Gescheiterter Einlogversuch WLAN (Dritter)

[Hayda Ministral]

Das war mir tatsächlich schon wieder entfallen. Danke Dir!

 

[Binalog]

Ein MAC Filter und die SSID zu verstecken bringt deswegen nichts, weil sowohl die SSID, als auch eine MAC die im Filter steht, bei jeder aufgebauten Verbindung im Klartext durch die Luft schwirrt.
Man muss also nur lange genug mitlesen, und bekommt beides praesentiert.
Um man kann auch jederzeit einen Verbindungsversuch ausloesen: Einmal kurz das Spektrum stoeren, das Wlan "hustet" einmal kurz, und die Clients verbinden sich dann wieder.
Dem User wird das nicht auffallen, denn gelegendliche Aussetzer sind im WLAN eh normal.

Dann kann der Hacker entweder warten bis eine MAC wieder verschwindet, gibt sich diese selber, und kann dann versuchen sich damit anzumelden. Oder er schickt de-auth Packete. Dann trennt der betroffene Client die Verbindung, und solange die Attacke laeuft kann er sich auch nicht mehr verbinden. Der Laie schimpft ueber das beschissen funktionierende WLAN, aber eine Attacke duerfte den wenigsten in den Sinn kommen.
Zu diesem Zeitpunkt ist nur noch das Passwort ein Hindernis.
Bei WEP ist dieses trivial zu entschluesseln. Bei WPA(2) mit TKIP gehts auch ziemlich schnell. WPA 2 mit AES und CCMP ist hinreichend sicher, solange das Passwort nicht gebruteforced werden kann.
(...)

Ich nutze nur den Gastzugang der FB, d. h. die Liste der zulässigen MAC-Adressen (Haken aktiv) ist leer, somit kann auch keine rumschwirren. Kann ein Profi dann trotzdem den Admin-Zugang über WLAN knacken? Wenn ich Deinen Beitrag richtig verstanden habe, dann wäre das so.

 

[BeBur]

Ich würde im Zweifel stets 'alte' Technologien verwenden, welche schon diverse Jahre auf dem 'Schlaftfeld' überstanden haben und Veteranen sind und eher Abstand nehmen von den neusten Technologien und seinen Implementierungen (letzteres sei immer mitgedacht).
Schwächen in WPA3 sind ja nicht sehr überraschend und die Frage lautet ja vor allem "wie viele und wie schlimm jeweils auf einer Skala von schlimm bis superschlimm". Dann gibt es natürlich noch so Monster wie Bluetooth die chronisch überkompliziert sind und daher regelmäßig auf der schlimm-superschlimm Skala ausschlagen.

Soweit ich verstehe hat man für die Lücke damals recht schnell Lösungen gefunden. Die dann natürlich teilweise direkt wieder angreifbar waren Link.

 

[Ranayna]

@Binalog:
Um auf die Adminoberflaeche der Fritzbox zu kommen muessen schon zwei Huerden ueberwunden werden:
Erstmal muss der Angreifer ins Netzwerk kommen. Da ist die einige relevante Huerde dein WLAN Passwort. Das ist der Teil auf den sich mein Beitrag bezieht. Da wollte ich eigendlich nur erlaeutern das ein MAC Filter und das verstecken der SSID einen Angreifer nicht aufhalten.
Hast du natuerlich einen Filter aktiv in dem keine MAC drin ist, dann kommt keiner rein. Du selbst ja auch nicht mehr, also kannst du das WLAN auch gleich ganz abschalten

Um dann auf die Fritzbox zu kommen muss der Angreifer dann natuerlich auch noch das Passwort der Fritzbox selber erlangen. Ich kenne mich jetzt mit dem Gastzugang nicht aus, wuerde aber erwarten das dort der Zugang zur Adminoberflaeche der Fritzbox nicht moeglich ist.

 

[Binalog]

Doch, ich nutze meine FB mit WLAN, aber wie gesagt halt nur über den Gastzugang. Das WLAN ist aktiv und die MAC-Liste leer (die gilt nicht für den Gastzugang). Es geht nie ein Passwort oder eine MAC-Adresse für den "Hauptzugang" (weiß keinen besseren Namen) über den Äther, von Anfang an nur Gastzugang.

Ergänzung: Ein PC ist über LAN angeschlossen, sonst kommt man nicht mehr ins FB-Menue, wie Du schon angedeutet hast.

 

[Tada100]

Also bitte konkret: was genau ist unsicher an WPA2?

