最近對Wi-Fi WPA2安全協(xié)議（CVE-2017-13077至CVE-2017-13088）的KRACK（密鑰重新安裝攻擊）攻擊突出了主動維護和更新嵌入式系統(tǒng)的要求，尤其是部署在惡劣環(huán)境中的長壽命系統(tǒng)。

KRACK很有趣，因為它是一個成熟，廣泛使用的安全協(xié)議中的一個缺陷。KRACK利用Wi-Fi設(shè)備使用WPA2建立加密通信的四向握手中的缺陷。幸運的是，有一個針對此漏洞的向后兼容修復(fù)程序;修補 Wi-Fi 鏈路的任一端都可以解決問題。

與其詳細介紹KRACK，不如將其用作案例研究和課程計劃，供那些負責(zé)管理連接和嵌入式系統(tǒng)的人員使用。

在所有系統(tǒng)中都會發(fā)現(xiàn)問題

首先，在所有系統(tǒng)中都會發(fā)現(xiàn)問題。提高計算能力允許加密算法和密鑰長度受到攻擊。我們已經(jīng)在從棄用舊的DES加密標準到RSA密鑰長度的演變到當(dāng)前推薦的2048位或更長密鑰的所有內(nèi)容中看到了這一點。即使使用安全的算法，實現(xiàn)缺陷和新穎的攻擊方法也可能造成漏洞。以O(shè)penSSL代碼中發(fā)現(xiàn)的各種弱點為例。通信協(xié)議可能存在弱點，這些弱點只有在使用多年后才能發(fā)現(xiàn)，例如影響數(shù)十億臺設(shè)備的Wi-Fi KRACK。

規(guī)劃故障以及修正和更新

KRACK最大的教訓(xùn)是，您必須為故障做好計劃，并有辦法修復(fù)和更新系統(tǒng)。時期。沒有例外。我的辦公桌上放著一個Wi-Fi燈泡 - 它的成本不到20美元，有一個完整的Wi-Fi堆棧連接到網(wǎng)絡(luò)。該設(shè)備容易受到KRACK攻擊，并且永遠不會更新 - 修復(fù)暴露的唯一方法是將其丟棄。（我應(yīng)該注意，這個燈泡還有其他安全孔，這就是為什么它放在我的桌子上而不是擰入插座。雖然對于低成本的消費類設(shè)備來說有些合理，但丟棄工作設(shè)備是一種糟糕的方法，對于任何重要的系統(tǒng)來說都是完全不可接受的。相比之下，Wi-Fi路由器和接入點，手機，平板電腦和筆記本電腦的供應(yīng)商已經(jīng)迅速發(fā)布了KRACK的補丁。（您是否更新了所有Wi-Fi設(shè)備？

修補的一個重要部分是知道需要修補哪些系統(tǒng)。您需要一種方法來判斷系統(tǒng)上安裝了什么以及它是否易受攻擊。系統(tǒng)掃描需要涵蓋安裝的軟件、版本和配置。許多系統(tǒng)管理工具都提供此功能。即使是嵌入式系統(tǒng)也需要能夠在部署后進行掃描和修復(fù)。

加密重要通信

是的，WPA2加密數(shù)據(jù) - 但僅適用于Wi-Fi鏈接。需要完整的端到端加密，例如SSL/TLS（請使用TLS 1.1或1.2并防止會話降級到較低版本）或VPN［虛擬專用網(wǎng)絡(luò)］提供的加密。在嵌入式系統(tǒng)上運行的應(yīng)用程序應(yīng)該負責(zé)自己的加密，而不是信任網(wǎng)絡(luò)來加密自己。這意味著應(yīng)用程序堆棧應(yīng)使用標準支持的加密機制（如 SSL/TLS 或 VPN），并確保其配置正確，而不是應(yīng)用程序需要直接在應(yīng)用程序中包含加密。如果確實在應(yīng)用程序中包含加密，請使用標準加密包和庫。永遠不要嘗試構(gòu)建自己的加密實現(xiàn);那結(jié)局并不好。..

保持嚴格的訪問控制

需要一種機制來檢測、識別、授權(quán)和注冊嘗試連接到網(wǎng)絡(luò)的所有設(shè)備。具有諷刺意味的是，訪問控制是WPA2的主要部分，使用“Wi-Fi密碼”作為共享密鑰。WPA2實際上做得很好，并且在為KRACK打補丁后繼續(xù)做得很好。其他工具可用于其他接口，從簡單的藍牙配對到使用服務(wù)器的安全啟動或受信任啟動的復(fù)雜證明。

利用通信漏洞需要訪問權(quán)限。使用Wi-Fi KRACK，這意味著距離接入點只有幾百英尺。這實際上是一件好事;KRACK不允許遠程攻擊，而是要求您在物理上靠近目標。

使用硬連線以太網(wǎng)連接

許多消息來源都建議將其作為修復(fù)KRACK的有效方法，尤其是對于臺式機和筆記本電腦系統(tǒng)。這可以像桌面以太網(wǎng)交換機和一些跳線一樣簡單，直到您可以修補設(shè)備為止，或者它可以是有線建筑物，每個辦公室和筆記本電腦擴展塢都有以太網(wǎng)。

在考慮系統(tǒng)設(shè)計時，請記住無線和有線設(shè)備之間的主要區(qū)別和優(yōu)勢。無線設(shè)備易于安裝且成本低廉，易于移動，并且易于添加更多設(shè)備和連接。有線設(shè)備的安裝成本通常更高，難以移動，可能難以添加更多設(shè)備（因為需要更多通信端口），并且通常更快、更可靠、更安全。有線接口需要直接物理訪問才能進行通信，并且通常很少或沒有電磁輻射。

通信是大多數(shù)嵌入式系統(tǒng)的關(guān)鍵部分。雖然KRACK是Wi-Fi WPA2特有的，但類似的問題適用于所有形式的無線接口 - 實際上適用于所有接口，有線或無線。實現(xiàn)通信的安全性和完整性是這些系統(tǒng)的設(shè)計、實施和生命周期管理的一部分。

審核編輯：郭婷