昨日公開されたWPA2の4way handshake周りの脆弱性(KRACK; Key Reinstallation Attacks)で大騒ぎになっています。
KRACK Attacks: Breaking WPA2
が、Windowsは既に対応パッチがリリースされており、Windows Updateによる自動更新が有効であれば既に修正されているようです。
以下のCERTのページで、各社製品の状況が確認できます。
Vulnerability Note VU#228519 - Wi-Fi Protected Access II (WPA2) handshake traffic can be manipulated to induce nonce and session key reuse
Microsoft製品についてはCERTの以下のページに記されており「10月10日にセキュリティアップデートをリリースしており、WindowsUpdateが有効でセキュリティアップデートが適用されていれば自動的に保護される」旨の声明が発表されています。
Vendor Statement
Microsoft released a security update on October 10, 2017, and customers who have Windows Update enabled and applied the security updates, are protected automatically.
Microsoft Corporation Information for VU#228519
Microsoft自身のサイトには以下の通り説明が掲載されています。
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-13080
Windowsのバージョンによって対象となるKBは異なるようですが、最新の64bit版Windows10*1ではKB4041676にパッチが含まれているようです。
私のPCでもWindowsUpdateの更新の履歴を確認してみたところ、既にKB4041676が導入されていることが確認できました。
「正しくインストールされました」のテキストをクリックして確認できる情報は以下の通り。
「詳しい情報」をクリックして飛ばされるリンク先は以下になります。
https://support.microsoft.com/ja-jp/help/4041676/windows-10-update-kb4041676
上記ページにはKRACKについての対応は個別には触れられていませんが、以下の文言に含まれるということなのだと思われます。
Microsoft Windows Search Component、Windows カーネルモード ドライバー、Microsoft Graphics コンポーネント、Internet Explorer、Windows カーネル、Microsoft Edge、Windows 認証、Windows TPM、Device Guard、Windows ワイヤレス ネットワーク、Windows Storage および Filesystems、Microsoft Windows DNS、Microsoft Scripting Engine、Windows Server、Windows Subsystem for Linux、Microsoft JET データベース エンジン、および Windows SMB Server のセキュリティ更新プログラム。
国産Andoroid端末をはじめ修正までのリードタイムが長そう(或いは放置されそう)なことが懸念される無線LAN搭載デバイスは多いですが、さすがMicrosoftといったスピード感での対応には非常に好感が持てます*2。
なお、Arduino互換で無線LANを搭載していることで個人や小規模のハードウェアデベロッパーに重宝されているESP8266やESP32にも影響があるようです。こちらも、開発元のEspressif Systemsにより修正版Firmwareが公開されており、Microsoft同様に素早い対応には非常に好感が持てます。
Espressif Systems Information for VU#228519
冒頭にリンクを張ったCERTのリストにはこんなメーカーも影響するのかといった意外性もあったりします。PCやスマートフォンだけではなく、ゲーム機やプリンターやテレビ、デジタルカメラやドローンなど、現代の多くの製品には無線LANは搭載されているため、影響する機器は膨大で手持ちの全ての無線LAN搭載機器の修正を確認するのは相当な手間と時間が掛かりそうです。
私の理解ではKRACKによる攻撃ではネットワークに侵入されるのではなく、通信傍受(及び一部条件下での通信改竄)だと認識しているので、盗み見られて困る通信を行う機器(PCやスマートフォンやネットワークカメラ等)の対策が最優先され、秘匿性の低い通信しか行わない機器(課金しないゲームしかしないゲーム機等)は後回しとなっても実害は発生しにくそうな印象です。なお、傍受されたとしてもSSLで通信していれば復号できないので、さらに実害は発生しにくい(というか発生しない)はずです。
ユーザとしては製造元がパッチを公開しないとどうにもできませんので、秘匿性の高い通信を行う機器でパッチが公開されていない機器は利用を停止せざるを得ないケースも出てくるでしょう。
以上。
*1:Windows 10 Version 1703 for x64-based Systems
*2:時には問題を引き起こしてきたりもしましたが、長きにわたりWindows Updateのエコシステムを構築・運用・維持してきただけの実績は他社が容易くまねることはできないのでしょう。
