如今，你可能每天都離不開 Wi-Fi，它像水、電、空氣一樣包圍你的生活。所以，當不少人看到今天關於 Wi-Fi 被曝出重大安全漏洞的新聞時，心裡都一陣恐慌，擔心自己連上 Wi-Fi 的手機被黑客「黑掉」。但是，事實真有那麼可怕嗎？
Wi-Fi 安全性出現漏洞，是比利時魯汶大學安全研究員 Mathy Vanhoef 近日在他的論文裡指出的問題。
他發現 WPA2 加密協議存在漏洞並可被破解，在某些情況下，攻擊者可利用漏洞嗅探到使用 Wi-Fi 的客戶端的通信數據包（流量）並可以劫持該客戶端到一個釣魚 AP 上，實現流量劫持、篡改等。這意味著，黑客可能會借此竊取你的手機密碼，攔截你的財務數據，甚至操控你的手機。對，即便你更改 Wi-Fi 密碼也無法避免。
作為 Wi-Fi 通信加密方式，WPA2 從 2004 年起，就作為 Wi-Fi 聯盟面向社會推行的強制性標準使用至今，Mathy Vanhoef 的研究是對它第一次的破解，而在 WPA2 背後，正是全球數以億計的電子設備，因此引發如此強烈的反應便不難理解。
Vanhoef 將這一漏洞命名為「KRACK」，是「Key Reinstallation Attack」（密鑰重安裝攻擊）的縮寫。他發現 WPA2 在四路握手（four-way handshake）時，允許擁有預共享密碼的新設備加入網絡，而這正是問題本身，黑客可以切入進用戶連接的路由器並替換原來的連接，讓其連到其它路由器上，從而達到數據挾持的目的。
Vanhoef 對一部 Android 智能手機執行瞭一次 KRACK，結果顯示攻擊者有能力對受害者傳輸的全部數據進行解密。他表示密鑰重裝攻擊對於 Linux 以及 Android 6.0 或者更高版本系統擁有強大的破壞性。Vanhoef 對此在論文中講瞭很多，如果你感興趣，不妨看看他的論文內容 。
「問題出在 wpa_supplicant （一個開源軟件項目）身上，因為 Android Wi-Fi 系統引入瞭 wpa_supplicant，它的整個 Wi-Fi 系統以 wpa_supplicant 為核心來定義上層用戶接口和下層驅動接口，由於該模塊客戶端功能實現上的問題，導致漏洞容易被觸發。」360 無線電安全研究院負責人楊卿告訴極客公園，雖然這次漏洞本身危害嚴重，但由於作者並未公佈該漏洞的測試程序和具體攻擊方法，並且該漏洞對攻擊環境有足夠高的要求，所以初步分析對我們的隱私以及財產影響不大。
所以說，目前即便黑客瞭解到這其中的隱患，想要利用也有不低的成本。並且，利用這種缺陷無法批量對無線客戶端進行攻擊，隻能一個一個攻擊客戶端，對於黑客來說攻擊效率低下，所以普通用戶中招的可能性很小。
說到這你應該可以緩口氣，對於每天都要用 Wi-Fi 的我們來說，雖然今天的新聞並不是好消息，但我們還不至於草木皆兵。
「這個漏洞可以實現對目標網絡或主機通信的監聽。主要用途應該是做流量劫持攻擊。比如誘使目標訪問到釣魚網站，欺騙下載惡意軟件。」獵豹移動安全專傢李鐵軍告訴極客公園，如果用戶端和服務器之間采用加密的通信，被這種漏洞攻擊的影響就更小。
所幸，這次漏洞事件可以通過系統安全補丁來彌補，目前包括微軟、Google、蘋果在內的公司都做出回應，會在接下來對系統做出安全升級。
而考慮到目前每天都在拿著智能手機使用的我們來說，如果你非常擔心自己收到影響，下面這些來自安全專傢的建議可以幫到你：
及時更新無線路由器、手機，智能硬件等所有使用 WPA2 無線認證客戶端的軟件版本。（有補丁的前提下）
有條件的企業及個人請合理部署 WIPS（無線入侵防禦系統），及時監測合法 WiFi 區域內的惡意釣魚 Wi-Fi，並加以阻斷幹擾，使其惡意 Wi-Fi 無法正常工作。
無線通信連接使用加密隧道及強制 SSL 規避流量劫持與中間人攻擊造成的信息泄漏。
在不使用 Wi-Fi 時關閉手機 WiFi 功能，公共 Wi-Fi 下不要登錄有關支付、財產等賬號、密碼。如需登錄、支付，將手機切換至數據流量網絡。
傢用 Wi-Fi 該怎麼使用就怎麼使用，WPA/WPA2 本身是安全的，也不用修改 WiFi 密碼。（編輯：Rubberso）
