staging.inyokaproject.org

https://www.kuketz-blog.de/krack-angriff-auf-wpa2-ermoeglicht-mitlesen/

KRACK: Angriff auf WPA2 ermöglicht mitlesen

Offenbar brauchen demnächst viele Geräte (insbesondere Router) und (Client-)Software (wpa_supplicant) ein paar dringende Sicherheitsupdates, da WPA2 via KRACK-Angriff aufgebrochen, belauscht und manipuliert werden kann. […]

Und bereits die ersten Software-Aktualisierungen, u.a. auch von Debian (und Ubuntu), aber noch nicht von AVM für Fritzbox : https://www.kuketz-blog.de/krack-liste-mit-geraete-updates-fuer-wpa2-schwachstelle/

Reinarden schrieb:

Und bereits die ersten Software-Aktualisierungen, u.a. auch von Debian (und Ubuntu), aber noch nicht von AVM für Fritzbox : https://www.kuketz-blog.de/krack-liste-mit-geraete-updates-fuer-wpa2-schwachstelle/

Router sind auch nicht das Problem. Es sind die Clients, die aktualisiert werden müssen. Viel wichtiger wäre es, die Unmengen von Android-Geräten zu reparieren. Das wird aber vermutlich nicht passieren, womit die Leute vor die Wahl gestellt werden, WLAN abzuschalten oder sich ein neues Gerät zu kaufen.

Ubuntu gabs doch gestan dafür updat mit wpa zeugs 😎

rklm schrieb:

Viel wichtiger wäre es, die Unmengen von Android-Geräten zu reparieren. Das wird aber vermutlich nicht passieren, womit die Leute vor die Wahl gestellt werden, WLAN abzuschalten oder sich ein neues Gerät zu kaufen.

Weswegen ich immer noch davon überzeugt bin, dass die Hersteller dazu gesetzlich gezwungen werden sollten für einen Zeitrahmen von sagen wir mal mindestens 3 Jahren Sicherheitsaktualisierungen bereitstellen zu müssen.

rklm schrieb:

Router sind auch nicht das Problem. Es sind die Clients, die aktualisiert werden müssen.

Die patches gibt es aber auch für den hostapd. Z. B.:

:~/Downloads/hostapd-2.6$ git apply --stat rebased-v2.6-0001-hostapd-Avoid-key-reinstallation-in-FT-handshake.patch
 src/ap/ieee802_11.c  |   16 +++++++++++++---
 src/ap/wpa_auth.c    |   11 +++++++++++
 src/ap/wpa_auth.h    |    3 ++-
 src/ap/wpa_auth_ft.c |   10 ++++++++++
 src/ap/wpa_auth_i.h  |    1 +
 5 files changed, 37 insertions(+), 4 deletions(-)

lubux schrieb:

rklm schrieb:

Router sind auch nicht das Problem. Es sind die Clients, die aktualisiert werden müssen.

Die patches gibt es aber auch für den hostapd. Z. B.:

AP agieren ja auch mitunter als Clients. Oder ist das ein Fix für die Server-Funktionalität?

rklm schrieb:

Oder ist das ein Fix für die Server-Funktionalität?

Ich denke schon, denn z. B.:

+	 * Skip this if the STA has already completed FT reassociation and the
+	 * TK has been configured since the TX/RX PN must not be reset to 0 for
+	 * the same key.

EDIT:

Lt. AVM ist die FritzBox als WLAN-Router/AP (aber nicht als WLAN-Repeater) nur deshalb sicher, weil diese nicht die betroffene Norm 802.11r verwendet. Quelle: https://avm.de/aktuelles/kurz-notiert/2017/wpa2-luecke-fritzbox-ist-sicher/

EDIT 2:

Impact on AP/hostapd

On the AP side, this generic issue has been determined to be applicable
in the case where hostapd is used to operate an RSN/WPA2 network with FT
(Fast BSS Transition from IEEE 802.11r) enabled.

Quelle: http://lists.infradead.org/pipermail/hostap/2017-October/037989.html

rklm schrieb:

Viel wichtiger wäre es, die Unmengen von Android-Geräten zu reparieren. Das wird aber vermutlich nicht passieren, womit die Leute vor die Wahl gestellt werden, WLAN abzuschalten oder sich ein neues Gerät zu kaufen.

Deswegen lieber zu Custom-ROMs mit aktiver Community wechseln.

akarvi schrieb:

rklm schrieb:

Viel wichtiger wäre es, die Unmengen von Android-Geräten zu reparieren. Das wird aber vermutlich nicht passieren, womit die Leute vor die Wahl gestellt werden, WLAN abzuschalten oder sich ein neues Gerät zu kaufen.

Deswegen lieber zu Custom-ROMs mit aktiver Community wechseln.

Das sagt sich immer so leicht.

Diese Lösung ist aber geschätzt nur für 5% der Smartphone-Besitzer ein gangbarer Weg, wenn überhaupt.

Hallo,

in der Tagesschau von gestern Abend war pauschal davon Rede, dass "Linuxgeräte besonders [durch Krack] gefährdet" seien. In der heutigen Süddeutschen Zeitung (Mi 18.10.2017, Seite 2, "Fluch der Vielfalt") steht: "IT-Sicherheitsforscher blicken derzeit vor allem auf ältere Versionen des Linux-Betriebssystems und auf Android ... Denn bei beiden ist ein besonders schwerwiegender Angriff möglich: Der Internet-Verkehr lässt sich nicht nur mitlesen, er lässt sich auch manipulieren ...". Auf manchen Internetseiten ist davon die Rede, dass gerade neuere Linuxversionen gefährdet seien.

