家居 Router 安全性瓦解,隨時被 Hack [ F-Secure 小貼士 ]

标签: Tech Q | 发表时间:2012-01-24 11:40 | 作者:肥倫
出处:http://unwire.hk

記得早幾年逛街時,偶爾也能成功從一些完全沒有經過加密的私人 Wi-Fi 熱點上偷線上網,現在街上已甚少完全沒有加密的私人 Wi-Fi 熱點。這個現象,代表大眾對 Wi-Fi 保安的認知性已經較過去大幅提高。不過,如果認為在 Wi-Fi 網絡上套用加密設定後,就能有效杜絕黑客入侵的話,這樣絕對是對 Wi-Fi 保安認知上的謬誤。最近被公認最安全的 Router 加密方式,已經遭瓦解,人人也有機會「中招」。

煮個杯麵 Hack 入 Router 

現時不少用戶同時擁有 Tablet 平板電腦、手提電腦等,多數用戶家中會安裝具 Wi-Fi 功能的路由器,即我們常叫的 「Router」。一般家居使用 Router 都附帶有保安功能,亦即讓我們設定一組 password 做保護。如何才用得安全,主要取決於用戶使用那種加密方式,幾年前的款式使用 WEP 加密,3 分鐘就給破解了,形同虛設。

用 WPA 2 至安心

故此,現時新型 Router 都會使用較安全的 WPA2 制式,是目前較安全的 Wi-Fi 網絡加密方法之一,很多 Router 出廠已預設使用這方式。所有通訊均會使用保安性較強的 AES(Advanced Encryption Standard)方式進行加密,加密訊息較難破解。面對保安性甚高的 WPA2,黑客幾乎只能「靠撞」,以不斷測試密碼的方式破解,故此對於 WPA2 網絡來說,密碼長度愈長,加上混合英文字、數字和符號的話,保安性相對來說就愈高。

就手功能成 Hack 入缺口

不過,WPA2 就算多安全,都在近期被發現了嚴重保安漏洞,問題是自為方便而設的 Wi-Fi Protected Setup(WPS)。每個支援 WPS 功能的網絡裝置均設有 PIN 號碼,連接時只要在客戶端輸入伺服器端的 PIN 號碼,或是在伺服器端輸入客戶端的 PIN 號碼,客戶端即可完成網絡設定並加入 Wi-Fi 網絡。剛過去不久的 2011 年 12 月,保安Stefan Viehbock 發現輕易取得 PIN 號碼的方式,並在除夕夜發放個人開發的 PIN 號碼破解工具,大約只要花費兩小時,即可取得路由器的 PIN 號碼,成功連接經 WPA2 加密的 Wi-Fi 網絡。本來牢不可破的保安方式,就因為方便設定的功能而遭瓦解,人人也有機會被盜取自己電腦資料而不自知。

TP-Link 路由器的 QSS 即等同 WPS 功能,只是稱呼上的差異。除此之外,各生產商也有開發出類似 WPS 的功能,以 Buffalo 為例,大多數路由器也內建功能類似 WPS 的 AOSS。

除透過輸入 PIN 號碼外,只要在客戶端安裝 Wi-Fi 介面的操控軟件後,同時在軟件介面和路由器端按下 WPS  按鍵,客戶端即可連接至 Wi-Fi網絡。

Wi-Fi 保安小 Tips:

根據香港專業保安協會 2011 年發放的香港 Wi-Fi War Driving 調查發現,香港沿電車路的商住 Wi-Fi 用戶多達 16,462 個無線收發點。而當中依然使用 WEP 加密方式的多達 3 成以上,而沒有使用加密的達 13.64%。F-Secure的大中華區總監李力恆指大家應加強 Wi-Fi 安全性,以免 Wi-Fi 網絡被入侵:

1.棄用 WEP 加密,改用 WPA2 加密方式。

2.為 WPA2 設定 PSK 密碼時,盡量選用長度較長的密碼,並以英文字、數字和符號組成密碼。

3.關閉路由器上的 WPS 或類似功能。

4.停止公開路由器的 SSID。

 

