Fritzbox Wlan im Auslieferungszustand sicher?

[duAffentier]

Ja, wenn du ungefähr 3.171 Millionen Jahre wartest.
Nein, wenn du vorher stirbst.

 

[Skudrinka]

, ob das nicht ein allgemeines Problem ist,

Hast denn schon mal was davon gehört, dass es ein Problem darstellt?
Ich nicht.

 

[duAffentier]

Folgende Möglichkeiten sind noch möglich

1. Wörterbuchangriffe
2. Brute-Force-Angriffe
3. Phishing-Angriffe
4. Man-in-the-Middle-Angriffe (MitM)
5. Evil Twin Angriffe
6. Key Reinstallation Attacks (KRACKs)
7. Exploit von Schwachstellen
8. Social Engineering

Per Google gibt es viele Videos, die alles erklären.

 

[Peter A.]

Nochmal, es geht nicht um mich, ich frage mich, ob das nicht ein allgemeines Problem ist, da es viele halt nicht ändern.

Sehe eigentlich keinen Sinn darin, ein 20-stelliges numerisches PW zu ändern

 

[Luftgucker]

Auch ist das WLAN irgendwelcher Leute nicht so interessant wie viele hier glauben. Kurz gesagt kein Geheimdienst oder sonstwer interessiert sich für eure Fritzbox. Und wenn doch kommen sie durch die Tür.

 

[MADman_One]

@Flatsteff Du vergißt das es nicht nur darum geht wie schnell der Hacker ein neues Passwort genereieren und losschicken kann sondern das es vor allem darauf ankommt, wie schnell die Firtzbox zurückmeldet das es falsch ist. Wenn Du Dich z.B. an der Oberfläche falsch anmeldest, dann verdoppelt die Fritzbox nach jedem fehlgeschlagenen Versuch die Wartezeit bis man es erneut versuchen kann (1 sekunde, 2, 4, 8, 16, 32 usw). Da ist nach relativ wenigen Versuchen also quasi Schluss.
Ob das bei der WLAN-Anmeldung auch so läuft glaube ich zwar nicht, aber auch da vergeht einige Zeit bis die Fritzbox meldet, daß ein Passwort falsch ist. Egal wie schnell der Generator also arbeitet, er kann nur so schnell testen wie die Fritzbox mitspielt. Und die hat es da nach meiner Erfahrung nicht eilig wenn ich sehe wie lange normalerwiese selbst der erfolgreiche Handshake dauert. Realistisch könnte er also vielleicht 1 Passwort pro Sekunde testen. Parallel vielleicht auch ein paar mehr aber auf wirklich hohe Raten wie für Bruteforce nötig kommt man nicht.

Zudem ist ein WLAN ja lokal, der Hacker muss also in die Nähe des WLANs, was die Wahrscheinlichkeit drastisch reduziert. Zudem ist die 20-stellige Nummer auch nicht aus dem SSID Namen ableitbar, der Hacker kann also auch von außen nicht erraten, welche Nummer man als erstes testen sollte.
Daher ist das ganze System hinreichend sicher. Ich bin dennoch auf 63 alphanumerische Zeichen mit 3 Kriterien gegangen, aber auch mit einer 20-stelligen Nummer wäre man für ein WLAN auf der sicheren Seite.

 

[Nilson]

Es gab Fälle (wie hier bei TP-Link), bei dem man das Passwort aus anderen Daten ableiten konnte:

Die SSID des Geräts wird aus der ebenfalls aufgedruckten MAC-Adresse des Geräts abgeleitet. Der Name lautet 'TP_Link_' gefolgt von den letzten sechs Stellen der MAC-Adresse. Das Passwort wird ebenfalls aus der MAC-Adresse abgeleitet und besteht aus den letzten acht Stellen.

Wer den WLAN-Router angreifen will, müsste demnach nur zwei weitere Zeichen der MAC-Adresse herausbekommen, um sich ohne weitere Probleme mit dem WLAN zu verbinden.

