Hoje, pesquisadores de segurança publicaram um artigo detalhando uma vulnerabilidade séria no WPA2, o protocolo que mantém a maioria das redes Wi-Fi modernas seguras – incluindo a de sua casa. Veja como se proteger de invasores.
Índice
O que é KRACK e devo me preocupar?
Krack é uma abreviação para k ey r einstallation um tta ck . Quando você conecta um novo dispositivo a uma rede Wi-Fi e digita a senha, ocorre um handshake de 4 vias que garante o uso da senha correta. No entanto, ao manipular parte desse aperto de mão, um invasor pode ver e descriptografar muito do que acontece em uma rede Wi-Fi, mesmo que seu proprietário não saiba a senha. (Se você for técnico e preocupado com a segurança, pode ler o artigo completo para obter mais detalhes.)
Uma vez que alguém tenha acesso à sua rede dessa forma, eles podem ver muitos dos dados que você transmite ou até mesmo injetar seus próprios dados – como ransomware e outro malware – nos sites que você visita (pelo menos aqueles que usam HTTP – sites que usam HTTPS deve ser mais seguro após a injeção).
No momento em que este livro foi escrito, quase todos os dispositivos eram vulneráveis ao KRACK, pelo menos de alguma forma. Dispositivos Linux e Android são mais vulneráveis, devido ao cliente Wi-Fi específico que eles usam – é trivial ver grandes quantidades de dados transmitidos por esses dispositivos. Observe que o KRACK não revela sua senha de Wi-Fi ao invasor, portanto, alterá-la não o protegerá. No entanto, o WPA2 não está irreversivelmente quebrado – o problema pode ser resolvido com atualizações de software, sobre as quais falaremos em um momento.
Você deveria estar preocupado? Sim, pelo menos um pouco. Se você está em uma casa unifamiliar, as chances de ser alvo são menores do que se você estiver em um prédio de apartamentos movimentado, por exemplo, mas enquanto estiver vulnerável, você deve estar vigilante. É provavelmente uma boa ideia parar de usar Wi-Fi público, mesmo aqueles protegidos por senha, até que os patches sejam lançados.
Felizmente, existem algumas coisas que você pode fazer para se proteger.
Como se Proteger de Ataques KRACK
Este é um grande problema de segurança que provavelmente prevalecerá por algum tempo. No entanto, aqui estão as coisas que você deve fazer agora.
Mantenha todos os seus dispositivos atualizados (a sério)
Você sabe como seu PC e telefone estão sempre importunando você sobre atualizações de software e você apenas clica em “Instalar mais tarde”? Pare de fazer isso! Sério, essas atualizações corrigem vulnerabilidades como essa, que protegem você de todos os tipos de coisas desagradáveis.
Felizmente, contanto que um dispositivo em um par seja corrigido – seja o roteador ou o computador / telefone / tablet conectado a ele – os dados sendo transmitidos entre eles devem estar seguros.
Isso significa que se você atualizar o firmware do roteador, sua rede deve ser protegida. Mas você ainda deseja atualizar seu laptop, telefone, tablet e qualquer outro dispositivo que você traga para outras redes Wi-Fi, caso não haja patch. Felizmente, seu computador, telefone e tablet irão notificá-lo sobre atualizações; aqui está o que sabemos que está corrigido agora:
- Os PCs com Windows 10, 8, 8.1 e 7 foram corrigidos em 10 de outubro de 2017, presumindo que todas as atualizações estejam instaladas.
- Os Macs foram corrigidos em 31 de outubro de 2017, desde que tenham instalado o macOS High Sierra 10.13.1.
- iPhones e iPads foram corrigidos a partir de 31 de outubro de 2017, supondo que eles estejam instalados no iOS 11.1
- Os dispositivos Android devem receber patches a partir do patch de segurança de 6 de novembro de 2017, que será lançado para dispositivos Nexus e Pixel. Outros dispositivos Android receberão atualizações conforme os fabricantes as lançam.
- Os dispositivos ChromeOS devem ser corrigidos a partir de 28 de outubro de 2017, supondo que tenham instalado o Chrome OS 62.
- A maioria dos PCs que executam Linux devem ser corrigidos, supondo que sejam mantidos com atualizações. Ubuntu 14.04 e posterior, Arch, Debian e Gentoo têm todos os patches lançados.