Unter https://w1.fi/security/2017-1/wpa-packet-number-reuse-with-replayed-messages.txt steht ein Patch gegen Krack.

1. Gibt es irgendwo eine leicht verständliche Schritt-für-Schritt-Anleitung, die Linux-Nutzern empfehlen kann und die es erlaubt, den Patch gegen "Krack" auf allen betroffenen Geräten zu installieren? Ich muss gestehen, dass ich https://w1.fi/security/2017-1/wpa-packet-number-reuse-with-replayed-messages.txt nicht verstehe. Ebenso verstehe ich nicht völlig https://usn.ubuntu.com/usn/usn-3455-1/

2. Wird beim (allabendlichen) Update wpa_supplicant gleich mitupgedated? Oder muss man sich den Patch getrennt herunterladen und die Sache getrennt installieren/patchen? Und wenn ja: Wie muss ich das dann machen?

Für alle Hilfe schon jetzt vielen Dank!

Viele Grüße!

Rhaban

Rhaban schrieb:

In der heutigen Süddeutschen Zeitung (Mi 18.10.2017, Seite 2, "Fluch der Vielfalt") steht: "IT-Sicherheitsforscher blicken derzeit vor allem auf ältere Versionen des Linux-Betriebssystems und auf Android ...

Also auf nicht mehr unterstützten Versionen. Wer die benutzt hat sowieso andere Probleme als das hier.

1. Gibt es irgendwo eine leicht verständliche Schritt-für-Schritt-Anleitung, die Linux-Nutzern empfehlen kann und die es erlaubt, den Patch gegen "Krack" auf allen betroffenen Geräten zu installieren?

Wäre recht sinnfrei, denn das müsstest du ja jedes Mal wieder selbst einbauen...

Du nutzt Ubuntu - du hast eine Paketverwaltung.

Ebenso verstehe ich nicht völlig https://usn.ubuntu.com/usn/usn-3455-1/

Was genau verstehst du daran nicht? Das es eine Lücke gab? Das dafür ein Patch bereitgestellt wurde? Oder das du dein System aktualisieren sollst?

2. Wird beim (allabendlichen) Update wpa_supplicant gleich mitupgedated?

Wenn das bei dir "allabendlich" geschieht dann hast du das schon. Die Updates (für wpasupplicant und hostapd) wurden am 16.10.2017 verteilt, sollten also je nach Spiegelserver und Aktualisierungsinterval spätestens am 17.10.2017 verfügbar gewesen sein.

Es sei denn, du hast nicht alle standardmäßigen Paketquellen aktiv oder benutzt eine nicht mehr unterstützte Version. Ob das Update bei dir installiert ist, kannst du an der Versionsnummer erkennen (die ja auch in deinem Link genannt wird).

https://usn.ubuntu.com/usn/usn-3455-1/

The problem can be corrected by updating your system to the following package version:

Ubuntu 17.04:
    hostapd 2.4-0ubuntu9.1 
    wpasupplicant 2.4-0ubuntu9.1 

Ubuntu 16.04 LTS:
    hostapd 2.4-0ubuntu6.2 
    wpasupplicant 2.4-0ubuntu6.2

Ubuntu 14.04 LTS:
    hostapd 2.1-0ubuntu1.5 
    wpasupplicant 2.1-0ubuntu1.5 

1

$ dpkg -l wpasupplicant hostapd

wenn version(en) der von oben entspricht .. alles gut

tomtomtom schrieb:

2. Wird beim (allabendlichen) Update wpa_supplicant gleich mitupgedated?

Wenn das bei dir "allabendlich" geschieht dann hast du das schon. Die Updates (für wpasupplicant und hostapd) wurden am 16.10.2017 verteilt, sollten also je nach Spiegelserver und Aktualisierungsinterval spätestens am 17.10.2017 verfügbar gewesen sein.

Hier unter Xubuntu 16.04 LTS wurde das aktualisierte Paket wpa_supplicant am Montag Abend (16. Oktober) per automatischer Paketverwaltung eingespielt, von Ubuntus deutschem Spiegel-Server.

Reinarden schrieb:

Hier unter Xubuntu 16.04 LTS wurde das aktualisierte Paket wpa_supplicant am Montag Abend (16. Oktober) per automatischer Paketverwaltung eingespielt, von Ubuntus deutschem Spiegel-Server.

Du meinst sicher den standardmäßig bei deutscher Lokalisierung eingestellten http://de.archive.ubuntu.com (also den der TU Dresden), nehme ich an?

Es gibt da noch ein paar mehr deutsche Spiegelserver von Ubuntu. 😉

https://launchpad.net/ubuntu/+archivemirrors

tomtomtom schrieb:

Reinarden schrieb:

Hier unter Xubuntu 16.04 LTS wurde das aktualisierte Paket wpa_supplicant am Montag Abend (16. Oktober) per automatischer Paketverwaltung eingespielt, von Ubuntus deutschem Spiegel-Server.

Du meinst sicher den standardmäßig bei deutscher Lokalisierung eingestellten http://de.archive.ubuntu.com (also den der TU Dresden), nehme ich an?

Genau, ich meine den in „software-properties-gtk“ sichtbaren, standardmäßig eingestellten „Server für Deutschland“. Er entspricht Deiner URL de.archive.ubuntu.com , wie /etc/apt/sources.list zeigt.