Quelle

Wenn bei AVM/Fritzboxen eine ähnliche Methode bekannt würde, dann wäre das Standardpasswort ein Problem. Wobei TP-Link hier schon arg geschlampt hat.

 

[rezzler]

Habe heute eine neue Fritzbox eingerichtet, und da ist mir was aufgefallen: Die PCs sind in den Jahren soooo viel schneller geworden, aber AVM nutzt immernoch ein Passwort, dass nur aus Zahlen besteht?

Sicher, das die neu ist? Bei meiner 4040 und 6591 ist es ab Werk jeweils eine Kombination aus einem Wort und 4 Ziffern, Gesamtlänge 8-12 Zeichen. Ok, die sind auch nicht mehr neu, aber reine Ziffern kenn ich eher von deren Vorgängern.

 

[Nilson]

Bei meiner 6591 ist aufgedruckt: Reine Ziffern für WLAN, Wort+Ziffern für Weboberfläche.

 

[Sterntaste]

Eine gewisse Grundsicherheit ist so schon gegeben. Nichtsdestotrotz sollte man die vorgegebenen Werte IMMER ersetzen, um die Sicherheit deutlich zu verbessern :
1. Eigener WLAN-Name und dabei keine Allgemeinbegriffe
2. Passwort je länger, desto besser. Passwortgeneratoren helfen.

 

[0x8100]

Sorry, aber hier eine Rechnung aus der KI!

nichts für ungut, aber hast du das mal genau angeschaut? das ergibt überhaupt keinen sinn...

 

[Vindoriel]

Sorry, aber hier eine Rechnung aus der KI!

Nicht nur irgendwas einfügen, sondern auch mal selber durchlesen. Zumindest, wenn die eigene Intelligenz dazu ausreicht, was wohl nicht der Fall ist.

 

[Flatsteff]

nichts für ungut, aber hast du das mal genau angeschaut? das ergibt überhaupt keinen sinn...

Das ist so offensichtlich, dass ich dachte ich bin zu blöd es zu verstehen, weil hier ja niemand etwas postet, dass SOOOO falsch sein kann

Ergänzung (23. Februar 2024)

Zudem ist ein WLAN ja lokal, der Hacker muss also in die Nähe des WLANs, was die Wahrscheinlichkeit drastisch reduziert. Zudem ist die 20-stellige Nummer auch nicht aus dem SSID Namen ableitbar, der Hacker kann also auch von außen nicht erraten, welche Nummer man als erstes testen sollte.
Daher ist das ganze System hinreichend sicher. Ich bin dennoch auf 63 alphanumerische Zeichen mit 3 Kriterien gegangen, aber auch mit einer 20-stelligen Nummer wäre man für ein WLAN auf der sicheren Seite.
[/QUOTE]

Sorry, du hast das ganze system nicht verstanden...

Dass man Wlan traffic ( unlesbar aber 1:1 ) in verschlüsselter Form aufzeichnet, um dann zu hause oder besser auf einem Cloud Großrechner den man Stundenweise mieten kann , einfach jedes Passwort testen kann, ist dir nicht klar?

Sobald das richtige gewählt ist, ergibt das, was man abgefangen hat dann auf einmal Sinn. Niemand greift das Wlan direkt an, in dem er der Fritzbox falsche Passwörter sendet, dass ist sogar mir klar

 

[rezzler]

Bei meiner 6591 ist aufgedruckt: Reine Ziffern für WLAN, Wort+Ziffern für Weboberfläche.

Stimmt, hab ich verwechselt, bei mir steht als WLAN-Schlüssel auch die Ziffernfolge 🤦‍♂️ Also bitte ignorieren.

Die Ziffernfolge hab ich natürlich in was einfacher merkbares geändert.

 

[MADman_One]

Sorry, du hast das ganze system nicht verstanden...