É bom saber disso, mas você também deve verificar o site do fabricante do roteador periodicamente para obter atualizações de firmware do roteador – se você tiver um roteador mais antigo, ele pode não ser atualizado, mas muitos dos mais novos provavelmente devem. (Se o seu não receber uma atualização, pode ser uma boa hora para atualizar esse roteador de qualquer maneira – apenas certifique-se de que o seu novo está corrigido para KRACK antes de comprar.)
Enquanto isso, se o roteador não tiver patch, é extremamente importante que todos os dispositivos da rede doméstica o façam . Infelizmente, alguns podem nunca obtê-los. Dispositivos Android, por exemplo, nem sempre recebem atualizações oportunas, e alguns podem nunca receber uma para KRACK. Os dispositivos Smarthome também podem ser problemáticos, pois ainda podem obter malware que os torna parte de um botnet . Fique de olho nas atualizações de firmware para qualquer outro dispositivo conectado por Wi-Fi que você usa e envie um e-mail aos fabricantes desses dispositivos para ver se eles emitiram ou estão planejando lançar um patch. Esperançosamente, uma vez que essa vulnerabilidade já está causando grandes ondas, os fabricantes de dispositivos serão realmente incentivados a lançar patches.
Aqui está uma lista de execução de dispositivos que foram corrigidos ou receberão patches em breve.
Use HTTPS em sites que oferecem suporte (provavelmente você já faz)
Enquanto você espera que seus dispositivos recebam patches, certifique-se de cuidar de seus dados pessoais. Se você fizer algo sigiloso pela Internet – e-mail, banco, qualquer site que exija uma senha – certifique-se de fazer isso por HTTPS . HTTPS não é perfeito e alguns sites não o implementaram corretamente (como Match.com, conforme mostrado pelos pesquisadores), mas ainda assim deve proteger você em muitas situações.
Felizmente, mais e mais sites estão usando HTTPS por padrão atualmente, então você não deve ter que fazer muito – apenas certifique-se de ver aquele pequeno ícone de cadeado ao se conectar a qualquer site que exija uma senha ou informações de cartão de crédito. E certifique-se de que o ícone de cadeado permaneça lá enquanto você usa o site, uma vez que um invasor pode tentar tirar a proteção HTTPS a qualquer momento.
Altere as configurações padrão em seu roteador e outros dispositivos
Mesmo que seu roteador seja corrigido, isso não significa que ele esteja protegido contra outros ataques. Alguém pode comprometer um de seus dispositivos usando um ataque KRACK e, em seguida, instalar malware que ataca sua rede de outras maneiras, como fazer login em seu roteador usando a senha fornecida. Certifique-se de que não está usando a senha padrão em nenhum dispositivo em sua casa, certifique-se de que seu roteador usa WPA2 com criptografia AES e desative recursos inseguros do roteador, como WPS e UPnP. Todas essas são coisas básicas que todos devem fazer , mas agora é um bom momento para verificar novamente.
Execute antivírus e antimalware em seu PC
Não é preciso dizer isso – porque você já deveria estar fazendo isso – mas certifique-se de ter um software antivírus e antimalware decente em execução no seu PC. Os ataques KRACK podem ser usados para injetar malware nos sites que você visita, e “apenas usar o bom senso” não o protegerá . Recomendamos o uso do Windows Defender , que vem integrado ao Windows 8 e 10, para seu antivírus, junto com o Malwarebytes Anti-Malware para se proteger de explorações do navegador e outros tipos de ataques. Mesmo se todos os seus dispositivos estiverem totalmente corrigidos com o KRACK, você deve usar esses programas.
Resumindo, essa vulnerabilidade é grande, e a única maneira de realmente se proteger é certificando-se de que seu roteador e todos os seus dispositivos Wi-Fi conectados estejam atualizados. Mas enquanto esperamos por essas atualizações, a segurança básica do computador pode percorrer um longo caminho: use HTTPS sempre que puder, não use as senhas padrão em seus dispositivos, execute antivírus e antimalware e atualize seu software assim que conseguir essa notificação. Você não quer ser atacado apenas para perceber que cinco minutos de atualizações poderiam ter mantido seus dados seguros.