只有停用 WPS 功能,才能堵塞保安漏洞。基於各品牌的路由器設定方法略有差別,如不懂設定的話,可參考生產商官頁內所提供的指引。

為進一步提高 Wi-Fi 網絡安全性,李力恆建議大家進入路由器設定頁內,將 WPS 或類似功能關閉。如路由器設定頁上沒有關閉 WPS 功能的選項,可嘗試進入生產商的網頁,看看有沒有為路由器釋出更新。WPS 功能雖然方便,但在安全前題下,為了一時之便,百密一疏,招致損失,實在不甚明智。

Stefan Viehboeck 上傳了一段影片,示範如何使用個人開發的工具,破解 TP-Link TL-R1043ND 路由器的 PIN 號碼。網址: http://vimeo.com/34402962

 

One more thing: 網上行用戶免費用 F-Secure PC Guard 防毒軟件

網上行 30M / 100M 寬頻客戶,或者是指定光纖計劃或Netvigator Everywhere 客戶,原來您在合約期內,已經獲贈了 F-Secure PC Guard 電腦防禦服務,並可於多達4部電腦使用,無須再付錢購買防毒軟件!

你只需根據以下指示確認你已獲贈序號便可。做個簡單步驟,總比要付費購買其他防毒軟件、又或者使用免費但不包含防間諜軟件功能的防毒軟件優勝和窩心得多!


1.     按此進入 PC Guard 電腦防禦網站 ( http://pcguard.netvigator.com)

2.    輸入網上行登入名稱及密碼,然後登入。(如你忘記密碼,請致電 1833833,通過簡單的步驟與客戶服務員聯絡)

3.    當你看到右上角,顯示 ”你現有的網上保安增值服務計劃包括:4 個電腦防禦軟件序號“ 即代表你已獲贈使用本服務。(如沒有的話代表用戶的寬頻計劃沒有包括在內,請致電 1833833 查詢,或直接申請並以月費形式訂購。部分網上行計劃的客戶可能只有 1 個電腦防禦軟件序號)

確認已獲贈使用本服務後,請按右面的 “立即安裝” 繼續


4.   按 “下載網上行電腦防禦軟件“。
你可先行抄下或複製軟件序號,你將於安裝時需輸入該序號。

5.    根據指示安裝軟件,安裝時請輸入從步驟 4 得到的軟件序號。

6.    搞掂!

國際性中立機構 AV-Comparatives,經過一年內七次測試二十多個全球知名的防毒軟件,最後把 F-Secure Internet Security 2011 評為全球最佳防毒軟件。你可按此了解測試及有關獎項的詳情。F-Secure PC Guard 電腦防禦的功能和效能與 F-Secure Internet Security 2011 相同,介面及圖示則專為網上行客戶而設計。所以,指定的網上行客戶現在無需再為擔心防間諜軟件、續購問題等而煩惱。有關閣下的網上行戶口、月費計劃合約、 PC Guard電腦防禦服務等之詳情,可致電網上行客戶服務熱線 1833833。

相关 [router 安全 hack] 推荐:

家居 Router 安全性瓦解,隨時被 Hack [ F-Secure 小貼士 ]

- - UNWIRE.HK 流動科技生活
記得早幾年逛街時,偶爾也能成功從一些完全沒有經過加密的私人 Wi-Fi 熱點上偷線上網,現在街上已甚少完全沒有加密的私人 Wi-Fi 熱點. 這個現象,代表大眾對 Wi-Fi 保安的認知性已經較過去大幅提高. 不過,如果認為在 Wi-Fi 網絡上套用加密設定後,就能有效杜絕黑客入侵的話,這樣絕對是對 Wi-Fi 保安認知上的謬誤.

從 Github 被 hack,談 Rails 的安全性( mass-assignment )

- - Blog.XDite.net
關於 Github 被入侵這件事,目前在國外開發圈傳的沸沸揚揚. 看來中文圈還沒有消息,我來報導一下到底發生了什麼事好了. 順便宣導一下開發 Rails 程式碼需要注意的其中一個觀念... Rails 的 master 被某個 hacker 塞上這一段 commit. 以證明 Github 是可以被入侵的.

