光クロス」はIPoE方式でのみ提供開始。Vanhoef氏により公開された。クライアントのWPA2接続処理に起因する問題を悪用し、暗号鍵を再インスト―ルWi-Fi通信の暗号化は、当初広く用いられていた「WEP」において、総当たり攻撃により暗号化キーが漏えいする脆弱性が2008年に発見されて以降、現在はより強固な暗号化通信が可能なWPA2が主流を占めている状況だ。KRACKsは、クライアント(Wi-Fi子機)がWi-Fiアクセスポイントに接続する際の暗号化通信のハンドシェイク処理に起因するもの。CVE番号ベースで10件の脆弱性「CVE-2017-13077~13088」からなる。これを悪用することで、ペア暗号鍵(PTK-TK)、グループ鍵(GTK)、整合性グループ鍵(IGTK)の再インスト―ルなどが可能になる。これにより、Wi-Fiネットワークが到達可能な距離の範囲内にいる攻撃者が、WPA2で暗号化されたWi-Fiで通信されたデータを復号して盗聴したり、特定の暗号化を利用した際に通信内容を改ざんすることが可能になるという。実際にデータの暗号化に用いられるAESが破られたわけではなく、また、Wi-Fiの到達範囲外からは脆弱性を悪用できないとされている。脆弱性の対象は、WPA2またはWPAでWi-Fiアクセスポイントに接続するクライアント。Windows、Android、iOS、Linuxなどを搭載するPC、スマートフォンなど広範な機器が影響を受ける。Vanhoef氏によれば、Wi-Fi機器のセキュリティアップデート(修正パッチ)を適用すれば、Wi-Fiのパスワードを変更する必要はない。アクセスポイント側では、クライアント機能を持たない製品ではセキュリティアップデートが必要ない場合もあるとしている。Allianceではこの問題について「簡単なソフトウェアのアップデートを通じて解決することができ、すでに多くのWi-Fiユーザーに対してパッチの配布を開始した」としている。Microsoftでは、この脆弱性に関する情報を10月16日に公開。R2/2008向けに、10月10日配布のパッチとして提供しているという。正式版を公開予定とのこと。ISCによれば、AndroidにはWi-Fi接続時のハンドシェイク処理に実装上の問題があり、この脆弱性を悪用した攻撃が容易だという。Vergeの取材に対して、数週間中に影響を受けるすべての端末向けのパッチを提供すると述べたとのことだ。米Intelではアドバイザリを公表。同社のWi-Fi製品において影響を受ける脆弱性と、各製品のドライバーを提供している。ネットギアジャパン合同会社が公開した情報によれば、同社製品ではブリッジモードで使用している場合に、脆弱性の影響を受け、ルーターモード、アクセスポイントモードでは対象外となる。同社では対象製品の修正ファームウェアを提供している。本文の一部に誤解を招く「同一Wi-Fi」「Wi-Fiネットワーク内」などの表現がありました。お詫びして訂正いたします。