的人員使用。

在所有系統(tǒng)中都會(huì)發(fā)現(xiàn)問(wèn)題

首先，在所有系統(tǒng)中都會(huì)發(fā)現(xiàn)問(wèn)題。提高計(jì)算能力允許加密算法和密鑰長(zhǎng)度受到攻擊。我們已經(jīng)在從棄用舊的DES加密標(biāo)準(zhǔn)到RSA密鑰長(zhǎng)度的演變到當(dāng)前推薦的2048位或更長(zhǎng)密鑰的所有內(nèi)容中看到了這一點(diǎn)。即使使用安全的算法，實(shí)現(xiàn)缺陷和新穎的攻擊方法也可能造成漏洞。以O(shè)penSSL代碼中發(fā)現(xiàn)的各種弱點(diǎn)為例。通信協(xié)議可能存在弱點(diǎn)，這些弱點(diǎn)只有在使用多年后才能發(fā)現(xiàn)，例如影響數(shù)十億臺(tái)設(shè)備的Wi-Fi KRACK。

規(guī)劃故障以及修正和更新

KRACK最大的教訓(xùn)是，您必須為故障做好計(jì)劃，并有辦法修復(fù)和更新系統(tǒng)。時(shí)期。沒(méi)有例外。我的辦公桌上放著一個(gè)Wi-Fi燈泡 - 它的成本不到20美元，有一個(gè)完整的Wi-Fi堆棧連接到網(wǎng)絡(luò)。該設(shè)備容易受到KRACK攻擊，并且永遠(yuǎn)不會(huì)更新 - 修復(fù)暴露的唯一方法是將其丟棄。（我應(yīng)該注意，這個(gè)燈泡還有其他安全孔，這就是為什么它放在我的桌子上而不是擰入插座。雖然對(duì)于低成本的消費(fèi)類設(shè)備來(lái)說(shuō)有些合理，但丟棄工作設(shè)備是一種糟糕的方法，對(duì)于任何重要的系統(tǒng)來(lái)說(shuō)都是完全不可接受的。相比之下，Wi-Fi路由器和接入點(diǎn)，手機(jī)，平板電腦和筆記本電腦的供應(yīng)商已經(jīng)迅速發(fā)布了KRACK的補(bǔ)丁。（您是否更新了所有Wi-Fi設(shè)備？

修補(bǔ)的一個(gè)重要部分是知道需要修補(bǔ)哪些系統(tǒng)。您需要一種方法來(lái)判斷系統(tǒng)上安裝了什么以及它是否易受攻擊。系統(tǒng)掃描需要涵蓋安裝的軟件、版本和配置。許多系統(tǒng)管理工具都提供此功能。即使是嵌入式系統(tǒng)也需要能夠在部署后進(jìn)行掃描和修復(fù)。

加密重要通信

是的，WPA2加密數(shù)據(jù) - 但僅適用于Wi-Fi鏈接。需要完整的端到端加密，例如SSL/TLS（請(qǐng)使用TLS 1.1或1.2并防止會(huì)話降級(jí)到較低版本）或VPN［虛擬專用網(wǎng)絡(luò)］提供的加密。在嵌入式系統(tǒng)上運(yùn)行的應(yīng)用程序應(yīng)該負(fù)責(zé)自己的加密，而不是信任網(wǎng)絡(luò)來(lái)加密自己。這意味著應(yīng)用程序堆棧應(yīng)使用標(biāo)準(zhǔn)支持的加密機(jī)制（如 SSL/TLS 或 VPN），并確保其配置正確，而不是應(yīng)用程序需要直接在應(yīng)用程序中包含加密。如果確實(shí)在應(yīng)用程序中包含加密，請(qǐng)使用標(biāo)準(zhǔn)加密包和庫(kù)。永遠(yuǎn)不要嘗試構(gòu)建自己的加密實(shí)現(xiàn);那結(jié)局并不好。..

保持嚴(yán)格的訪問(wèn)控制

需要一種機(jī)制來(lái)檢測(cè)、識(shí)別、授權(quán)和注冊(cè)嘗試連接到網(wǎng)絡(luò)的所有設(shè)備。具有諷刺意味的是，訪問(wèn)控制是WPA2的主要部分，使用“Wi-Fi密碼”作為共享密鑰。WPA2實(shí)際上做得很好，并且在為KRACK打補(bǔ)丁后繼續(xù)做得很好。其他工具可用于其他接口，從簡(jiǎn)單的藍(lán)牙配對(duì)到使用服務(wù)器的安全啟動(dòng)或受信任啟動(dòng)的復(fù)雜證明。

利用通信漏洞需要訪問(wèn)權(quán)限。使用Wi-Fi KRACK，這意味著距離接入點(diǎn)只有幾百英尺。這實(shí)際上是一件好事;KRACK不允許遠(yuǎn)程攻擊，而是要求您在物理上靠近目標(biāo)。

使用硬連線以太網(wǎng)連接

許多消息來(lái)源都建議將其作為修復(fù)KRACK的有效方法，尤其是對(duì)于臺(tái)式機(jī)和筆記本電腦系統(tǒng)。這可以像桌面以太網(wǎng)交換機(jī)和一些跳線一樣簡(jiǎn)單，直到您可以修補(bǔ)設(shè)備為止，或者它可以是有線建筑物，每個(gè)辦公室和筆記本電腦擴(kuò)展塢都有以太網(wǎng)。

在考慮系統(tǒng)設(shè)計(jì)時(shí)，請(qǐng)記住無(wú)線和有線設(shè)備之間的主要區(qū)別和優(yōu)勢(shì)。無(wú)線設(shè)備易于安裝且成本低廉，易于移動(dòng)，并且易于添加更多設(shè)備和連接。有線設(shè)備的安裝成本通常更高，難以移動(dòng)，可能難以添加更多設(shè)備（因?yàn)樾枰嗤ㄐ哦丝冢?，并且通常更快、更可靠、更安全。有線接口需要直接物理訪問(wèn)才能進(jìn)行通信，并且通常很少或沒(méi)有電磁輻射。

通信是大多數(shù)嵌入式系統(tǒng)的關(guān)鍵部分。雖然KRACK是Wi-Fi WPA2特有的，但類似的問(wèn)題適用于所有形式的無(wú)線接口 - 實(shí)際上適用于所有接口，有線或無(wú)線。實(shí)現(xiàn)通信的安全性和完整性是這些系統(tǒng)的設(shè)計(jì)、實(shí)施和生命周期管理的一部分。

審核編輯：郭婷