Bitte Quelle angeben für die Aussage:

Bevor ihr andere um Links bittet, selber suchen und wiederlegen was die Person geschrieben hat.
Disskussion gehen anders, selbst nach verweiß auf null.byte wonder how to, nicht in der Lage sein Informationen zu sammlen, traurig.

Das was ich geschrieben habe ist Fakt, nicht wunschdenken .

https://www.heise.de/newsticker/mel...Direkter-Angriff-auf-WLAN-Router-4130759.html
https://de.wikipedia.org/wiki/WPA2
https://www.heise.de/security/meldung/Sicherheitsluecke-in-WPA2-entdeckt-1044869.html

Also echt manche Menschen.....

alles klar, genau das habe ich auch erwartet...

Mit darauf eingehen meine ich, wie man ein WLan passwort umgeht.
Tut mir nicht leid, aber setzt dich doch mal bitte mit dem Thema [Wlan kancken] auseinader...
da wirst du festellen, das Nicht alles gold ist was glänz

ähm... und was genau hat eine MITM mit WPA2 zu tun?

Ich schrieb " auch beliebt" ... also nein es hat damit nix zu , das du das aus meinen Text schließt...
nun das ist dumm gelaufen.

Den das eine hat nix mit dem anderen zu tun hat, wie du schon richtig aufgefasst hast,
wollte nur darauf hinweißen das MIM auch beliebt ist im den zusammenhang (wlan).

Sätze zu interpretieren fällt nicht immer leicht, aber manchmal denke ich da Mensch es absichtlich nicht wollen!

 

[Madman1209]

Hi,

Bevor ihr andere um Links bittet, selber suchen und wiederlegen was die Person geschrieben hat.
Disskussion gehen anders

dann bitte nochmal nachdenken. Wenn man meint, man müsste eine Behauptung nicht auch belegen, sondern von anderen widerlegen lassen, ist das von einer "Diskussion" so weit entfernt wie die von dir zitierten WPA2-Angriffsvektoren von einem Realwelt-Szenario.

Sätze zu interpretieren fällt nicht immer leicht, aber manchmal denke ich da Mensch es absichtlich nicht wollen!

so geht es mir leider seit Anbeginn dieser "Diskussion". Daher beende ich das jetzt auch. Menschen, die explizit nicht von Ihrer Meinung abrücken wollen nennt man "Beratungsresistent". Da erübrigt sich jeder weitere Aufwand.

VG,
Mad

 

[Tada100]

Hi, es war keine Behauptung (wie z.B die Erde ist rund! - ist sie nicht wie die meisten Menschen wissen ),
das was ich geschrieben habe inspricht den Tatsachen und ist keine Unwahrheit/Lüge.

Zudem ist auch der Sachverhalt bzgl. WPA2 Sicherheitslücken genügen Dokumentiert,
aber du bist der Meinung ich liege falsch, bzw. Lüge ja fast schon .

Dementsprechend bist du es der mich wiederlegen muss. Und nicht Umgekehrt.
Sehe das ganze ebend mit der Sicherheit ebend Objektiv und du Subjektiv .

Wenn ich mit jemanden eine disskussion führe, diese Person mir dann etwas sagt von dem ich glaube/weiß das es nicht der Wahrheit entspricht oder falsch ist, so wiederspreche ich und wiederlege die Person wenn ich den kann. Denn ich bin ja der die andere Person der Lüge/unwahreit bezichtige und nicht umgekehrt!

Dazu noch, das WPA3 entwickelt worden ist aufgrund von sicherheitsbedenken in WPA2, ist auch seit längeren allgemein bekannt.

Edit:
Dumm nur das WPA 3 mehre schwächen im Design hat - diese wiederum sind jetzt sicherheitslücken.
Siehe Fragattacks.


Zitat:
"
WPA3 brings critical updates to Wi-Fi security for personal and enterprise networks. Intel supports WPA3 and through our involvement in the test bed, we are helping our customers incorporate WPA3 into their products for enhanced security protections.
"
Eric Mclaughlin – GM, CCG Wireless, Intel

"
Die in WPA2-geschützten WLANs und bestimmten WPA2-Implementierungen bestehende KRACK-Sicherheitslücke behebt WPA3 durch die Einführung eines verbesserten Handshake-Verfahrens.
"
Heise

Edit:
https://www.fragattacks.com/ Router brauchen ein Update für WPA3 zur beseitigung von mehreren Sicherheitslücken .
https://www.computerbase.de/news/in...fritz-box-7590.76453/#update-2021-05-25T14:33

 

[Merle]

