啊啊我想说这事情这么大条这里竟然没人PO XD
我大致上整理了一下 不想看落落长的文章的人可以看这边就好
这个漏洞是WiFi加密协定WPA2 所以所有透过WPA2加密的WiFi(装置)都有漏洞
包括你的手机 电脑 WiFi基地台 AP路由器
任何品牌 任何型号 任何作业系统都有
攻击方式是不需要知道你的WiFi密码就可以拦截以及存取传送的资料
因此 请手机有透过WiFi使用金融或其他机密服务的人 要特别注意 尤其是公众WiFi
(抱歉补充一点 这里指的是公司那种的公共WiFi 不是那种7-11的免费WiFi 另外7-11
那种的WiFi是直接没有加密 因此使用时更需要注意)
要点整理
1.Linux(含Android尤其6.0以上)最容易被攻击 也是危害最大的
2.因为是直接拦截讯号 所以一定要收的到该WiFi讯号才能攻击 所以除非你家附近
有资讯背景的无聊或有心人士才可能会受影响 但公共WPA2认证WiFi就需要特别注意
处理状况
1.Microsoft Windows已经在上礼拜释出更新修复漏洞
2.iOS 11.1会修复此漏洞(beta已修复而正式版尚未)
3.Android系统包含在Google 11月安全性更新里面(各家系统则未知)
4.其他系统如Linux各分支以及各网通商品请自行寻找询问原厂或官方论坛
以上是重点摘要
一些其他的细节:
因为经过此种方法截断连线时 https加密协定可以结合其他攻击手法破坏
因此如果WiFi有被劫断并整合攻击的情况 会无法成功使用https加密协定
虽浏览网页时Chrome上方网址列会显示是否有连接到https(绿色锁头及字眼)
但在使用一般App时则不会显示 因此若使用金融App时 需要特别注意一下连线的
WiFi环境是否安全 另外若是使用免密码WiFi则是原本就更该注意此细节
另外 这个漏洞WiFi AP无一幸免 记得要更新一下家里的AP或便携式WiFi基地台
注:原本内文资讯有不足缺漏以及误导的错误内容
感谢s25g5d4以及lobida板友在#1PvYsDN8 (MobileComm)以及#1PvYHLRE (MobileComm)
做出的内容指正 谢谢
附上iThome的12 Q&A结尾
原文网址:https://www.ithome.com.tw/news/117511
全球数十亿装置采用的主流加密方式WPA2（Wi-Fi Protected Access II）惊爆有重大漏
洞，称为KRACKs攻击（Key Reinstallation AttaCKs），可以破解Wi-Fi加密传输的机制
，任何原本透过加密Wi-Fi传输的资料，都会因此而曝光而遭窃取，等于所有利用WPA2协
定来加密的Wi-Fi网络上所有传输资料，全都曝光了。包括Windows、Linux，iOS和
Android平台的装置全部受影响。我们也从资安公司赛门铁克官网和漏洞发现者官网紧急
整理了一份QA，让大家快速了解什么是KRACKs攻击。
Q1.什么是KRACKs
KRACKs（Key Reinstallation AttaCKs）是一系列WPA2协定漏洞的总称。WPA2是现在最主
流，最多装置使用的Wi-Fi网络加密协定，如今证实成功遭破解。攻击者可以拦截、窃取
任何透过Wi-Fi网络传输的资料，甚至，特定情况下，攻击者可以窜改、伪造传输的资料
，例如窜改付款网页内的转帐帐号，让消费者不知情地汇款到攻击者植入的银行帐号中，
或在正常网页中植入恶意连结。
Q2.我可以如何因应？
Wi-Fi装置使用者需立刻更新Wi-Fi设备的修补程式。
Q3.更换密码有用吗？
没有，更换密码无济于事，因为这是通讯协定漏洞，只有更新修补软件才能预防。
Q4.企业级产品也会受影响吗？
会，不论是个人消费性无线产品或企业级产品，包括WPA1和WPA2，或是使用了WPA-TKIP,
AES-CCMP和GCMP加密方式的产品都会受到影响，所有使用者或企业都需要更新来预防遭骇
。
Q5.KRACKs会影响我的基地台或路由设备器吗？我需要修补吗？
所有Wi-Fi路由设备和基地台都需要修补KRACKs漏洞，因为这个漏洞攻击WPA2使用装置的
连线授权过程，因此，凡是连线到路由器的设备都会受到影响。必须赶快询问路由器厂商
来取得更新软件。
Q6.有没有哪些设备的KRACKs弱点特别严重？
有，所有使用WPA2的设备都会受影响，但有一些设备特别容易遭入侵。发现漏洞的研究者
警告，凡是使用wpa_supplicant加密元件2.4版以上的装置，特别容易受影响，甚至他以
悲惨来形容这类装置容易遭入侵的程度。wpa_supplicant加密元件是Linux系统常用的
Wi-Fi加密协定元件。
因为wpa_supplicant会将加密金钥储存在内存中，不会移除，可让攻击者可以多次尝试
来破解。不只Linux系统，Android 6.0版本以上，也采用了这个wpa_supplicant加密元件
，等于全球过半Android装置都是WPA2容易遭破解的装置。
Q7.需要第三代加密技术WPA3吗？
不用，WPA2只需要更新修补软件，即可解决这个问题。
Q8.如果没有更新程式，怎么办？
目前资安研究员发现的攻击手法，是针对讯号交握过程（4-way Handshake），也就是资
料传输过程的拦截和破解，而非直接入侵端点装置。如果没有更新程式，有一些可以缓解
攻击的作法，例如中继用的Wi-Fi设备可以关闭用户连线功能，或关闭802.11r（fast
roaming）来减少遭骇的机率。
Q9.谁发现了KRACKs攻击？
比利时KU Leuven大学一位资安研究员Mathy Vanhoef今年5月就发现了这一系列漏洞，并
于10月16日揭露更多细节，以及发表概念验证，证实可以成功破解加密来窃取资料。他还
成立了一个网站来说明漏洞细节。https://www.krackattacks.com/
Q10.这只是理论，还是真的可以破解的漏洞？
Mathy Vanhoef研究团队已经在macOS和OpenBSD上验证成功。攻击示范影片如下
https://www.youtube.com/watch?v=Oh4WURZoR98
Q11.已经出现攻击灾情了吗？
根据赛门铁克追踪到10月17日为止，还没有发现任何攻击者利用此漏洞的通报，不过，赛
门铁克警告，尽管这是一个最新发现的漏洞，但可以因应的时间很短，攻击者很快就会开
始利用。
Q12.有哪些相关的漏洞CVE？
KRACKs攻击相关的CVE多达10个，相关CVE连结如下（赛门铁克对这批CVE的简介*）
CVE-2017-13077
CVE-2017-13078
CVE-2017-13079
CVE-2017-13080
CVE-2017-13081
CVE-2017-13082
CVE-2017-13084
CVE-2017-13086
CVE-2017-13087
CVE-2017-13088
*为求排版整齐干净 因此简介省略 有需要请去原文章观看
原文网址:https://www.ithome.com.tw/news/117511
另外 更多关于这个漏洞的细节 会在11/1的一个event公开
https://acmccs.github.io/session-F3/
毕竟是一个超超超超大的事件(对于整个资安界来说啦)
很多细节不是开个记者会三言两语就能讲完的