일일 보안이슈

WPA2 보안 사용하는 WiFi 공략하는 KRACK 공격

Leuven 대학교의 Mathy Vanhoef 는 현대 모든 Wi-Fi에서 사용하는 Wi-Fi Protected Access II (WPA2) 프로토콜에 존재하는 취약점을 발표. 다른 소프트웨어/하드웨어에 작용하는 것이 아닌 WPA2 자체에 존재하는 취약점. 이로인해 공격자는 네트워크 암호를 알지 못해도, 암호화된 Wi-Fi 트래픽을 평문으로 볼 수 있게된다. KRACK 이란 이름은 Key Reinstallation Attack 에서 따왔다고. 아래는 key reinstallation 이 발생하는 벡터와 영향받는 프로토콜에 대한 간략한 설명

주 공격벡터는 WPA2의 4-way handshake 에 존재한다. 4-way handshake 는 클라이언트 측에서 보호된 Wi-Fi 네트워크에 진입코자 할 때 발생. 또한 클라이언트측과 AP(Access Point)측이 모두 동일한 크리덴셜(예를 들면 PSK(PreShared Key))을 보유했는지 확인할 때에도 발생한다. 이와 동시에 4-way handshake 는 해당 접속에서 이후 트래픽 전송에 사용될 새로운 암호화 키를 협상¹ 할 때에도 사용된다.
어렵게 말했지만 이말인 즉슨 현대 모든 Wi-Fi 네트워크는 4-way handshake 를 사용한다. 이는 KRACK 공격의 영향아래 있다는 말. 기존의 오래된 WPA 방식과 최신 WPA2 표준 모두 영향을 받을 수 있고, 심지어 AES 키만을 사용한 암호화 통신에도 영향을 끼친다.

간단히 말하자면 KRACK은 공격자가 MITM 하에 공격대상 네트워크에 속한 PC에 WPA2 트래픽에 사용 된 암호화 키를 재설치토록 한다. 공격을 위해 공격대상네트워크의 전파가 닫는 물리적인 범위 내에 있어야 한다. 또한 몇몇의 경우엔 HTTPS 또한 지원되야 한다. HTTPS 는 WPA2 와 다른 암호화 계층을 사용하기 때문. US-CERT advisory page에서 업데이트 등의 대응방안을 살펴볼 수 있다.

아래는 시연영상과 취약점 상세 페이지 링크. 링크를 따라가면 패치된 디바이스목록을 확인할 수 있다. 기술문서-Key Reinstallation Attacks: Forcing Nonce Reuse in WPA2 와 공격 설명 사이트. 기사원문

• CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
• CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
• CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
• CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
• CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
• CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
• CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
• CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
• CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
• CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.

Adobe, BlackOasis 공격에 사용된 0-day 패치

지난 주 Adobe 는 2012년 6월 이후 처음으로 더이상 패치할 게 없단 이유로 보안패치를 재공치 않겠다고 선언. 그리고 6일만에 Flash Player 의 0-day 업데이트 릴리즈… 패치된 취약점은 CVE-2017-11292 로, 중동에서 활동하는 공격그룹으로 알려진 BalckOasis 가 활발히 활용중인 Type confusion 형 RCE 취약점. FinSpy 라는 툴킷에서 이 취약점을 사용중. 윈도우즈, 리눅스, 맥, 크롬OS 의 27.0.0.170 이전 버전에 영향. 기사원문

러시아, FSB 에 백도어 제공치 않은 혐의로 텔레그램에 14,000$ 벌금

러시아는 텔레그램에 러시아 정보국 FSB 이 암호화된 대화기록에 접근할 수 있는 백도어 제공을 요구했으나 이를 거부한 혐의로 800,000 루블(약 14,000$)을 부과했다. 자세한 내용은 기사원문 참고

리눅스커널 로컬 권한상승 취약점 패치

리눅스 커널 개발진은 상승된 권한으로 코드를 실행할 수 있는 취약점을 포함한 6개의 보안 취약점 패치 출시. 사운드카드 드라이버의 API를 제공해주는 리눅스 커널에 포함된 소프트웨어 프레임워크의 UAF(Use After Free) 메모리 충돌 이슈 CVE-2017-15265. 익스플로잇을 위해 로컬 접근이 필요하지만, 접근에 성공할 경우 root 획득이 가능하다. 기사원문