Ihr seid schon krass. WPA2 wurde nachgepflegt und WPA3 kam... Naja durch KRACK schneller. Ja, es gab diese Sicherheitslücke. Wie relevant ist die heute noch bei aktuell gepatchter Firmware? Keine Ahnung. Ich betreibe ebenso WPA2. WPA2 wird uns übrigens geschäftlich als Minimum des BSI vorgeschrieben, nicht WPA3.
Zitat aus deinem Link, @Tada100:

Das Vertrauen in WPA2 ist aber erschüttert, seit 2017 die KRACK-Sicherheitslücke Schlagzeilen machte. Dies nahm die WFA zum Anlass, einen Nachfolgestandard zu entwickeln. Auf den ersten Blick erscheint die neue Namensgebung wie reine Imagepflege, denn auch WPA2-Geräte können mit aktueller Software und starkem Passwort weiterhin sicher betrieben werden. Aber WPA3 bedeutet nicht nur eine Umbenennung, sondern eine neue Zertifizierung.

 

[TriggerThumb87]

Ich sehe in der Benutzung von WPA2 kein Sicherheitsproblem, eher ein Zuverlässigkeitsproblem, was ich mit WPA3 aber ebenso habe. Ich möchte mal erläutern.

Einerseits gibt es die KRACK-Lücke. Die scheint aber wohl softwareseitig breitflächig behoben worden zu sein. "Quelle": https://de.wikipedia.org/wiki/WPA2#Key_Reinstallation_Attacks

WPA2 hat das Problem, dass Management-Pakete nicht verschlüsselt werden. Damit sind MAC-Filter noch nutzloser, weil man einfach die Adressen auslesen kann, andererseits ist durch Neuverbindungsaufforderungspakete problemlos ein Lahmlegen der Verbindung möglich.

Des Weiteren kann man mit Wissen des Passwortes den gesamten Netzwerkverkehr des APs entschlüsseln. Eine weitere klient-spezifische Verschlüsselung ist nicht hinreichend gegeben.

Ersteres ist behebbar, allerdings hat man dasselbe Problem wie mit WPA3:
Es wird von Geräten kaum unterstützt. Dabei gibt es zwei Unterprobleme:

1) WPA3 ist nicht fehlerfrei implementiert: Dann hat man dann alle möglichen Verbindungsprobleme.
2) Es gibt einen Mischbetrieb (je nach Wahl des Klienten WPA2 oder 3). Da gibt es auch Probleme.
2.1) Viele Geräte funktionieren dann trotzdem nicht, es muss auf alleinigen WPA2-Betrieb umgestellt werden.
2.2) Was bringt das sicherheitstechnisch, wenn beides angeboten wird?

Im Prinzip hat niemand, der nicht in direkter Umgebung wohnt, etwas davon mit oben genannter Methode ein Netzwerk lahmzulegen. Abgesehen davon, dass er sich strafbar macht, kann man theoretisch das Störsignal orten.
Viel gefährlicher finde ich es Fritzboxen und ISP-Router zu verwenden. Abgesehen von meinen persönlichen schlechten Erfahrungen mit Fritzboxen, die man jetzt teilen kann oder nicht, ist es weniger sinnvoll ein nicht-offenes Gerät in Betrieb zu nehmen, dass extrem viele andere Leute benutzen. Das macht die Geräte für Angriffe äußerst attraktiv.
Da wäre es eher sinnvoll auf solche Geräte zu verzichten und auf OpenWRT o.Ä. zu setzen, oder zumindest die MAC-Adresse und SSID so zu ändern, dass damit keine Rückschlüsse mehr auf das Gerät gemacht werden können. Achso, und WPS natürlich aus.
https://miloserdov.org/?p=306

 

[Ranayna]

Ich will ja garnicht absprechen das WPA3 eine gute Sache ist. Grade im Firmenumfeld gibt es schon ein paar Dinge die mir da sehr gut gefallen, so sorgt zum Beispiel Enhanced Open dafuer das auch bei WLANs ohne Passwort oder einem Passwort was jeder kennt, der Traffic sauber individuell fuer jeden Client verschluesselt wird. Einfach mitlesen geht dann nicht mehr.

Aber dennoch, ein aktuelles WPA2, mit ausreichendem Passwort, ist hinreichend sicher. Deine pauschale Aussage das WPA2 unsicher ist stimmt einfach nicht. Und wer soeine Behauptung unbelegt in eine Diskussion wirft sollte sich nicht wundern kontra zu bekommen.

 

[Tada100]

Ihr seid schon krass.

