近日，有白帽黑客Mathy Vanhoef爆出了Wi-Fi网络保护协议中最主流的WPA2中存在严重的安全漏洞，这项漏洞可能导致使用Wi-Fi的终端（手机、笔记本等）时泄露个人的信用卡信息、各类网站账号密码、聊天记录以及其他隐私信息等。本次漏洞影响十分巨大，全球使用Wi-Fi的macOS、Windows、iOS、Android和Linux用户都有可能被涉及。

原理

Mathy Vanhoef采用了一套名为KRACK（Key Reinstallation Attacks 密匙重装攻击）的攻击方法，这种攻击主要针对WPA2的四次握手验证工作原理，当一个客户端要加入到一个Wi-Fi网络环境中时，它需要执行四次握手协议来获得一个新的加密密匙，正常情况下，终端将在收到message3时安装这个密匙，当密匙被安装之后将被用于数据加密。但是如果AP端没有收到终端安装密匙完成的反馈，就是重新发送message3，攻击者正是利用这一点通过引导被攻击端重新安装已被使用过的密匙，来对终端传输的信息进行破解。

目前已披露的相关CVE（漏洞与披露）

CVE-2017-13077	CVE-2017-13078	CVE-2017-13079	CVE-2017-13080
CVE-2017-13081	CVE-2017-13082	-	CVE-2017-13084
-	CVE-2017-13086	CVE-2017-13087	CVE-2017-13088

有什么影响？

1. 第一，攻击者可以获得被攻击者的密码、Cookie等隐私信息，这意味着用户的资产、账户密码、浏览页面等内容都会遭到泄露。

2. 第二，攻击者可像未加密的HTTP中注入恶意信息。举例来说，攻击者可以将木马和勒索软件加入到你下载的软件安装包当中。
   

解决建议

虽然这次安全漏洞影响十分巨大，但是白帽黑客从8月份开始，就陆续向多家硬件设备提交了漏洞报告，目前微软已经发布更新解决该问题，Wi-Fi联盟/苹果/谷歌承诺近期发布安全更新。

• 更新！更新！及时更新！路由器有更新就更新路由器、手机有更新就更新手机、电脑有更新就更新电脑！该漏洞可以通过限制一条密匙只能被安装一次的的手段被解决，所以近期有厂商更新时一定要及时更新~

• 不要在坚守终端的某个特定老版本，微软承诺Windows在十月份安全更新中解决了这个问题，而苹果（iOS11.1 Beta版本）和谷歌都承诺将在近期推送

  中部署了安全更新。相比卡顿、使用习惯等其他不升级的原因，明显这个漏洞严重性大太多了！

• 不要改用WEP加密方式，虽然WPA2本次爆出了如此重大的安全漏洞，但是WEP的的破解十分简单，相当于是穿着塑料袋裸奔了。

• 修改Wi-Fi密码是无用的，本次漏洞针对的不是Wi-Fi密码，而是你的内容。

• 如果暂时没有安全更新可用的话，发现这一漏洞的作者Mathy Vanhoef建议禁用像是中继模式的功能和基于802.11r的快速漫游功能以减少被攻击的风险。