Dass man Wlan traffic ( unlesbar aber 1:1 ) in verschlüsselter Form aufzeichnet, um dann zu hause oder besser auf einem Cloud Großrechner den man Stundenweise mieten kann , einfach jedes Passwort testen kann, ist dir nicht klar?

Doch, das ist mir sehr wohl klar, allerdings ist die Zielgruppe für Fritzboxen keinesfalls die Zielgruppe für Hacker die ein solches Manöver fährt nur um in ein lokales WLAN einzubrechen. Vor einem Haus parken, haufernweise Traffic mitschneiden, nur um dann tausende von Jahren zuhause in Ruhe den WLAN Key zu knacken. Es spielt keine Rolle ob Du einen Großrechner oder einen ganzen Rechnencluster mit GPUs dranhängst, egal ob 20 stellig Nummern oder gleichlanges oder längeres alphanumerische Passwort, die Arbeit wird immer bedeutend länger dauern als die Lebensdauer einer Fritzbox.

 

[Flatsteff]

egal ob 20 stellig Nummern oder gleichlanges oder längeres alphanumerische Passwort, die Arbeit wird immer bedeutend länger dauern als die Lebensdauer einer Fritzbox.

Genau das war ja meine Frage?

 

[0x8100]

ein 20-stelliges passwort bestehend aus den ziffern 0-9 ergibt 10^20 kombinationen. eine 4090 schafft laut dieser quelle bei wpa 2500 kH/s. das ergibt

100.000.000.000.000.000.000 / 2.500.000 / 60 / 60 / 24 / 365 = 1.268.391 jahre,

um alle kombinationen mit einer 4090 durchzuprobieren. selbst mit mehr gpus und der annahme, dass man nicht alle kombinationen braucht, ist es immer noch sehr unrealistisch, dass jemand das passwort mal so nebenbei knackt. man sieht aber auch, dass z.b. ein alphanumerisches passwort der gleichen länge die anzahl der kombinationen drastisch erhöhen würde. 62^20 ist wesentlich mehr als 10^20.

das beispiel mit einer 4090 basiert auf consumer-hardware. ich weiss nicht, was die eigentlichen beschleunigerkarten von amd/nvidia schaffen und zusätzlich mag es noch spezielle asics geben, die darauf spezialisiert sind. mit entsprechenden anlagen kommt man durchaus in regionen, wo bruteforce gegen so ein passwort plausibel ist, aber das ist dann nicht der nachbar von nebenan. es schadet aber auch nicht, dass standardpasswort gegen ein sicheres und langes zu tauschen.

 

[Incanus]

Wie oben schon mal erwähnt wurde, sollte man immer ein eigenes, sicheres Passwort einrichten. Denn wie gut der Zufallsgenerator bei AVM ist oder ob nicht doch eine irgendwie zu erratende Gesetzmäßigkeit dahintersteckt, kann man nie wissen.

 

[TomH22]

Eigener WLAN-Name und dabei keine Allgemeinbegriffe

Warum?
Den Hersteller des Routers bekommt man auch über die mitgesendete BSSID (bei Fritzboxen identisch mit der MAC Adresse) heraus.
Der Default Name der Fritzbox lässt keinen Rückschluss auf den Inhaber zu.
Ansonsten hat meine SSID sogar mein Namenskürzel drin, wenn man in einem EFH wohnt, wo der Name notgedrungen am Briefkasten steht, ist das doch komplett egal.

Genau das war ja meine Frage?

Deine Frage war, ob es heute noch „sicher genug“ ist. Sicher genug für was? Für das WLAN eines durchschnittlichen Normalbürgers oder das WLAN des Bundeskanzleramtes oder einer „Person of Interest“ ?

Dazu muss man ja zusätzlich berücksichtigen, dass der pre-shared Key eines WLANs sowieso nie extrem sicher ist, da er ja eben „shared“ ist. Jedes Gerät das auf das WLAN zugreifen kann, muss ihn im Klartext kennen (selbst wenn er verschlüsselt gespeichert wird, wird er vor Benutzung entschlüsselt). Man kann ihn sich ja auf der Fritzbox Oberfläche im Klartext ansehen.
Meiner ist z.B. auch auf diversen ESP32 und Raspberry Pico W Boards im Klartext gespeichert.