Ja es ist ausgeatet, das war aber nicht meine Absicht, wollte nur mein Standpunkt klar machen. Ausserdem gib es warscheinlich immer noch Lücken, manche wurden/werden geschlossen andere sind dafür noch offen siehe @BeBur link. Hinzukommt das es immer drauf ankommt wie gut das jeweilige System mit updates versorgt ist und wie diese wiederum implementiert sind .

@Ranayna
Es geht mir nicht darum ob es Subjektiv hinreichend sicher ist oder nicht, sondern darum ob es Objektiv betrachtet sicher ist, wie ich im #48 Absatz 3 schrieb .
Das dem nicht umbedingt so ist habe ich ausreichend geschildert.
Mir geht es allein um die Tasache das es möglich ist (...) wie auch immer der Angreifer das Anstellt oder ob er / sie sich strafbar macht ist dabei nicht Relevanz.

Natürlich hätte ich das ganze vorher präzisieren können/sollen.
Dennoch schrieb ich " wenn jemand möchte " ( da setz ich vorraus das die Person weiß was sie da tut ), das wurde fehlinterpretiert, habe den Post dahintgehend abgeändert.
Das ich Contra bekomme gehört zu einer Disskusion dazu, es ist ja ein Diskurs,
wer das scheut sollte Foren meiden.

 

[TriggerThumb87]

link

Ich danke für diese Quelle und sehe nach Lesen damit WPA3 eigentlich nur als Käufertäuschung um mal wieder einen "Grund" zu haben 200€ aufwärts für einen Router mit geschmacksverwirrtem Design zu kaufen.
Ich hätte zu meinem vorherigen Post noch hinzufügen müssen, dass bei einem solchen Standard und fehlerbehafteten Implementierungen nicht nur Stabilitätsprobleme, sondern auch Sicherheitsprobleme die Folge sein können.
Ich frage mich nach Bedenkzeit ab wann in der Zukunft es überhaupt empfehlenswert sein wird auf WPA3(?) zu wechseln. Das Fragezeichen hier aufgrund der schon gefundenen Lücken, deren Behebung scheinbar nicht mehr in den Standard einfließen wird(?).

 

[kontofuerge]

WLAN hatte ich bis gestern ausgeschaltet. Dann wieder ein. Paar Stunden später wieder ein Loginversuch mit derselben MAC Adresse. Also ein Versehen war das dann wohl eher nicht ...

 

[BeBur]

Ich danke für diese Quelle und sehe nach Lesen damit WPA3 eigentlich nur als Käufertäuschung um mal wieder einen "Grund" zu haben 200€ aufwärts für einen Router mit geschmacksverwirrtem Design zu kaufen.

Das ist ja nun auch Quatsch. Das man das Handshake-Problem noch nicht gelöst hat oder das WPA3 das Feature womöglich nie haben kann deswegen (ich weiß nicht, wie arg es ist) ist sicherlich unglück. Aber selbstredend gibt es noch mehr Gründe für WPA3.
Jedenfalls sollte man eher nicht zu den early-adoptern gehören, das gilt aber prinzipiell, immer paar Jahre warten, es gibt ja überhaupt keine Eile, auch in 10 Jahren werden alle Geräte sicher noch WPA2 unterstützen.

Also bisschen weniger Emotion und etwas differenzierter betrachten wäre schon ganz gut, statt nur in "WPA2 ist unsicher" oder "WPA3 ist Bullshit" Kategorien zu denken.

WLAN hatte ich bis gestern ausgeschaltet. Dann wieder ein. Paar Stunden später wieder ein Loginversuch mit derselben MAC Adresse. Also ein Versehen war das dann wohl eher nicht ...

Kannst du eigene Geräte schon ausschließen? Alle mal aus schalten und nach einander einschalten und gucken.

 

[Ranayna]

Da wird irgendwo ein Geraet rumliegen welches automatisch versucht sich zu verbinden wenn die SSID in Reichweite ist. Nichts ungewoehnliches, denn das ist bei allen Geraeten die ich kenne der Default. Da aendert auch ein nachtraegliches Verstecken der SSID nichts, soweit ich weiss: Sieht ein Client ein Beacon ohne SSID, versucht er sich mit allen bekannten SSIDs die konfiguriert sind anzumelden. Passt dann eine der SSIDs die der Client versucht, kommt es dann zur versuchten Anmeldung.
Wenn jetzt das WLAN die ganze Zeit an ist, hat der Client vermutlich nicht dauernd versucht sich anzumelden. Er hat gemerkt das es nicht geht, und aufgegeben. Soweit, so normal. WLAN Clients wollen in der Regel Strom sparen und versuchen es nicht immer wieder.
Als das WLAN aus war, und dann wiedergekommen ist, hat der Client es schlicht wieder neu versucht, und es jetzt wieder aufgegeben, wenn die Meldung nur einmal da war.
Das Verhalten waere soweit normal, und spricht eigendlich fuer einen gutartigen Client, der einfach nur rein will. Wuerde da jemand bruteforcen hattest du mehr Logeintraege.

