Kann die Uni meine Passwörter (bei W-Lan) sehen?

[helgam]

Benutze das W-Lan von der Uni. Also eines weiß ich schon; dass die Websites und Downloads die Uni mitverfolgt. Weiß Sie auch welche Passwörter ich in verschiedenen Websites eingebe?

 

[BlubbsDE]

Wenn sie es wollen, sicher. Sie stellen ja den WLAN AP bereit und können natürlich alles *mit lesen*

Nur so wie ich die UNI Rechenzentren kenne, hat keiner der dort Angestellten auch nur den Hauch eines Interesses daran, sich damit den Arbeitstag voll zu müllen.

Merke. Jeder WLAN Bereitsteller kann Dich mit lesen. Wenn er es denn will.

 

[pcblizzard]

Autsch, lesen sollte man können -.-

 

[Luxuspur]

Jeder WLAN Bereitsteller kann Dich mit lesen. Wenn er es denn will.

nicht nur WLAN ... jeder Provider kann ...

@pcblizzard: von legal oder illegal wurde ja gar nicht gefragt, sondern obs möglich ist ...

 

[MauIwurf]

moment mal! Wenn die Passwoörter verschlüsselt übertragen werden kann die keiner "mit lesen"
(eine ordentliche Verschlüsselung vorrausgesetzt).
Es hängt also davon ab wo du dich einloggst!

mfg MauIwurf

 

[Jusic]

Benutzt die Homepage auf der du dich einlogst https:// kann niemand mitlesen, falls nicht kann je nach Konfiguration nicht nur die Uni sondern sogar jeder andere W-Lan-Nutzer mitlesen.

 

[Stryker]

HTTPS ist eine Ende-zu-Ende-Verschlüsselung. Da kann keiner zwischendurch mitlesen.

Wenn du dich nur ohne HTTPS bewegen kannst, dann bietet ein VPN-Tunnel nochmal mehr Sicherheit.

 

[BlubbsDE]

Eine HTTPS Verbindung zu einer Webseite bedeutet aber auch nicht zwingend, dass Benutzername und PW per SSL übertragen wird. Sollte so sein, ist aber nicht immer so.

 

[Flo0]

Wenn VPN benutzt wird, kann es allerdings sein das er dann keine Verbindung mehr bekommt, wenn die Uni Proxys einsetzt.

 

[Dese]

moment mal! Wenn die Passwoörter verschlüsselt übertragen werden kann die keiner "mit lesen"
(eine ordentliche Verschlüsselung vorrausgesetzt).
Es hängt also davon ab wo du dich einloggst!

mfg MauIwurf

das ist so falsch. der provider (hier die uni) kann eine man-in-the-middle Attacke durchführen. du glaubst, dass du deine ssl/ssh verbindung mit deinem ziel hast, in wahrheit hast du es aber mit deinem angreifer, der slebst eine weitere verbindung zu deinem ziel aufbaut und soit vermittelt.

verhindern läßt sich das nur, wenn eine zertifikatszertifizierung deines ziels stattfindet. wobei, in falle eines angriffs durch den provider selbst das nicht mehr sicher ist.

edit: @Stryker: nur wenn eine verifikation des ziels möglich ist. sonst kann eine MIM-Attacke auch das unterwandern. verschlüsselte verbindungen sind nicht pauschal sicher!

 

[MauIwurf]

@Dese
Wollen wir hier wirklich eine Disskusion über die Möglichkeitendas Passwort herauszufinden anfangen?
Selbstverständlich ist es möglich an das PW zu kommen!
Mir ist auch außerdem bekannt wie eine "Man in the middle" Attacke funktioniert.
Aber Grundsätzlich ist meine Aussage schon richtig!

mfg MauIwurf

 

[micha`]

Du solltest dich eher fragen welches Interesse die Uni an deinen PW's hat. Natürlich ist es möglich, Sinn macht es keinen.


Grüße

 

[Mumpitzelchen]

verhindern läßt sich das nur, wenn eine zertifikatszertifizierung deines ziels stattfindet. wobei, in falle eines angriffs durch den provider selbst das nicht mehr sicher ist.

Doch das ist sicher. Der Provider müsste schon Schadsoftware auf dem Rechner installieren lassen damit es unsicher wird. So haben z.B. diverse mittelöstliche Staaten versucht GoogleMail mitzulesen indem sie die User aufforderten falsche Windows Updates zu installieren.

 

[Dese]

@Dese
Wollen wir hier wirklich eine Disskusion über die Möglichkeitendas Passwort herauszufinden anfangen?
Selbstverständlich ist es möglich an das PW zu kommen!
Mir ist auch außerdem bekannt wie eine "Man in the middle" Attacke funktioniert.
Aber Grundsätzlich ist meine Aussage schon richtig!

mfg MauIwurf

ohne eine zertifikatsüberprüfung ist das so sicher wie unverschlüsselt (im bezug auf den provider). insofern ist das ein wichtiger punkt über den man dem TE hier aufklären sollte.

es gibt keinen grund sich wegen meiner korrektur angegriffen zu fühlen. meine richtigstellung impliziert nicht du hättest keine ahnung. du hast eine simplifizierte aussage getroffen und ich bin der meinung es ist wichtig das genauer zu sagen.

ob du weißt was eine MIM-Attack ist oder nicht ist mir wurscht.

Ergänzung (15. Oktober 2012)

@Mumpitzelchen:
stimme dir im grunde zu. hab meinen post als worst-case verfasst, da ich nicht mehr wusste, wie browser die zertifikatsverifizierung durchführen.

zertifkate werden zwar online bei einem zertifikatszentrum verifiziert, jedoch wird das zertifikat des zertifikatszerntrums selbst nur offline verifiziert, d.h. alle dazu nötigen daten sind im browser gespeichert.

damit kann man das nicht wirklich maniluplieren.

 

[Kanibal]

das ist so falsch. der provider (hier die uni) kann eine man-in-the-middle Attacke durchführen. du glaubst, dass du deine ssl/ssh verbindung mit deinem ziel hast, in wahrheit hast du es aber mit deinem angreifer, der slebst eine weitere verbindung zu deinem ziel aufbaut und soit vermittelt.

verhindern läßt sich das nur, wenn eine zertifikatszertifizierung deines ziels stattfindet. wobei, in falle eines angriffs durch den provider selbst das nicht mehr sicher ist.

edit: @Stryker: nur wenn eine verifikation des ziels möglich ist. sonst kann eine MIM-Attacke auch das unterwandern. verschlüsselte verbindungen sind nicht pauschal sicher!

Und müssen dabei deine PKI-Infrakstruktur hijacken. Wird schwierig, wenn sie nicht gerade staatliche Unterstützung haben.

 

[MauIwurf]

Das ganze war von mir auch nicht böse gemeint. Nut hattest du deinen ersten Post mit das ist falsch angefangen ^^
Auch keine glückliche formulierrung oder ?
Aber ehrlich gesagt hat der Threadersteller nicht den Eindruck auf mich gemacht als wüsste er wovon wir hier reden.
Denn allein die Formulierung des Threadtitels sagt schon alles
Ich glaube dann muss man nicht mit Man in the middle und Zertifikaten anfangen

MfG Mauiwurf

 

[Dese]

naja, ich hatte geschrieben "das ist so falsch" und nicht einfach pauschal das sei falsch. danach habe ich erklärt warum. was daran jetzt unglücklich seien soll weiß ich nicht. kannst es mir gerne erklären und dann versuche ich in zukunft drauf zu achten.