menu-icon
anue logo
熱門時事鉅亨號鉅亨買幣
search icon


科技

微軟:WP手機接入惡意WiFi網絡時易遭攻擊

鉅亨網新聞中心


新浪科技訊 北京時間8月6日下午消息,微軟周一警告稱,Windows Phone智能手機在接入惡意WiFi網絡時易遭攻擊,可導致用戶證書被盜,而這些證書一般用於登錄敏感的公司網絡。

安全漏洞存在於一個名為“PEAP-MS-CHAPv2”的WiFi驗證方案中,Windows Phone手機用戶可通過這個驗證方案,訪問受“WiFi保護接入”(Wi-Fi Protected Access)協議2.0版保護的無線網絡。


由於微軟開發的這項技術在加密方面存在缺陷,攻擊者可以在Windows Phone手機連接到惡意WiFi接入點時,獲取這部手機的加密域名證書。通過利用MS-CHAPv2加密協議中的安全漏洞,攻擊者可以破譯這些數據。

微軟在安全公告中警告稱:“攻擊者可以將由其控制的系統,裝成已知WiFi接入點,受害者的Windows Phone手機將自動與這個接入點進行身份認證,這樣,攻擊者就能截獲有關受害者加密域名證書的信息。隨后,攻擊者就可以利用PEAP-MS-CHAPv2的加密漏洞,獲取受害者的域名證書。”

實際上,在一年多前的一次實驗中,研究人員就曾對MS-CHAPv2加密方案進行過攻擊。微軟在安全公告中也對那次攻擊做了描述,稱研究人員將這個漏洞與Windows Phone手機用戶的行為習慣相結合,導致設備可自動登錄惡意WiFi網絡,同時還不首先驗證其數字證書。當手機試圖通過CHAPv2驗證時,惡意網絡的操作者就可以利用這個加密漏洞,獲得用戶名和密碼。

設計了去年攻擊方案的研究人員摩西·馬爾林斯派克(Moxie Marlinspike)說:“如果運用得當,這應該會成為一種無縫攻擊手段,可用於對付在大多數企業環境下使用的無線企業證書。”研究人員戴維·胡爾頓(David Hulton)也幫助實施了去年針對MS-CHAPv2加密方案的攻擊。

不過,微軟並不打算發布一個補丁來修復這個安全漏洞。相反,該公司高管建議,在開始身份驗證之前,Windows Phone 8設備用戶需要一個證書來驗證無線接入點。微軟的安全公告也包含一些操作指導,讓用戶對Windows Phone設備做出專門的設置,以獲得驗證無線接入點可靠性的證書。

微軟在安全公告中還建議,用戶在不需要智能手機WiFi連接的時候,最好將其關閉。微軟表示,由於一份公開報告描述了MS-CHAP上面的一個已知漏洞,該公司最終在周一發布了安全公告。(揚帆)

文章標籤



Empty