יצרניות המחשבים הגדולות החלו להוציא תיקונים לפירצת אבטחה שאליה חשופים רוב המכשירים הדיגיטליים המחוברים לטכנולוגיית Wi-Fi בעולם – מחשבים, טאבלטים, טלפונים ניידים ועוד. החולשה מאפשרת לתוקף מיומן לצוטט למידע רב שנשלח מכל מחשב או מכשיר נייד אל הנתב האלחוטי, ומשם הדרך לפריצה לכל המחשב קלה יחסית. לפירצה אין מענה פשוט, ולמרות שהחברות החלו להגיב ולפתח תיקונים שימנעו אותה, במחשבים ונתבים ישנים וחלק נכבד ממכשירי האנדרואיד ימשיכו להיות חשופים.

חולשת האבטחה בפרוטוקול ה-Wi-Fi התגלתה ע"י החוקר הבלגי מתי ואנהוף, אשר העלה עמוד ברשת המתאר אותה. החולשה מתמקדת באופן בו מכשיר כמו המחשב או הטלפון שלכם מתחבר לרשת ה-Wi-Fi. מרבית הנתבים מאבטחים עצמם בשיטת WPA2, שהיא בעלת הצפנה חזקה יחסית. בשיטה זו ההתחברות מתבצעת באמצעות "לחיצת יד" בת 4 שלבים. חולשה האבטחה מאפשרת לתוקף הנמצא בקרבה פיזית להטעות את המכשירים סביבו, ולעמוד בתווך בינם לבין הנתב האמיתי. מן המקום הזה, ביכולתו לפענח חלק מהתקשורת בשלב "לחיצת היד" ולאחר מכן לפענח את המידע המוצפן ששולחים המכשירים לנתב האלחוטי – לחשוף ססמאות, הקלדות וכל מידע שעובר בין המחשב לרשת האינטרנט.

ואנהוף גם הדגים כיצד הוא מסוגל "לקלף" את שיטת ההצפנה המקובלת בגלישה לאתרים (HTTPS) מהתקשורת הניידת, ולגרום למחשבים לתקשר בצורה בלתי מוצפנת. תוקפים מיומנים מסוגלים להשתמש בחלקי המידע שנחשף כדי לזייף תקשורת עם אתרים שונים ובהם אתרי דואר אלקטרוני, אפליקציות בנקאיות ואחרות, ובכך להונות את המשתמשים ולגרום להם לחשוף את כל חייהם הדיגיטלים.

בעיה ללא תיקון פשוט

חולשת האבטחה לא ניתנת לפתרון באמצעות החלפת סיסמה, שכן הסיסמה כלל איננה נפרצת. החולשה אפשרית בשל באופן שבו מרבית המכשירים מיישמים את שיטת WPA2, הנמצאת בשימוש כבר 13 שנים ונחשבת לבטוחה. את החולשה ניתן לנצל גם בשיטות אבטחה קודמות – WPA וWEP. למעשה, למשתמשים אין שום יכולת למנוע את סיכון האבטחה הזה, למעט כמובן הימנעות משימוש בWi-Fi או הוספת שכבת הצפנה נוספת באמצעות VPN – שירות פרטי הניתן בדרך כלל בתשלום.

אז מה עושות חברות המחשבים? הן יכולות להוציא עדכון למערכות ההפעלה ולנתבים, באופן שיחסום את האפשרות הזו. חברת מיקרוסופט הוציאה עדכון אבטחה המנטרל את החולשה, ואילו אפל תוציא עדכונים בימים הקרובים למערכות ההפעלה שלה במחשבי מק ומכשירי IOS (אייפד, איפון וכו'). גם גוגל צפויה להוציא עדכון בקרוב, אך חלק גדול ממכשירי האנדרואיד בעולם לא יזכו לקבל אותו, שכן הדבר מחייב כל יצרן של מכשירי אנדרואיד (כגון LG, סמסונג וכו') להוציא עדכון בעצמו, ולשלוח אותו באופן נגיש למשתמשים.

מה יקרה בעקבות העדכונים?

מכשירי אפל זוכים בדרך כלל לשיעורים גבוהים של משתמשים שעדכנו בפועל את המכשירים. לא ברור האם גם הנתבים מתוצרת אפל מעודכנים בשיעור גבוה כמו מחשבי המקבוק, האייפד והאייפון. גם מכשירים של מיקרוסופט צפויים לעדכונים בשיעורים גבוהים באופן יחסי, אך גרסאות ישנות של 'חלונות' עלולות להצריך התקנה ידנית של טלאי האבטחה. טלפונים סלולריים וטאבלטים של יצרניות גדולות יזכו לעדכוני אבטחה שיגנו עליהם, וכך גם נתבים מחברות ידועות – בתנאי שהמשתמשים יטרחו לעדכן את תוכנות המכשירים.

'אוכלוסיית הסיכון' שתישאר לא מעודכנת כוללת מחשבים ישנים, נתבים, טלוויזיות חכמות, מצלמות רשת, טלפונים וטאבלטים של חברות קטנות, בעיקר מסין, שלא יתקנו את פרוטוקול האבטחה. מכשירים אלו ימשיכו להיות בסכנת של דליפת מידע בכל שימוש ברשת WIFI. משתמשים רבים בעולם אינם מבינים כיצד פועלים המכשירים האלקטרוניים, ולא טורחים לעדכן אותם גם כאשר יש תיקון זמין.

חשוב לציין כי למרות חולשת האבטחה, דרושה מיומנות תקיפה גבוהה בכדי לדעת לנצל אותה. כמו כן, עד כה הוצגה רק אפשרות לבצע את התקיפה בקרבת הנתב, ולא ממקום פיזי מרוחק, אך ייתכן שגם פריצה מרוחקת היא תסריט אפשרי: ניתן, תיאורטית, להשתיל במכשיר שכבר נפרץ לחלוטין ונשלט מרחוק (לא חשוב באיזו שיטה) גרסה של קוד התקיפה החדש ובכך להתגבר על מגבלת המרחק.

מה אפשר לעשות כדי לצמצם חשיפה ?

כדי להקטין את הסיכונים שנחשפו בחולשת האבטחה חשוב לעדכן מערכות הפעלה למכשירים שיש להם קישוריות Wi-Fi. עם זאת חשוב לדעת כי תיקון של המחשב או הטלפון כאשר הנתב פגיע לא יחסום לחלוטין את הבעיה – כמו גם להיפך. בכל מקרה, מומלץ להימנע משימוש ברשתות ציבוריות ואם בכל זאת משתמשים בהן, להימנע מגלישה לאתרים בהם אנו משתפים מידע אישי. רכישת שירות VPN יכולה להוסיף שכבת הצפנה שמקטינה את התועלת שניתן להפיק מתקיפה בשיטה זו וגם בשיטות אחרות.