WPA2の脆弱性「KRACK」の対策が進む 26
致命的な感じには至らなそうでなにより 部門より
先日話題になったWPA2の脆弱性「KRACK」だが、Microsoftはサポート対象のすべてのWindowsについて、既に10月の月例更新で修正済みだったそうだ。LinuxやAppleのOSなどでも対応が進められている（The Verge、Softpedia、Mac Rumors、Neowin、BetaNews）。
KRACK（Key Reinstallation AttaCK）攻撃は偽のアクセスポイントを使用してクライアントにWPA/WPA 2の暗号鍵を再インストールさせることで、通信内容の復号が可能になるというもの。アクセスポイントではなくクライアントを対象にした攻撃であり、クライアント側のパッチで回避可能になる。
Windowsが影響を受けるのはCVE-2017-13080で、Windows 7～Windows 10、Windows Server 2008～2016のうち、10月10日時点でサポートされているバージョンにパッチが提供されている。なお、Windows 10は最初にリリースされたバージョン（RTM）からバージョン1703（Creators Update）まで、すべてのバージョンにパッチが提供されたようだ（セキュリティ更新プログラムガイド）。
Windows以外のOSではOpenBSDやDebian、Ubuntu、Fedora、Red Hat、Linux Mint、elementary OS、Arch Linux、Solusなどがパッチの提供を発表しており、LinageOSもパッチをマージしている。Appleはベータ版のiOS/tvOS/watchOS/macOSで修正済みだといい、Googleは数週間のうちにAndroidのパッチをリリースすると述べているそうだ。
デバイス関連ではIntelやCisco、NETGEAR、Aruba、Ubiquitiが修正版ファームウェア提供などの対策を発表している。
AppleとGoogleとBuffaloは対応が遅すぎ、まともなのはMicrosoftだけ (スコア:1)
2017年8月28日に約100組織の主要ベンダーに脆弱性情報の通知 [hatena.ne.jp]が行われたので、詳細情報が一般公開される2017年10月16日まで49日間もあったのです。なお、それより前の2017年7月14日頃に、脆弱性発見者の Vanhoef氏 が個人的に実験対象となったベンダに脆弱性報告したそうです。
で、脆弱性情報が一般公開されるまでに対応できたのは大手OS会社では Microsoft だけ
これは、Microsoft のOSが最も安全で、AppleとGoogleのOSが危険なことの証明です
Buffalo もWi-Fi Alliance Contributor で事前に情報を知っていたはず [wi-fi.org] なのに、報道で騒がれてから脆弱性がある製品を探し始める [buffalo.jp] というあまりにも遅すぎる糞対応で駄目ですね。都会のマンション暮らしの人は、Wi-Fi AP親機は脆弱性の影響受けないから問題ないのでたいしたことがないと思うかもしれませんけど、田舎ではWi-Fi APの中継機能を使うのが当たり前で、母屋、離れ、車庫、納屋などにリピーター機能有効のWi-Fi AP（バッファローのルーターの上位モデルには搭載されている機能）を設置するのが一般的で、脆弱性の影響は大きいのです。
脆弱性対応の早さというのは、どの会社の製品が安全かを判別するリトマス試験紙になります。脆弱性情報が一般公開されるまで49日間あったのにそれまで対応できなかったMicrosoft以外の大手全社は論外で、大手ベンダーの中で唯一まともに対応（脆弱性情報の一般公開に間に合う早さでパッチ提供）したのは Microsoft 社だけ でした。
脆弱性に対して素早くパッチを提供するのは、現在のセキュリティにおいて最重要事項です。それができているMicrosoftのWindowsが最も安全なOSです。
Re: (スコア:0)
報道で騒がれてから脆弱性がある製品を探し始める というあまりにも遅すぎる糞対応で駄目ですね。
NECェ
Re: (スコア:0)
漸くNECもページ公開
http://www.aterm.jp/product/atermstation/info/2017/info1018.html [aterm.jp]
# BlueBorne対策もついでにしてほしいLTE Aterm
Re: (スコア:0)
どこの逸般人だよ。
Re: (スコア:0)
どこの逸般人だよ。
元コメで一般とか逸般とかあるのは「母屋、離れ、車庫、納屋などにリピーター機能有効のWi-Fi AP（バッファローのルーターの上位モデルには搭載されている機能）を設置するのが一般的」の部分ですね。
都会暮らしの人には田舎の人の暮らしが分からないので、電波が届かない＝特殊な無駄に広い豪邸 と誤解しているかもしれないので、実状を説明しますね
まず、典型的な田舎の家というのが
・夫婦が暮らす母屋
・子供が暮らしたり親戚が来たときに泊まる離れ
・車を泊める車庫
・荷物や農業器具などを入れる納屋
の4つの構築物が基本となっています。そのほかに犬小屋とか鶏小屋
Re: (スコア:0)
Googleェ
自分が見つけたMSの脆弱性には厳しいのに、自分の脆弱性には優しいのな...
Re: (スコア:0)
Googleのアレはネガティブキャンペーン用部隊だから……
というのは冗談ですが、普段の言動が言動なだけにもうちょっとなんとかならんのかねぇ。
# そういえば、XPが死ぬ理由が増えましたね。
# まぁ、無印XPとかSP1だとそもそもWPA2なにそれ？ですけど。
Re: (スコア:0)
>田舎ではWi-Fi APの中継機能を使うのが当たり前で、母屋、離れ、車庫、納屋などにリピーター機能有効のWi-Fi AP（バッファローのルーターの上位モデルには搭載されている機能）を設置するのが一般的
どこ調べよw
うち田舎だけど、そんな一般人見たことないわ。
Microsoftも脆弱性放置(期限内に直さず)した過去あるだろ。
Re: (スコア:0)
別ACですが実家近辺の田舎だと、最近はコンセントに挿すだけタイプが有るので近く(比喩)のヤマダ電機みたいな量販店でおススメされて結構普及しております。
# 逸般人はLANケーブルを引いたり、c.LINKモデムでTV線に重畳したり、光ファイバーやったり、使わなくなった電話線を無理矢理100BASE-TXでリンクしたりしてる。
# PLCは建屋間だと屋外使用なので、違法になりますからやらないように。
Re: (スコア:0)
# PLCは建屋間だと屋外使用なので、違法になりますからやらないように。
ちなみに802.11aもW56以外は同じ理由でダメだからな。
Re: (スコア:0)
面倒臭いからエアコンの穴経由でケーブルを引いた。
Re: (スコア:0)
おっ、そうだな(今月のFlash Player 0-dayのWindows Update配信遅かったですね)
Re: (スコア:0)
今月の定例で公開が遅れたFlash Playerの更新と0-dayは別のバージョンですよ？
定例後の1週間もしない間に新しい0-day対応のセキュリティ修正バージョンが配信されたのです。
手動管理しているなら再確認した方が良いですよ？
元々バグ修正だけの 27.0.0.159が10月10日に公開 [adobe.com]されてもWindowsUpdateに出なくて、
Re: (スコア:0)
Adobeがパッチ出した、その翌日にWindows Updateで配信開始とは流石Microsoft
Google Chromeも裏でFlashのバージョンアップするけど、パッチ出た直後にFlashバージョンテストしても更新されてないことが結構あって実際にパッチあたるまで数日かかってるから、IE/Edgeの方が早いね
Re: (スコア:0)
もうBuffaloとか買うのやめて、MicrosoftのSurfaceをソフトAP化してリピーターもやってもらえばいいんじゃない？PCからAPからスマホまで全部Microsoftにすればきっと幸せになれると思うんだ。
Re: (スコア:0)
> 脆弱性に対して素早くパッチを提供するのは、現在のセキュリティにおいて最重要事項です。それができているMicrosoftのWindowsが最も安全なOSです。
その論理だと、脆弱性問題が出る度にOS安全度ランキングが変化しますね。次に何か問題があってWindows以外のOSが先に対応したなら、別のOSがもっとも安全になるでしょう。
また過去の実績を見た場合もWindowsがもっとも先に対策が出来てたんでしょうか？もしここ数年の単位でWindowsが先陣を切って対策が出来ていた割合が高いなら比較的安全なOSと言えると思いますが。
対策一件についてだけ見て安全って言い切るのは判断を見誤りそうな感じはしますけど、そのへんどうなんです？
Re: (スコア:0)
脆弱性を公開するまで対応しないように報告者から指示を受けていたのにMicrosoftはそれを無視したのですね。
