WiFi被爆重大安全漏洞 360手機衛(wèi)士專家支招無需過分恐慌

　　10月17日上午7點，WiFi被曝光存在重大安全漏洞。該漏洞名為“KRACK”，也就是“Key Reinstallation Attack(密鑰重安裝攻擊)的縮寫”，它是基于WPA2保密協(xié)議，所以涉及范圍非常廣，幾乎影響全部計算機、手機和路由器等Wi-Fi設(shè)備，使黑客可以監(jiān)聽到通過接入WiFi網(wǎng)絡(luò)設(shè)備進行的數(shù)據(jù)通信，竊取用戶隱私;并可以劫持用戶客戶端到一個釣魚熱點上，實現(xiàn)流量劫持、篡改等。

　　360手機衛(wèi)士官方第一時間發(fā)布預(yù)警信息，提醒廣大用戶不要驚慌，用戶只需及時更新無線路由器、手機、智能硬件等所有使用WPA2無線認證客戶端的軟件版本，不用修改密碼即可避免受到KRACK攻擊。

　　根據(jù)360安全專家的解釋，KRACK漏洞不能用于破解使用WPA2無線網(wǎng)絡(luò)的密碼，只是會影響在使用WPA2認證的無線網(wǎng)絡(luò)下對應(yīng)連接的無線客戶端(如手機、智能設(shè)備等) ，所以造成該漏洞的關(guān)鍵環(huán)節(jié)就出現(xiàn)在無線協(xié)議的WPA2認證過程中。形象來說，攻擊者根據(jù)合法WiFi偽造同名的釣魚WiFi，并利用漏洞迫使無線客戶端連接到釣魚WiFi，這樣攻擊者就可以對無線客戶端的網(wǎng)絡(luò)流量進行逆行分析甚至進行中間人攻擊，輕松盜取用戶的銀行卡賬號、密碼、聊天信息、照片、電子郵件以及在線通訊工具內(nèi)容等重要信息。

　　不過目前比較樂觀的是，該漏洞利用的代碼并未公布。同時，該漏洞受范圍性影響，需處在合法wifi附近不超過100米的范圍，再加上漏洞利用難度頗高，短時間內(nèi)很難出現(xiàn)利用該漏洞的真實攻擊。360安全專家提醒用戶不必驚慌，可通過以下幾步做好防范。

　　個人用戶

　　1. 減少不必要的WiFi開啟時間，盡量選擇使用4G流量。同時，不要隨意連接公共場合的不明Wi-Fi，以免造成不必要的損失。

　　2. 關(guān)注手機、電腦以及路由器等使用WiFi的終端設(shè)備廠商固件升級信息，及時更新所有使用WPA2無線認證客戶端設(shè)備的軟件版本。

　　企業(yè)用戶

　　1.有條件的企業(yè)請合理部署WIPS，及時監(jiān)測合法WiFi區(qū)域內(nèi)的惡意釣魚WiFi，并加以阻斷干擾，使其無法正常工作。

　　2.無線通信連接使用VPN加密隧道及強制SSL規(guī)避流量劫持與中間人攻擊造成的信息泄漏。

　　3.國標(biāo)WAPI無線認證暫不受該漏洞影響。

　　實際上，除了技術(shù)漏洞，釣魚WiFi還潛藏在餐館、電影院、健身房等公共場所的免費WiFi中，用戶連接這些免費WiFi很容易中槍。一些黑客甚至搭設(shè)了銀行、證券公司、國家機關(guān)等同名WiFi，用戶因為相信這些機構(gòu)而輕易連接，造成手機銀行賬號密碼、照片、視頻等各種隱私信息被盜。其實，不法分子要架設(shè)一個釣魚WiFi，從技術(shù)上沒有任何難度，而在監(jiān)管方面，WiFi目前所使用的頻段是免費頻段，使用時無需向國家申報，對WiFi的監(jiān)管是事后監(jiān)管，因此用戶必須提高警惕，防止誤連釣魚WiFi。

　　KRACK漏洞再次讓無線網(wǎng)絡(luò)安全警鐘長鳴，360手機衛(wèi)士特別提醒，在釣魚WiFi的威脅下，手機用戶一定要提高警惕，及時根據(jù)360手機衛(wèi)士官方微博最新通知，更新相應(yīng)軟件版本。用戶使用手機進行網(wǎng)銀、支付寶等涉財務(wù)操作時，最好通過360手機衛(wèi)士對支付環(huán)境進行檢測，遠離釣魚WiFi威脅，確保手機安全。