アカウント名:
パスワード:
台数で言っても、公衆wifiの利用度から言っても、この脆弱性の主なターゲットはスマホでは。そのスマホで対応スケジュールすら確定していない段階で、「対応が進む」という見出しを付けてしまうのはどうかね。
それほど利用しやすい脆弱性ではなさそうなのでそんなに心配はしていないが、そのうち高度な攻撃コードが生まれないとも限らない。
公衆Wifiが脆弱性持ちのクライアントをREJECTできるならいいけど、区別つけることが不可能なら脆弱な端末が存在する限り将来にわたって成りすまし接続されるリスクが残る
互換性のないよりセキュアなプロトコルを作って、10年ぐらいかけて移行しないと危険かもしれない
> 公衆Wifiが脆弱性持ちのクライアントをREJECTできるならいいけど、区別つけることが不可能なら> 脆弱な端末が存在する限り将来にわたって成りすまし接続されるリスクが残る
残りません
発見者のサイトでもさんざん明言されていますが、HTTPSでもVPNでもその他セキュリティ用プロトコルでも、WPA/WPA2とは別のレイヤーに存在するセキュリティ用プロトコルは今回の攻撃の影響の範囲外です
なのでWIFIパスワードなどは漏洩しませんし、公衆WIFIでよく行われているレイヤ7認証もHTTPSなどが正しく適用されていれば破られません偽APにつないでしまっているクライアントは、(一例として)HTTPSでの検証失敗を以て異常に気付くことができます
ここでレイヤ7認証でのHTTPSなどの仕組みが正しく適用されていない前提とすると、今回の攻撃以前の話としてそんな公衆WIFIは今までもこれからも成りすまし接続されるほうが当たり前となるだけです
とはいえ、軍事や公共、大企業では今回の攻撃を無視することもできませんし、今回の攻撃への「後方互換性のある対処」もあくまでも緩和策にしかならないことを一部のベンダーも認めていますので
・一般レベルでは当面無視していても差し支えない(各ベンダーもこれがわかってるから温度感が低い)
・軍事、公共、大企業では必要に応じWIFI機器にパッチを当てる、有線化するなど対処して時間を稼ぐ
・長期的には後方互換性のない規格を制定し必要に応じ乗り換える
という流れは避けられないとは自分も思います
軍事、公共、大企業の機器リプレース猶予を考えると、最低でもドラフト規格はあっという間に決まり、そこから5年程度かけて軍事、公共、大企業は機器リプレースを進めつつ、一般人の機器が対応していくのはそれ以降の正式規格化後くらいじゃないでしょうか。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
普通のやつらの下を行け -- バッドノウハウ専門家
主戦場はスマホじゃないだろうか (スコア:0)
台数で言っても、公衆wifiの利用度から言っても、この脆弱性の主なターゲットはスマホでは。
そのスマホで対応スケジュールすら確定していない段階で、「対応が進む」という見出しを付けてしまうのはどうかね。
それほど利用しやすい脆弱性ではなさそうなのでそんなに心配はしていないが、そのうち高度な攻撃コードが生まれないとも限らない。
Re: (スコア:0)
公衆Wifiが脆弱性持ちのクライアントをREJECTできるならいいけど、区別つけることが不可能なら
脆弱な端末が存在する限り将来にわたって成りすまし接続されるリスクが残る
互換性のないよりセキュアなプロトコルを作って、10年ぐらいかけて移行しないと危険かもしれない
Re:主戦場はスマホじゃないだろうか (スコア:0)
> 公衆Wifiが脆弱性持ちのクライアントをREJECTできるならいいけど、区別つけることが不可能なら
> 脆弱な端末が存在する限り将来にわたって成りすまし接続されるリスクが残る
残りません
発見者のサイトでもさんざん明言されていますが、
HTTPSでもVPNでもその他セキュリティ用プロトコルでも、
WPA/WPA2とは別のレイヤーに存在するセキュリティ用プロトコルは今回の攻撃の影響の範囲外です
なのでWIFIパスワードなどは漏洩しませんし、公衆WIFIでよく行われているレイヤ7認証も
HTTPSなどが正しく適用されていれば破られません
偽APにつないでしまっているクライアントは、(一例として)HTTPSでの検証失敗を以て異常に気付くことができます
ここでレイヤ7認証でのHTTPSなどの仕組みが正しく適用されていない前提とすると、
今回の攻撃以前の話としてそんな公衆WIFIは今までもこれからも成りすまし接続されるほうが当たり前となるだけです
とはいえ、軍事や公共、大企業では今回の攻撃を無視することもできませんし、
今回の攻撃への「後方互換性のある対処」もあくまでも緩和策にしかならないことを一部のベンダーも認めていますので
・一般レベルでは当面無視していても差し支えない(各ベンダーもこれがわかってるから温度感が低い)
・軍事、公共、大企業では必要に応じWIFI機器にパッチを当てる、有線化するなど対処して時間を稼ぐ
・長期的には後方互換性のない規格を制定し必要に応じ乗り換える
という流れは避けられないとは自分も思います
軍事、公共、大企業の機器リプレース猶予を考えると、
最低でもドラフト規格はあっという間に決まり、
そこから5年程度かけて軍事、公共、大企業は機器リプレースを進めつつ、一般人の機器が対応していくのはそれ以降の正式規格化後くらいじゃないでしょうか。