Falls also hinter dem WLAN lohnenswerte Ziele sind, muss man zusätzliche Sicherheitsmaßnahmen ergreifen. In Firmennetzen kommt übrigens in der Regel 802.1.X anstatt pre-Shared Keys zum Einsatz.


Aber klar, wie @0x8100 vorgerechnet hat, ist mehr Entropie (also mehr Zeichen oder größerer Zecichensatz) immer besser, als weniger. Nur geht es ja auch um Handhabbarkeit.
Der Nachteil der 20 stelligen Zahlenfolge ist, dass sie einerseits lang und mühsam abzutippen ist, andererseits durch die Einschränkung auf Ziffern nur relativ wenig Entropie bietet.
Der Hauptgrund, sie zu ändern ist daher nicht die grundsätzliche Sicherheit, sondern dass man eine besser merkbarere, leichter abzutippende und kürzere Zeichenfolge mit der gleichen oder besserer Entropie wählen kann.

Nochmal, es geht nicht um mich, ich frage mich, ob das nicht ein allgemeines Problem ist, da es viele halt nicht ändern.

AVM hat mit den Default Werten für Passwort und WPA Key schon einen recht guten Job gemacht, dass die vielen hundertausend Geräte, die damit betrieben werden, in der Praxis „sicher genug“ sind.

Zumal man ja für wenig Geld GPU Power in der Cloud mieten kann.

Wie schon gesagt, selbst wenn man einen Key damit in ein paar Stunden knacken könnte, wäre der Aufwand für ein durchschnittliches Heimnetz viel zu groß. Was will man damit erreichen? Es hat einfach in der Regel keinen wirtschaftlichen Nutzen.

Wie oben schon mal erwähnt wurde, sollte man immer ein eigenes, sicheres Passwort einrichten.

Ja es sprechen Gründe dafür. Neben der oben erläuterten Handhabbarkeit auch ggf. der Aspekt, dass jeder der in die Wohnung/Haus kommt, relativ einfach an diese Daten kommt. Bei einem Familienbesuch bei meinen Eltern konnte ich feststellen, das schon meine damals 10-14 Jahre alten Neffen wussten, wo man das WLAN Passwort einer Fritzbox findet…..

Denn wie gut der Zufallsgenerator bei AVM ist oder ob nicht doch eine irgendwie zu erratende Gesetzmäßigkeit dahintersteckt, kann man nie wissen.

Grundsätzlich ja, andererseits würde es bei der Verbreitung dieser Geräte so eine Schwäche schon bekannt sein. War es bei anderen Routern, die hier gepatzt haben, ja auch.

 

[h00bi]

Dass man Wlan traffic ( unlesbar aber 1:1 ) in verschlüsselter Form aufzeichnet, um dann zu hause oder besser auf einem Cloud Großrechner den man Stundenweise mieten kann , einfach jedes Passwort testen kann, ist dir nicht klar?

Sobald das richtige gewählt ist, ergibt das, was man abgefangen hat dann auf einmal Sinn. Niemand greift das Wlan direkt an, in dem er der Fritzbox falsche Passwörter sendet, dass ist sogar mir klar

Nur verwechselt du hier was: Das WLAN Passwort ist Zugangspasswort zur Authentifizierung
Es ist nicht der Schlüssel der Verschlüsselung.
Wenn du dich bei CB mit dem Passwort "Palme5#1" einloggst, dann werden die Datenpakete ja auch nicht mit "Palme5#1" als Schlüssel verschlüsselt.

D.h. du kannst noch so viel Traffic eines WLAN Netzwerks mit 8-stelligem Passwort (afaik WPA2 Minimum) mitschneiden, der Schüssel ist aber genau so lang wie ein einem 60-stelligen Zugangspasswort.