Dziś tekst krótki ale ważny. Krótki – bo wielu z nas wciąż raczej w nastroju refleksyjnym, wczoraj Święto Zmarłych, dziś Dzień Zaduszny. Ważny jednak dlatego, że gdy niecałe trzy tygodnie temu nie tylko bezpieczniackim światem wstrząsnęło info o podatności KRACK, bardziej świadomi z internautów zaczęli się zastanawiać: „A czy moje urządzenia są podatne?”. Jeśli jesteście klientami Orange Polska – mamy dobrą wiadomość.

Odporni na KRACK

Ostatnie dni to wytężona praca nie tylko ekspertów CERT Orange Polska, by sprawdzić, jak wygląda bezpieczeństwo urządzeń, które trafiają od nas w Wasze ręce. Jeśli chodzi o odporność na podatność KRACK, testy wykazały, iż użytkownicy Funboxów, a także Liveboxów 1.1 oraz 2 są bezpieczni. W przypadku Liveboxa 3 trwają jeszcze testy, podobnie jak w przypadku części urządzeń, które trafiają do klientów biznesowych. Aktualną listę przetestowanego sprzętu z naszej sieci sprzedaży znajdziecie zawsze pod tym adresem.

Zapytacie: a co z Androidem? W tym przypadku odpowiednia poprawka zostanie zawarta w grudniowej łatce z zabezpieczeniami. Jej wysyłka jest niezależna od operatorów, według informacji z Google ma być obligatoryjna. Producenci – jeśli zdążą – mogą wysłać odpowiednie poprawki już w paczce na początku listopada.2

Świat znowu zwariował, nie tylko bezpieczniacki. Przedwczoraj internet zalała fala informacji o podatności KRACK. Podatności wyjątkowej, bowiem nie dotyczącej konkretnych urządzeń, ale całego protokołu. Co to znaczy? Że – przynajmniej do momentu załatania – zagrożone są wszystkie urządzenia. Czy to znaczy, że WiFi to zło, trzeba wszystko wyłączyć i wyciągnąć z szafy dawno zapomniane kable?

Uważać na obcych w okolicy?

Jeden z moich kolegów z CERT Orange Polska twierdzi, że tak, ale potem dodaje, że on od zawsze uważał bezprzewodowy internet za wymysł szatana 😉 Ostrożności nigdy za wiele, ale warto pamiętać, że KRACK może zostać wykorzystany przeciwko ofierze jedynie w specyficznych okolicznościach. Głównym warunkiem jest obecność atakującego w zasięgu sieci Wi-Fi ofiary, a podsłuchany może zostać wyłącznie ruch nieszyfrowany protokołami wyższej warstwy. Dodatkowo – czy może bardziej przede wszystkim? – ewentualne wykorzystanie podatności nie pozwala na podejrzenie treści transmisji szyfrowanej (połączenie HTTPS, użycie tunelu VPN).

Co robić?

Producenci systemów operacyjnych załatają swoje systemy szybciej (Windows) lub hmmm, sami wiecie 😉 (Android), z urządzeniami też bywa różnie. Tymczasem tak naprawdę przestrzeganie tego, co nieprzerwanie zalecamy, czyli korzystanie z połączeń szyfrowanych (prefix https:// w adresie strony internetowej, logo kłódki lub zielone tło na pasku adresu) przynajmniej w przypadku przesyłania danych wrażliwych, znacząco ogranicza ryzyko. Jeśli mimo tego odczuwacie niepokój, przy transakcjach bankowych zawsze można podłączyć komputer kablem, bowiem podatność dotyczy wyłącznie WiFi.

A przede wszystkim – nie wpadajmy w manię prześladowczą.