對Wi-Fi WPA2安全協(xié)議（CVE-2017-13077至CVE-2017-13088）的KRACK（密鑰重新安裝攻擊）攻擊突出了主動維護和更新嵌入式系統(tǒng)的要求，尤其是部署在惡劣環(huán)境中的長壽命系統(tǒng)。

KRACK很有趣，因為它是一個成熟，廣泛使用的安全協(xié)議中的一個缺陷。KRACK利用Wi-Fi設備使用WPA2建立加密通信的四向握手中的缺陷。幸運的是，有一個針對此漏洞的向后兼容修復程序;修補 Wi-Fi 鏈路的任一端都可以解決問題。

與其詳細介紹KRACK，不如將其用作案例研究和課程計劃，供那些負責管理連接和嵌入式系統(tǒng)的人員使用。

在所有系統(tǒng)中都會發(fā)現問題

首先，在所有系統(tǒng)中都會發(fā)現問題。提高計算能力允許加密算法和密鑰長度受到攻擊。我們已經在從棄用舊的DES加密標準到RSA密鑰長度的演變到當前推薦的2048位或更長密鑰的所有內容中看到了這一點。即使使用安全的算法，實現缺陷和新穎的攻擊方法也可能造成漏洞。以OpenSSL代碼中發(fā)現的各種弱點為例。通信協(xié)議可能存在弱點，這些弱點只有在使用多年后才能發(fā)現，例如影響數十億臺設備的Wi-Fi KRACK。

規(guī)劃故障以及修正和更新

KRACK最大的教訓是，您必須為故障做好計劃，并有辦法修復和更新系統(tǒng)。時期。沒有例外。我的辦公桌上放著一個Wi-Fi燈泡 - 它的成本不到20美元，有一個完整的Wi-Fi堆棧連接到網絡。該設備容易受到KRACK攻擊，并且永遠不會更新 - 修復暴露的唯一方法是將其丟棄。（我應該注意，這個燈泡還有其他安全孔，這就是為什么它放在我的桌子上而不是擰入插座。雖然對于低成本的消費類設備來說有些合理，但丟棄工作設備是一種糟糕的方法，對于任何重要的系統(tǒng)來說都是完全不可接受的。相比之下，Wi-Fi路由器和接入點，手機，平板電腦和筆記本電腦的供應商已經迅速發(fā)布了KRACK的補丁。（您是否更新了所有Wi-Fi設備？

修補的一個重要部分是知道需要修補哪些系統(tǒng)。您需要一種方法來判斷系統(tǒng)上安裝了什么以及它是否易受攻擊。系統(tǒng)掃描需要涵蓋安裝的軟件、版本和配置。許多系統(tǒng)管理工具都提供此功能。即使是嵌入式系統(tǒng)也需要能夠在部署后進行掃描和修復。

加密重要通信

是的，WPA2加密數據 - 但僅適用于Wi-Fi鏈接。需要完整的端到端加密，例如SSL/TLS（請使用TLS 1.1或1.2并防止會話降級到較低版本）或VPN［虛擬專用網絡］提供的加密。在嵌入式系統(tǒng)上運行的應用程序應該負責自己的加密，而不是信任網絡來加密自己。這意味著應用程序堆棧應使用標準支持的加密機制（如 SSL/TLS 或 VPN），并確保其配置正確，而不是應用程序需要直接在應用程序中包含加密。如果確實在應用程序中包含加密，請使用標準加密包和庫。永遠不要嘗試構建自己的加密實現;那結局并不好。..

保持嚴格的訪問控制

需要一種機制來檢測、識別、授權和注冊嘗試連接到網絡的所有設備。具有諷刺意味的是，訪問控制是WPA2的主要部分，使用“Wi-Fi密碼”作為共享密鑰。WPA2實際上做得很好，并且在為KRACK打補丁后繼續(xù)做得很好。其他工具可用于其他接口，從簡單的藍牙配對到使用服務器的安全啟動或受信任啟動的復雜證明。

利用通信漏洞需要訪問權限。使用Wi-Fi KRACK，這意味著距離接入點只有幾百英尺。這實際上是一件好事;KRACK不允許遠程攻擊，而是要求您在物理上靠近目標。

使用硬連線以太網連接

許多消息來源都建議將其作為修復KRACK的有效方法，尤其是對于臺式機和筆記本電腦系統(tǒng)。這可以像桌面以太網交換機和一些跳線一樣簡單，直到您可以修補設備為止，或者它可以是有線建筑物，每個辦公室和筆記本電腦擴展塢都有以太網。

在考慮系統(tǒng)設計時，請記住無線和有線設備之間的主要區(qū)別和優(yōu)勢。無線設備易于安裝且成本低廉，易于移動，并且易于添加更多設備和連接。有線設備的安裝成本通常更高，難以移動，可能難以添加更多設備（因為需要更多通信端口），并且通常更快、更可靠、更安全。有線接口需要直接物理訪問才能進行通信，并且通常很少或沒有電磁輻射。

通信是大多數嵌入式系統(tǒng)的關鍵部分。雖然KRACK是Wi-Fi WPA2特有的，但類似的問題適用于所有形式的無線接口 - 實際上適用于所有接口，有線或無線。實現通信的安全性和完整性是這些系統(tǒng)的設計、實施和生命周期管理的一部分。

審核編輯：郭婷