CSS的Hack大搜集

- - CSDN博客Web前端推荐文章
  Hack在CSS的编写中是经常被用到的一种技术. 之所以出现了Hack,是因为各个浏览器的解析有专属于自己的写法的. 不过,Hack虽然是如此的好用,作为前端写代码的我们来说,用它绝对是快准狠的解决了问题,但是不太推荐大家用Hack.   Hack的技术是针对不同浏览器写不同的样式,让浏览器达到不同的渲染效果.

为什么 Facebook 发明新语言“Hack”

- - 开源中国社区最新新闻
为什么Facebook发明新语言“Hack”.  (注:Hack是一种PHP的派生语言). 为了替换掉那些有年头的老代码,Facebook创建了一个新的语言. 这个故事来自Facebook工程师Julien Verlaguet和Ed Smith的一次访谈. 2004年2月,扎克伯格(Mark Zuckerberg)的哈佛同学们第一次登陆Facebook,服务器里运行着PHP.

iOS客户端hack的两种姿势

- - WooYun知识库
分析某商城漏洞,在漏洞验证时采用了两种iOS上的hack工具:cycript和reveal,各有风情,均能攻城拔寨,实乃我辈日常居家、杀人越货之利刃,现与诸君共享之. 该商城的iOS版app为用户提供了找回密码的功能,用户需通过三个步骤找回密码:. 输入一个本地的图形辨识验证码(多余. 提供用户手机号,输入一个短信验证码.

Advanced Onion Router v0.3.0.20 最新中文图文教程

- - 细节的力量
Advanced Onion Router( AdvOR)是由hexhub开发的一个 tor实用的组合工具,经过作者不断完善,现在的AdvOR是目前tor组合工具中很好的工具之一, 美博园一直跟踪其最新版发布,本文是美博园根据多年使用结合最新版写出的突出主要功能的详细中文图文教程,AdvOR软件中自带有详细的英文教程:AdvOR\Help\AdvOR.html.

ssr vuejs/vue-hackernews-2.0: HackerNews clone built with Vue 2.0, vue-router & vuex, with server-side rendering

- -
This is a demo primarily aimed at explaining how to build a server-side rendered Vue app, as a companion to our SSR documentation. #install dependenciesnpm install#or yarn#serve in dev mode, with hot reload at localhost:8080npm run dev#build for productionnpm run build#serve in production modenpm start.

前端设计中的浏览器CSS Hack汇总

- Myheimu - UED TEAM,用户体验设计,web前端开发
CSS Hack是我们解决浏览器兼容性(尤其是IE各版本)问题的常用手段. CSS Hack的手法可以说是五花八门,使用时经常混淆. js代码 /***** Selector Hacks ******/. /* IE6及更低版本浏览器 */. /* IE8, FF, Saf, Opera (除了IE 6、7的所有浏览器) */.

豌豆实验室Hack Day活动7项作品发布

- DaoDao - cnBeta.COM
Hack Day是一项在硅谷互联网企业中常见的活动,不管是工程师还是设计师,都离开自己的日常工作岗位 (当然,在保证所有服务正常运转的前提下…),去和其它同事或者朋友们共同组建小的产品团队,在有限的时间内把自己冷藏已久的有趣想法变成现实. 一般来说,豌豆们都很忙,有做不完的新功能,改不完的 bug… 但从上周四晚上开始,所有豌豆都放下了手上的正经工作、停止了产品的发布、打乱了原有的分工、组成一个个新的小团队,开始做一些稀奇古怪,看起来和我们平常做的事情一点关系也没有的事情.

小tip:巧用CSS3属性作为CSS hack

- 逸川 - 张鑫旭-鑫空间-鑫生活
本文地址:http://www.zhangxinxu.com/wordpress/?p=1867. 题目:实现类似下图的宽度自适应效果,IE9+,FireFox,Chrome,Opera等使用CSS3实现,IE6~8浏览器使用图片实现. ————- 假设这是大家全神贯注思考的18分钟 ————————.