Und wenn du dann eine generische SSID hast, also zB einfach nur "WLAN", dann kann das auch ein unbekanntes Geraet sein, ohne gleich boese Absichten zu haben.

Eine Frage vermisse ich hier dazu dann noch ein bisserl: Und zwar wie du wohnst. Hast du ein freistehendes Haus irgendwo auf dem Land wo der naechste Nachbar weit weg ist? Dann nochmal im Haus alle Schubladen durchsuchen Man unterschaetzt schnell was alles heutzutage WLAN hat. Vielleicht ein Geraet das vor Jahren angeschafft wurde, einmal im WLAN war, und dann vergessen wurde.
Wohnst du in einer klassischen modernen Wohnsiedlung kanns auch ein Nachbar sein.
Wohnst du in einem Mehrparteienhaus wird die Auswahl nur groesser...

Du kannst mal mit einem WLAN Scanner schauen was noch an SSIDs in der Gegend rumfliegt.

Grade wenn man in einer dichter besiedelten Gegend wohnt muss man sich damit Arrangieren das WLAN keine Wohnungs- und Grundstuecksgrenzen kennt.
Ein Beispiel aus einem kleinen Buero meiner Firma in Mexico City in einem Hochhaus: Der Scanner findet ueber 150 fremde SSIDs!

 

[areiland]

Also ein Versehen war das dann wohl eher nicht ...

Bitte nicht überbewerten! Ein Loginversuch ist nun mal kein Eindringen. Denn dieses Gerät kann ja schlicht über seine Einstellungen so konfiguriert sein, dass es versucht sich in bekannten Wlans automatisch einzuloggen, sobald diese in seiner Reichweite sind. Macht mein Smartphone auch so und kann sich regelmässig nicht ins Wlan des Kellerrouters einloggen, weil es zwar dessen SSID sieht, aber das falsche Passwort angibt.

Es kann nämlich ein einziger fehlgeschlagener Loginversuch ausreichen, damit sich das Gerät immer dann einloggen möchte, wenn Dein Wlan in Reichweite kommt. Der Besitzer muss ganz einfach einmal irrtümlich versucht haben sich in Dein Wlan einzuloggen.

 

[kontofuerge]

Meine Geräte kann ich ausschließen. Habe zwar Samsung Geräte, aber die waren vor dem Loginversuch ausgeschaltet.

Habe immerhin mal SSID geändert, auf WPA3 umgestellt und PW geändert/verlängert. SSID aber nicht versteckt. Mal gucken ... war davor jahrelang nicht so.

Info: Mietwohnung, dünne Wände, ca. 15-20 andere WLANS in der Umgebung. Keine alleinstehende Villa mitten im Wald.

 

[Ranayna]

Dann wuerd ich erstmal schauen ob einer deiner Nachbarn die gleiche SSID hat. Einen Blick in die Kanaele zu werfen sollte eh mal passieren, um zu schauen welcher 2,4 GHz der freieste ist.
Aber selbst wenn die SSID einzigartig ist... Sagen wir es mal so, viele Leute sind doch recht ahnungslos was Technik betrifft. Vielleicht hat ein Nachbar einfach nur das falsche WLAN ausgewaehlt als er sich mit seinem Telefon verbinden wollte. Oder ein Nachbar hat Kinder, die versuchen am eigenen WLAN eingereichtete Sperren zu umgehen indem sie einfach andere WLANs versuchen.

Ich wuerde mir darueber keine Gedanken machen. Solange dein WLAN Passwort komplex und lang ist passiert da nichts. WLAN ist nunmal in seiner grundlegenden Eigenschaft in gewisser Weise oeffentlich. Ist wie eine Tuer an die jemand anklopft, die aber verschlossen ist. Laesst sich auch letztendlich nicht verhindern, aber solange das Schloss sicher ist kommt keiner unbefugt rein.

 

[areiland]

Meine Geräte kann ich ausschließen.

Es muss ja auch keines Deiner eigenen Geräte sein. Da muss ja nur ein Gerät aus der Nachbarschaft in die Reichweite Deines Wlans gelangen und irgendwann hat der Besitzer irrtümlich versucht sich einzuloggen. Und jetzt versucht das Gerät sich automatisch einzuloggen, sobald es Dein Wlan sieht.