Wurde die WiFi KRACK-Sicherheitslücke für iOS gepatcht?

In WPA2 gibt es eine neue Sicherheitsanfälligkeit namens KRACK (Abkürzung für Key Reinstallation Attack), wie im Guardian-Artikel beschrieben: " Alle WiFi-Netzwerke sind anfällig für Hacking, Sicherheitsexperte entdeckt ".

Nach dem Artikel:

Die Sicherheitslücke betrifft eine Reihe von Betriebssystemen und Geräten, darunter Android, Linux, Apple , Windows, OpenBSD, MediaTek, Linksys und andere.

Wurden Sicherheitsupdates für iOS veröffentlicht, die dies beheben?

Updates veröffentlicht am 31. Oktober 2017

Apple hat Updates veröffentlicht, die einen Fix für die KRACK-Schwachstelle für macOS, iOS, tvOS und watchOS enthalten. So erhalten Sie die Updates:

• macOS High Sierra 10.13.1 und Sicherheitsupdates für Sierra & El Capitan -
  Starten Sie den App Store und wählen Sie die Registerkarte Updates.
• iOS 11.1 -
  Gehen Sie zu Einstellungen> Allgemein> Software-Update
• watchOS 4.1 -
  Starten Sie die Watch-App auf Ihrem iPhone und gehen Sie dann zu Allgemein> Software-Update
• tvOS 11.1 -
  Für Apple TV 4 (und 4K) gehen Sie zu Einstellungen> System> Software-Updates und wählen Sie Software aktualisieren.
  Für Apple TV (2./3. Generation) gehen Sie zu Einstellungen> Allgemein> Software aktualisieren

Es ist die Richtlinie von Apple, Sicherheitslücken erst dann zu kommentieren, wenn sie gepatcht wurden, und selbst wenn dies der Fall ist, sind sie häufig recht vage.

Informationen zu Apple Sicherheitsupdates

Zum Schutz unserer Kunden werden von Apple keine Sicherheitsprobleme offengelegt, diskutiert oder bestätigt, bis eine Untersuchung durchgeführt wurde und Patches oder Releases verfügbar sind. Aktuelle Versionen werden auf der Seite mit den Apple-Sicherheitsupdates aufgeführt .

Mit ein wenig Detektivarbeit können wir jedoch einen Einblick gewinnen. Wenn wir uns die CVEs ansehen, die dieser besonderen Sicherheitsanfälligkeit zugeordnet sind , ^{* können} wir eine Liste der Probleme anzeigen , die von Apple behoben werden sollten , wenn ein Sicherheitspatch veröffentlicht wird:

• CVE-2017-13077: Neuinstallation des paarweisen Verschlüsselungsschlüssels (PTK-TK) im 4-Wege-Handshake.
• CVE-2017-13078: Neuinstallation des Gruppenschlüssels (GTK) im 4-Wege-Handshake.
• CVE-2017-13079: Neuinstallation des Integritätsgruppenschlüssels (IGTK) im 4-Wege-Handshake.
• CVE-2017-13080: Neuinstallation des Gruppenschlüssels (GTK) im Gruppenschlüssel-Handshake.
• CVE-2017-13081: Neuinstallation des Integritätsgruppenschlüssels (IGTK) im Gruppenschlüssel-Handshake.
• CVE-2017-13082: Akzeptieren einer erneut übertragenen FT-Neuzuordnungsanforderung (Fast BSS Transition) und erneutes Installieren des paarweisen Verschlüsselungsschlüssels (PTK-TK) während der Verarbeitung.
• CVE-2017-13084: Neuinstallation des STK-Schlüssels im PeerKey-Handshake.
• CVE-2017-13086: Neuinstallation des PeerKey (TPK) -Schlüssels von Tunneled Direct-Link Setup (TDLS) im TDLS-Handshake.
• CVE-2017-13087: Neuinstallation des Gruppenschlüssels (Group Key, GTK) bei der Verarbeitung eines Antwortrahmens für den Ruhezustand (Sleep Mode Response Frame, WNM).
• CVE-2017-13088: Neuinstallation des Integritätsgruppenschlüssels (IGTK) bei der Verarbeitung eines WNM-Antwortrahmens (Wireless Network Management) für den Ruhezustand.

In diesem ZDNet-Artikel wird außerdem darauf hingewiesen, dass alle derzeit verfügbaren Patches für KRACK Wi-Fi-Schwachstellen (16. Oktober 2017) schnell reagieren und Apple bestätigt hat, dass Patches in der Betaphase sind.

Apple hat bestätigt, dass es einen Beta-Fix für iOS, MacOS, WatchOS und TVOS gibt, der in einigen Wochen in einem Software-Update veröffentlicht wird.

---

^* Common Vulnerabilities and Exposures (CVE®) ist eine Liste allgemeiner Kennungen für öffentlich bekannte Sicherheitslücken im Internet. Die Verwendung von "CVE-Kennungen (CVE IDs)", die von CVE-Nummerierungsbehörden (CVE Numbering Authorities, CNAs) auf der ganzen Welt vergeben werden, stellt das Vertrauen zwischen den Parteien sicher, wenn Informationen über eine eindeutige Softwareanfälligkeit diskutiert oder ausgetauscht werden. und ermöglicht den Datenaustausch für die Automatisierung der Cybersicherheit.

---

Rene Ritchie, Chefredakteur von iMore, berichtet, dass diese Sicherheitslücke in allen aktuellen macOS-, watchOS-, tvOS- und iOS-Betas behoben ist .

Bis zum Versand der Updates empfehlen viele Sicherheitsblogs, VPN und mit SSL geschützte Sites zu verwenden, um alle über Wi-Fi übertragenen Informationen zu schützen.

SSL garantiert zwar keine Datensicherheit vor einem KRACK-Angriff, erschwert dies jedoch erheblich. KRACK greift jedoch tief genug zu, um möglicherweise vor der Verschlüsselung auf Daten zuzugreifen.

Die Schwachstelle wurde soeben veröffentlicht (zum Zeitpunkt der Beantwortung dieser Frage), und ich bezweifle, dass sie zuerst an Hersteller gesendet wurde (da dies angesichts der Anzahl der Parteien, die darüber informiert werden müssen, sehr schwierig wäre) bündeln Sie ein neues Update für alle vorhandenen Geräte und geben Sie es frei.

Wie immer, bevor Apple nicht nur für eine einzelne Sicherheitsanfälligkeit einen dringenden Patch für iOS / Mac OS ausführt, werden einige der Fixes / Änderungen in einem Update zusammengefasst.

Auch das Korrigieren, Testen, Überprüfen, Freigeben usw. nimmt Zeit in Anspruch. Es wird also nicht sofort angesprochen.