Výzkumníci společnosti SET objevili chybu kybernetického zabezpečení, která ovlivňuje zařízení Wi-Fi. Miliony chytrých telefonů v ohrožení
Jedná se o nejnovější hrozbu s názvem "Kr00k", která ohrožuje bezpečnost více než milionu zařízení Wi-Fi, jež obsahují čipy vyráběné společnostmi Broadcom a Cypress. Objevili ji výzkumníci společnosti ESET, kteří jí přiřadili kód CVE-2019-15126.
Výzkumníci ukázali, že díky této chybě se hackerskému útoku může podařit dešifrovat alespoň část paketů přenášených těmito zařízeními prostřednictvím sítě Wi-Fi. Největší problém spočívá v tom, že na trhu jsou nejen chytré telefony a počítače s těmito zranitelnými čipy, ale také směrovače a přístupové body. Tím se celá síť Wi-Fi provozovaná těmito zařízeními stává nezabezpečenou. Většina výrobců Wi-Fi zařízení integrujících čipy Broadcom a Cypress již naštěstí vydala záplaty opravující chybu Kr00k, ale je jasné, že existuje obrovské množství zařízení, která je třeba aktualizovat.
Zranitelnost Kr00k: jak funguje
Zranitelnost zařízení Wi-Fi nazvaná Kr00k souvisí s jinou chybou nazvanou KRACK (Key Reinstallation Attacks), kterou objevil výzkumník společnosti imec-DistriNet Mathy Vanhoef v roce 2017, ale má také zvláštní vlastnosti, které znamenají, že zařízení dříve opravená na KRACK jsou stále zranitelná vůči Kr00k. Zranitelnost se týká protokolů WPA2-Personal i WPA2-Enterprise se šifrováním AES-CCMP.
Při "přidružení" a "odpojení" zařízení k síti Wi-Fi dochází k výměně bezpečnostního klíče WPA2, který je nutný pro ověření. V určitém okamžiku procesu se také vymění dočasný klíč, který se uloží do čipu a poté se vymaže přepsáním sekvencí nul. Data uložená v tomto kroku lze bohužel kvůli chybě Kr00k dešifrovat.
Kterých zařízení se chyba Kr00k týká
Čipy, kterých se tato chyba týká, patří mezi nejběžnější v zařízeních s připojením Wi-Fi. Jen při prvním průzkumu ESET našel takové čipy v zařízeních Amazon (Echo, Kindle), Apple (iPhone, iPad, MacBook), Google (Nexus), Samsung (Galaxy), Raspberry (Pi 3), Xiaomi (RedMi) a v některých přístupových bodech Asus a Huawei. Celkový počet těchto zařízení, která se již prodala a jsou v oběhu, přesahuje jednu miliardu, ale sama společnost ESET upozorňuje, že se jedná o konzervativní odhad a že zranitelných zařízení, která se do tohoto prvního sčítání nevešla, může být mnohem více.