WP手机遭受中间人攻击,微软建议关闭Wi-Fi

slide_image_042312-WI-FI-SEC-1

微软曝光的企业Wi-Fi安全重大隐患其实并不局限于Windows Phone手机,根源在于WPA2的安全机制缺陷,而这并非微软单方面能够解决的问题。

微软Windows Phone近日爆出安全问题,攻击者可以假冒企业无线AP,骗取员工企业网络账户,只有采用了数字证书认证的企业WLAN无线网络才可以避免此安全问题。

微软在安全警报中指出,Windows Phone 7.8/8设备使用的Wi-Fi认证协议容易被攻击者利用,窃取存储在移动设备上的网络访问帐号。

微软安全顾问指出

黑客控制的系统可以假冒已知的企业Wi-Fi访问点,诱使目标设备与其自动连接并认证,从而截获受害者的加密域账户。攻击者可以利用窃来的账户非法访问和获取企业网络资源。

更让企业信息安全主管担忧的是,攻击者甚至无需靠近企业WLAN访问点就可以发起此类“中间人”攻击,事实上攻击者可以在机场、咖啡馆或类似信息安全大会这样的会展现场发起攻击。

据微软安全顾问透露,WP手机的无线安全问题并非微软一家能够解决,问题的根源不在Windows Phones手机自身的软件,而是来自Windows Phone使用的Wi-Fi安全认证协议WPA2所采用的受保护可扩展认证该协议PEAP(PEAP-MS-CHAPv2)。

显然,这不是微软单方面通过软件升级能够解决的问题,这需要所有无线访问点和Windows Phone 8设备都修改设置才行。

F-Secure安全实验室的安全顾问Sean Sullivan在twitter上指出,WP手机的配置需要进行如下修改:高级Wi-Fi设置菜单–>自动连接Wi-Fi热点(选否),就是不要让手机自动查找并连接可用的Wi-Fi热点。Sullivan认为相比iOS设备,WP手机可以查看并审计所有已知网络,因此可以排除那些非受信网络。(参考阅读:四款主流移动操作系统安全性横向评测

最后微软向用户提出了两个“建议措施”以消除Wi-Fi安全隐患,其中一条让人有些哭笑不得:“关闭WIndows Phone设备的WiFi模块”。

微软给出的另外一个建议更加靠谱一些:信息安全主管们应当为企业无线访问点发放根证书。微软建议通过企业移动设备管理系统发布数字证书,或者用邮件将证书发送给Windows Phone用户并附上操作说明。

第一时间获取面向IT决策者的独家深度资讯,敬请关注IT经理网微信号:ctociocom

   
除非注明,本站文章均为原创或编译,转载请务必注明出处并保留原文链接: 文章来自IT经理网
相关文章:


关于作者

主要关注社会化商务时代的客户关系管理、业务流程管理、数据挖掘、商业智能和企业协作等领域的新技术、新应用和新趋势。曾长期从事信息化咨询服务和软件开发工作,服务过首都机场、国家电网公司、中国蓝星等企业。邮箱:guanzhigang@ctocio.com

写评论

忘记密码

X