迪吉国际
2017 年 12 月 04 日
2017 年 10 月发生的 KRACK Wi-Fi 漏洞事件再次提醒我们，任何负责设备安全和网络通信的人都应将安全放在首位。KRACK（密钥重装攻击）涉及 WPA2 协议的一个问题，该协议为当今绝大多数设备和路由器的 Wi-Fi 流量加密。换句话说，这个问题影响了几乎所有拥有电脑的人。
我们能从中学到什么？
第一课：安全漏洞不足为奇
遗憾的是，这些问题是意料之中的，因为它们是无线通信世界中可以预见的现实。但也有一线希望。这些知识使我们有能力建立和遵循最佳实践。这里的关键教训并不是安全至关重要的新闻快讯。它只是提醒我们：在任何情况下，都不能依赖任何一种安全方法来保护网络免受攻击。
典型的网络遵循 OSI 7 层通信模型*，其中每一层都可以采用安全措施。这些层包括
- 物理层：硬件层的功能。这一层的主要目的是定义负责通过支持通信的介质进行传输的物理信号。
- 数据链路层：数据链路层：负责定义节点到节点比特级直接数据传输协议的层。协议可包括站与接入点之间的 802.11 无线协议。在这一层中，Wi-Fi 或以太网等通信类型可以有所不同。KRACK 漏洞就发生在这一层。
- 网络层：网络层：负责处理多节点网络中的数据，并管理采用各种协议的主机之间的通信。互联网协议（IP）版本 4 就是一个例子。
- 传输层：处理数据流控制的层。这通常被视为 TCP 层。
- 会话层：会话层：通过普通应用协议处理通信会话和身份验证的层。
- 呈现层：将传入和传出数据转换为另一种呈现格式并能解密加密数据的层。这一层通常是 SSL/TLS 加密流发生的地方。
- 应用层：应用层：处理电子邮件客户端和网络浏览器等应用程序的格式化应用数据输入和输出的层。
*请注意，我们对 TCP/IP 协议和 OSI 7 层模型的定义有些随意。TCP/IP 并不完全符合 OSI 模型。不过，我们发现使用 OSI 模型对于审查网络和应用程序的安全性至关重要。
第 2 课：采用 "深度安全 "最佳做法
在一个真正安全的应用程序中，安全发生在多个层上，最小的是数据链路层、传输层和表现层。应用程序的安全策略不能依赖于任何一层。该模型中的每一层都可能失败，有时甚至会失败得很严重。
因此，最佳做法是在尽可能多的网络层中监控和实施行业标准安全方法。当安全漏洞或攻击针对其中一层时，你就可以采取其他强有力的措施。当某一层受到攻击时，这些措施就是你的 "免罪金牌"。
让我们以 Wi-Fi 和 KRACK 漏洞为例。使用 Wi-Fi，数据从设备传输到接入点，任何人都无法读取或解码。相比之下，如果每个人都连接了网络集线器，就可以有效地看到彼此的流量。KRACK 漏洞影响了所有执行 WPA/WPA2 标准的系统，它允许每个人都能以同样的方式看到你的流量，就像他们在同一个有线网络上一样。
对于 Wi-Fi（传输层），您无法控制监听 Wi-Fi 无线信号的恶意站。因此，您必须使用 WPA/WPA2 标准等安全协议来加密流量。此外，如果您还拥有最新的 TLS 会话级协议，那么即使出现 Wi-Fi 漏洞，您也能得到保护。
经验 3：每种安全措施的寿命都是有限的
安全方法确实会过期。由于安全漏洞可能而且确实经常出现（通常以月而不是年为单位），因此必须定期更新保护网络和数据的标准。网络行业屡屡受到头条新闻制造者的攻击，如破坏 SSL 和 TLS 1.0 的 POODLE 问题，以及其他许多跨多层和跨通信方法的身份验证、认证和验证方法攻击。
随着安全协议和标准的变化，企业及其网络管理员有责任采用这些更新来保护他们的系统和网络。
经验 4：与致力于安全的产品供应商合作
由于安全问题需要多管齐下，因此不仅要确保联网政策的稳健性，还要确保纳入系统的产品是为安全而设计的。
认识 Digi TrustFence®
- 开发具有各种功能的产品，以减少最常见的安全漏洞和针对设备的攻击。
- 致力于不断改进安全生命周期。
选择基于这种模式的产品，您就可以轻松地将设备安全、设备身份和数据隐私功能集成到您的系统和设计中。
总之
虽然 "刀枪不入 "可能不是一个现实的目标，但关键是要制定一个强有力的战略，帮助您在安全问题发生之前和发生时做好准备并作出反应。这包括在多个网络层保持最新的标准，并采用可适应不断发展的安全威胁的产品。