OpenBSDも勝手に対応したみたいですが、セキュリティ業界の足並みを乱すような行為は謹んで欲しいものです。
Buffaloからのお知らせ (スコア:0)
無線LAN製品のWPA2の脆弱性について [buffalo.jp]
無線LANの暗号化技術であるWPA2において、「KRACKs」と呼ばれる脆弱性があるとの発表がございました。
本脆弱性はWPA2規格の「子機」機能の実装に依存する脆弱性であるため、WPA2をサポートする子機製品および中継機製品、また親機製品で中継機能(WB・WDS等)をご利用時に影響がございます。
現在、弊社製品の調査を進めており、対象製品、対策につきましては随時情報を公開させていただきます。
なお、親機製品で中継機能(WB・WDS等)をご利用でない場合は対象ではございませんので、安心してご利用くださいますようお願い申し上げます。
Re: (スコア:0)
> なお、親機製品で中継機能(WB・WDS等)をご利用でない場合は対象ではございませんので、安心してご利用くださいますようお願い申し上げます。
当然だけど、「親機としては」安心して利用していいのであって、
その親機につなぎに行っているスマホやノートPC等クライアントは、子機なので安心しちゃダメですよね。
ちょっと、考えれば分かるけど、ホッとしてしまう人が居る気がした。
はぁぁぁあんっ！ キ、キンドルは？ キンドルはどうなの？ (スコア:0)
防水のOasisが出たとか言うから買おうかと思ったら未だに5Ghz未対応とかさ
Fire HDは5Ghz対応してるとかいうから買ったらW52オンリーで、古いチャネルに固定しとかなきゃエリア外判定されて接続もままならないとかさ
KRACK対策についてもそうだけど、Amazonさんはやる気あるの？
そろそろ5Ghz対応のみならず、ac対応のKindle出してよ
いつまで非マンガモデルのpaperwhite使わなきゃならんのよ…
Re: (スコア:0)
アプデがこない古いAndroidなんかはしんどいな…。BlueBorneもあるし、頑張って欲しいところ。
Re: (スコア:0)
なんかこの前発表されたUIのアップデートは古いPaperwhiteにも提供されるそうだが、
今回も初代Paperwhiteは対象外らしいのよね。
はたしてセキュリティパッチが初代Paperwhiteや、それ以前のTouchやKeyboardに
提供されるかどうか興味津々。
Re: (スコア:0)
Paperwhiteなんかは、もうAmazonとしか通信しないし、HTTPSになってるだろうから、たぶん今回の放置しても大丈夫だろうとは思う。
用途を絞ってる製品は、脆弱性見つかっても、それに触れる可能性も限定的な気がする。
直すに越したことはないけど。
Kindle Fireの方は、普通のタブレットで色々できるし、直すべき。
主戦場はスマホじゃないだろうか (スコア:0)
台数で言っても、公衆wifiの利用度から言っても、この脆弱性の主なターゲットはスマホでは。
そのスマホで対応スケジュールすら確定していない段階で、「対応が進む」という見出しを付けてしまうのはどうかね。
それほど利用しやすい脆弱性ではなさそうなのでそんなに心配はしていないが、そのうち高度な攻撃コードが生まれないとも限らない。
Re: (スコア:0)
皆思ってると思うけど、WPA2も結構古びてきてるよね。WPA3とか作らなくていいの？4Gの次はどうとか、TLS1.3はどうするとかAESの次の暗号規格の話とかは時々聞くけど、WPA2の次の規格どうするって話進んでるのだろうか。WPA2に行き着くまでに紆余曲折ありすぎてもう規格を作るのがいやになったのだろうか。
Re: (スコア:0)
ゲーム機もそれなりにありそう
特に生産終了したPS3と3DSは対応されるのか