スマホ・PCなどほぼすべてのWi-Fi機器に影響があるWPA2自体の脆弱性「KRACK」とは、そして対策は？

ルーターなどのネットワーク機器向けのセキュリティプロトコル「WPA2」は、Wi-Fiネットワークにおけるセキュリティを保護するためのプロトコルとして多くの機器で採用されています。そんなWPA2には深刻な脆弱性「key reinstallation attacks(KRACK)」が存在するとDistriNet Research GroupのMathy Vanhoef氏が指摘しました。このKRACKを用いれば、完全に保護された状態のWi-Fiネットワークからでも、クレジットカード情報やパスワード、メール、写真などの機密情報を盗み出すことが可能であるということで、世界中でKRACKの脅威が報じられています。

KRACK Attacks: Breaking WPA2
https://www.krackattacks.com/

Serious flaw in WPA2 protocol lets attackers intercept passwords and much more | Ars Technica
https://arstechnica.com/information-technology/2017/10/severe-flaw-in-wpa2-protocol-leaves-wi-fi-traffic-open-to-eavesdropping/

Wi-Fi security has been breached, say researchers - The Verge
https://www.theverge.com/2017/10/16/16481136/wpa2-wi-fi-krack-vulnerability

WPA2の脆弱性であるKRACKは、個々の製品に実装されているコードに問題があるわけではなく、Wi-Fi標準自体に問題があります。よって、WPA2を実装しているネットワーク機器やWi-Fiをサポートしている機器はすべてKRACKを利用した攻撃を受ける可能性があります。調査によると、Android、Linux、Apple、Windows、OpenBSD、MediaTek、LinksysなどがすべてKRACKの亜種による影響を受けていることも判明しているそうです。

Vanhoef氏は概念実証としてAndroidスマートフォンに対してKRACK攻撃を行った様子をムービーで公開しています。ムービー中では、保護されたWi-Fiネットワークに接続しているAndroid端末が送信するデータを全て復号して盗み出すことに成功しており、HTTPSなどのセキュアな通信さえバイパス可能であることがよくわかります。

KRACK Attacks: Bypassing WPA2 against Android and Linux - YouTube


なお、KRACKを用いればデータの復号だけでなく、パケットスニッフィングや端末のハイジャック、秘密裏にマルウェアを仕込むことも可能とのこと。

世界中の数え切れないほどのデジタル端末が影響を受ける脆弱性ということで、Blackberryユーザー向けウェブサイトCrackBerry.comは「KRACKの影響を受けずに安全に過ごすためのポイント」を挙げています。

Everything you need to know about KRACK, the WPA2 Wi-Fi vulnerability | CrackBerry.com
https://crackberry.com/everything-you-need-know-about-krack-wpa2-wi-fi-vulnerability

まず挙げられているのが「公共のWi-Fiを利用しない」ことです。Googleなどが提供する「保護されたネットワーク」でも、KRACKはバイパスしてしまうので使用を避けるようにとのこと。ただし、TLS 1.2を使用して接続が保護されている場合、そのサービスとの接続は安全だそうです。さらに、信頼できる有料のVPNサービスを持っている場合、他のネットワーク接続方法で安全が確立できるまでは、常に有料のVPNサービスを利用することをCrackBerry.comは推奨しています。そして、無料であっても安全が確認できるまでは他のVPNサービスを利用しないようにする必要がある、ともしています。

加えて、ルーターとコンピューターの両方にイーサネットケーブルを接続するポートがある場合、有線ネットワークを使用することが推奨されています。KRACKはWi-Fiルーターと接続しているデジタル端末の802.11トラフィックにのみ影響するものなので、有線接続を利用すれば影響を受ける心配はなくなるためです。

また、CrackBerry.comによると、KRACKを用いた攻撃では銀行情報やGoogleのパスワード、エンドツーエンド暗号化方式を使用する接続からデータを盗み出すことはできないそうです。

By William Iven

KRACKの存在が明らかになった後、Googleは声明で全てのWi-Fi対応デバイスが影響を受けるものの、Android 6.0以降のAndroid端末は特別な影響を受ける可能性があることを明らかにしています。なお、Android 6.0以降の割合はAndroid端末全体の41％にもなるそうです。ただし、GoogleはKRACKに対する修正プログラムを2017年11月6日のセキュリティ更新プログラムで配信することも明かしています。

その他、Appleは数週以内にソフトウェアアップデートでKRACKに対応した修正を行うとしており、Microsoftは10月10日のセキュリティアップデートでKRACKへの対応は済んでいることを明かしています。

なお、KRACKに関する詳細はBlack Hat Europe 2017の中で解説される予定です。