日本語フォーラム

Reply
Highlighted

Kr00k でも影響を受けないArubaのCentralized Encryptionモデル

残念ながら、無線LANに関係する新たな脆弱性、"Kr00k"が見つかりました。この脆弱性の影響を受けると、Disassociation直後にAPの送信キューに残っているフレームを盗み見される可能性があります。

あくまでも、Disassociation直後の送信キューに残った数KBだけなので、それ以外のセッションが盗み見されるわけではありません。また、オリジナルの暗号化キーが盗まれるわけでもありません。

 

Arubaの製品も影響を受けるモデルが存在します。

詳細と最新情報は、こちらのSupport Advisory のページをご参照下さい。

 

Affected Products 
================= 
This vulnerability affects specific Aruba Wi-Fi access points running
Aruba Instant.  These access points are not affected when operating under the
control of a Mobility Controller in the default tunnel mode, but are affected
if the access point is operating in local bridging mode, distributed tunnel
(Dtunnel) mode, or mesh mode.

The following Wi-Fi access points are affected:
 - Aruba 2xx series
 - AP-344/345
 - AP-504/505
 - AP-514/515

Other Aruba access points, including Instant On models, are not affected. 

 

上記に含まれていないのが、

 

"Arubaのコントローラ型のトンネルモード"です。

 

 どう言うことか簡単に解説します。

 

今回の脆弱性は"無線チップのBroadcomの脆弱性をついたもの"、というのが大きく関係しています。

APはサーバルームなどセキュアなエリア(Classified Area)では無く、誰でも触れることが可能なエリア(Unclassified Area)に設置されます。このAPで通信の暗号化・復号化されることに不安を持つユーザが、無線LAN普及当初に少なからず存在していました。Arubaは無線LANから始まった会社なので、この懸念事項も十分理解しており、Centralized Encryption モデルを考え出しました。

簡単に図解をすると以下のようになります。

せっかく無線区間のフレームを暗号化しているのだから、その暗号化・復号化をAPでするのでは無く、集中管理しているコントローラで行えばいいという発想です。

Screen Shot 2020-03-01 at 9.48.28.png

単純にAPとコントローラ間を暗号化するのとは違います。よくある単純なコントローラ型の場合、図の真ん中にあるように、無線の暗号化と有線(APとコントローラ間)を別々に行なっています。これだと、APに余計な負荷がかかるだけです。

 

Centralized Encryption のメリットは大きく2つです。

1. APの負荷が下がり、多端末接続時のパフォーマンス劣化を抑えることができる

2. APで暗号化・復号化を行わないため、APの脆弱性をついた攻撃(物理的なアクセスを含む)に影響を受けにくい

 

今回の"Kr00k"は、まさにAPの脆弱性を狙った攻撃で、ArubaのCentralized Encryption モデル(=コントローラ型のトンネルモード)で導入していた場合は、この脆弱性の影響を受けません。

 

もちろん、ネットワークの設計上、トンネルモードが不可だったり、IAPのように物理コントローラ無しの利用シーンもあるので、

その場合は脆弱性対策を実施下さい。対応ファームウェアが準備出来次第、Support Advisory でご案内します。

Search Airheads
cancel
Showing results for 
Search instead for 
Did you mean: