WLAN sicher gestalten

[umax1980]

Hi Leute,

wir haben hier ein WLAN über eine FritzBox 7490.

Einige mobile Endgeräte hier im Haus nutzen das WLAN.

Jetzt habe ich die Firmware auf die aktuellste Version gebracht und dabei entdeckt, wie viele Geräte erfolglos versucht haben, sich in unserem WLAN anzumelden.

Das Kennwort ist 14 Zeichen lang, besteht aus allen möglichen Buchstaben / Sonderzeichen etc.

Muss ich mir da generell Gedanken machen, oder kann ich das getrost vergessen und ändere nichts an der WLAN Einstellung ??

Es geht mir hier nicht darum, eine "Sicherheitsdebatte" loszutreten sondern nur um Eure Einschätzung ...

 

[Bruzla]

Benutzt du den MAC-Filter?

 

[Bartmensch]

Wenn Du WPA2 als Verschlüsselung nutzt und die Firmware der Fritzbox aktuell ist, brauchst Du Dir kaum Sorgen machen, mit einem solch langen PW.

 

[umax1980]

MAC Filter nutze ich nicht, ließe sich aber nachholen.
Zusätzlich nutzbar, oder ist wirklich das lange Passwort sicher ...

 

[kallii]

Ein sicheres Kennwort und aktuelle FW reicht auch bei der FB nicht aus. Ich konnte erfolgreich eine WPS Attacke auf eine FB 6490 (aktuelles Unitymedia Modell) fahren und konnte somit ein 12 Stelliges WPA2 Kennwort unterhalb von wenigen Minuten knacken. Es empfiehlt sich WPS zu deaktivieren (und vorallem darauf achten, dass du keine Repeater mit WPS verwendest!!!). Ein Mac Filter (zugeschaltet oder einzeln) bringt im Grunde genommen gar nichts. Ein Angreifer kann von außerhalb sehen, welche Devices sich mit welcher MAC Adresse am AP anmelden und seine eigene Mac Adresse mit eben dieser maskieren und sogar den aktiven Client aus dem WLAN Netz werfen .. Achja, und selbst solch ein primitives 14-stelliges WPA2 Kennwort zu welchen einem der Handshake vorliegt lässt sich durch eine Cloud in unterhalb von einer Woche knacken.

 

[owned_you]

zusätzlich einstellen das nur bekannte Geräte rein dürfen und du bist so sicher wie deine Brain.exe es zulässt! Die größte Sicherheitslücke sitzt meistens vor der Tastatur, da hilft auch ein 50 Zeichen langen PW nicht!

@Kallii ... ja geht, dazu muss der Angreifer aber schon etwas Ahnung haben und dann hast du eh verloren!
Normale Attacken hält es aber ab. Und die dürften wenn eher der Fall sein.
Ausserdem kannst du die Fritzbox so einrichten das du ne eMail bekommst wenn sich ein Gerät anmeldet ... also ich weis im allgemeinen welche meiner Geräte aktiv sind, so das nen unberechtigtes Eindringen auch mit maskierter MAC jedenfalls auffällt.

 

[Smily]

Wenn das WLAN so interessant für einen Angreifer ist, dass er stundenlang oder wochenlang dran rum "hackt", dann sollte man einfach auf Kabel wechseln.

Ergänzung (22. Mai 2017)

Ist die SSID versteckt oder sichtbar? Würde die auf jeden Falll auf "unsichtbar" schalten. Nicht, weil das super sicher ist, aber dann klickt keiner mehr einfach im Handy auf das WLAN so nach dem Motto "Mal sehen obs offen ist". Dann hast du die "Angreifer" schonmal weg.
Weil jedes mal drauf klicken und vielleicht Passwort eingeben ist ein Ereignis in der Box.

 

[KlaasKersting]

@owned_you:
Falsche Denkweise.
Wer in der Lage ist, WPA2 mit ausreichendem Passwortschutz bei abgeschaltetem WPS zu umgehen, der sollte 1. sich für ein ordentliches Gehalt irgendwo bewerben und nicht seine Zeit an Heimnetzwerken verschwenden und 2. einen MAC-Filter als schlechten Witz empfinden.

WPA2 ist, sofern nicht durch ein schlechtes Passwort oder WPS untergraben, sicher.
14 Zeichen sind vollkommen ausreichend, sofern sie nicht in Passwortlisten bzw. Wörterbüchern auftauchen. Nach Beschreibung des TEs nicht der Fall.

 

[umax1980]

Naja, interessant ist das Netz bestimmt für jeden irgendwie. Jedes Netz kann für allerlei Unfug genutzt werden.

Ich werde gleich in der FritzBox nachsehen, inwieweit die von euch genannten Sicherheits-Merkmale gesetzt sind.

 

[owned_you]

ja ... alles schon gesehen 50 Zeichen PW ... verschlüsselte Platte und dann auf titten.jpg.exe klicken aus dem Mailanhang... und wundern weshalb das PW nichts brachte.


klar hält MAC Filterung und SSID verstecken nen Profi nicht ab, aber all die Kiddies bleiben damit schonmal weg.

 

[Hallo32]

Welche SSID hat dein Wlan?

Wenn es zum Beispiel eine ist, die von vielen verwendet wird (z. B. "Wlan"), versuchen sich mobile Geräte automatisch mit dieser zu verbinden.

 

[chrigu]

lass mich raten... die "vielen geräte" haben eine macadresse, und jede ist einem händyhersteller zuzuordnen... tja, willkommen in der wlan welt der automation... diese einstellung hat dein händy bestimmt auch, nennt sich "automatisch nach bekannte wlan netzwerk scannen...".... aus dem log der fritze entnimmst du macdresse plus den zusatz "verbindung nicht hergestellt". also alles rosa-grün.

 

[umax1980]

Das wird sicher so sein, meine Frage zielte ja auch eher auf eine Einschätzung der Sicherheit bisher ab.
Große Probleme sehe ich da auch nicht, aber eventuell bekomm ich das WLAN so eingestellt, daß es da gar keine Probleme geben wird.

 

[owned_you]

und größter Sicherheits Tip schlechthin: WLAN aus wenn nicht benötigt! Was nicht vorhanden ist kann auch nicht kompromitiert werden!

 

[chrigu]

heieieieiei, dieser satz ist eine gelungene erheiterung... .eventuell bekomm ich das WLAN so eingestellt, daß es da gar keine Probleme geben wird.
nö, wlan ohne probleme gibt es nicht... wlan ist problembehaftet, weil das geteiltes medium luft der datentransport übernimmt.

wenn dein 14 stelliges passwort mit wpa2 gesichert ist, braucht ein häcker mind. 6monate... und bei regelmässiger sichtung des routerlogs siehst du dies. ändere das passwort und der hacker fängt wieder von vorne an.

 

[umax1980]

Genau so sehe ich das, aber für einige Geräte gibt es halt keine LAN Alternative.

Regelmäßiges Kennwort-Ändern sollte generell reichen.
Ich richte die BOX so ein, daß nur bekannte Geräte Zugriff erhalten und dann sollte das gut sein.

 

[KlaasKersting]

Du machst dir da viel zu viele Gedanken.
WPA2: Check.
Sicheres Passwort: Check.
WPS aus: ?

Stell sicher, dass WPS noch aus ist und gut ist.
Solltest du einen begründeten Verdacht haben, dass jemand unbefugt in deinem Netzwerk war, kannst du dein Passwort ja nach WPS-Abschaltung ändern.

Ansonsten ist der Mensch die größte Lücke.
Jeder, der von dir das Passwort erhält, kann es auch an andere weitergeben.

 

[owned_you]

wenn dein 14 stelliges passwort mit wpa2 gesichert ist, braucht ein häcker mind. 6monate... und bei regelmässiger sichtung des routerlogs siehst du dies. ändere das passwort und der hacker fängt wieder von vorne an.

solange es ne einfache Atacke ist! Ne kombinierte social engineering Attacke ist nütz dir das PW auch nix.
Die Lücke sitzt in 90% der Fälle vor der Tastatur!

Sicherheit ist ein Getriebe und nen PW ist da ein kleines Zahnrädchen davon.

Ansonsten ist der Mensch die größte Lücke.
Jeder, der von dir das Passwort erhält, kann es auch an andere weitergeben.

This!

Dein Handy solltest du auch sicher konfigurieren, nütz dir nix wenn du deine Fritte zu Fort Knox machst und dein Handy verteilt munter deinen Schlüssel ;p

 

[Bogeyman]

Ich würde erstmal 2 Netzwerke einrichten. Ein Privates für dich und ein Gast Netzwerk. In der Fritzbox gibt es da sicher irgendnen Wizard oder zumindest nen How2 im Internet.
Beim Heimnetz WLAN verwende ich nen Zufallsgeneriertes Password mit der maximalen Anzahl an möglichen Zeichen. Das kann dann jeder Bewohner/Familienmitglied in seinem Passwortsafe speichern und so oft muss man jetzt auch nicht neue Geräte einbinden. Bei solchen Geräten wie ChromeCast kann man sich soweit ich weiß auch mit dem Handy drauf connecten und dann das WLAN Passwort rüberschieben ohne es Eintippen zu müssen.
Wenne Lust, Bock und Zeit hast kannste statt WPA2 Personal auch auf WPA2 Enterprise später umsteigen.
MAC Filter würde ich einrichten. Auch nicht weil es so sicher ist sondern ich habs mal gemacht weil ich es "nervig" fande dass immer irgendwelche Leute das Passwort weiter gegeben haben, und man denen das erklären kann dass das net gut ist, bei der nächsten Party dann aber alles egal ist wenn da irgendwer umbedingt WLAN brauch weil er irgendnen geiles Video auf seinem Handy zeigen will.
Durch ne MAC Whitelist funktioniert die einfache weitergabe des Passworts nämlich nicht mehr. Spätestens wenn die anderen dass dann mal gescheckt haben werden sie das Passwort auch nicht mehr weitergeben, weil sie wissen es funktioniert dennoch nicht.
Das musste den anderen auch nicht umbedingt erklären, sag einfach sollen das Passwort nicht weitergeben, es funktioniert eh nicht mit anderen Geräten. Spätestens wenn sies dann merken hört das auf, oder sie beschwerden sich zumindest beim Admin.
Für alle anderen kannste dann ein Gast Netzwerk machen. Ob man hier WPA2 Personal, Enterprise oder gleich Hotspot mäßig mit ner Landingpage das ganze aufzieht bleibt einem selbst überlassen. Bei manchen Geräten ist das auch schon vorkonfiguriert und auch mit nen paar Klicks getan.

Oder du stellst nen Freifunkrouter auf für Gäste und hast gar nix mehr davon zu tun. Ich halte von FreiFunk aber nix, weil von 10 Knoten gefühlt mal einer funktioniert und die Community da lange Zeit die Leute jedesmal zur Schnecke gemacht hat die meinten es funktioniert nicht. Ob es immer noch so ist kein Plan, mir ist die ganze Community zu blöd eingestellt (genauer gesagt die mit denen ich Kontakt hatte). Nicht weil sie technisch keine Ahnung hatten, sondern weils menschlich alles andere als "offen" "nett" war wenn man mal was kritisiert hat am Projekt.

 

[emeraldmine]

Heyho, wie steht's mit Eurer Sicherheit im WLAN ? Hatte in den letzten 7 Kalendertagen ca. 50 Verbindungsversuche von PC-xy mit unterschiedlichen MAC:Adressen. Passiert ist hier noch nix.ABER

wer macht sich denn da dauernd die Mühe "hier rein zu kommen" ? Von Linux isses Mir bekannt dasses
diverse Port-Scanner gibt, Android basiert ja auf Linux !? Gibt's sicher eine handliche APP um sich
gelegendlich mal Zugang zu verschaffen. Mir ist das ewige "Geklingel" an der Haustüre überdrüssig.

Und hab' man gleich nur eingestellt dass nur MIR bekannte Geräte Zugang erhalten, und Tür zu.

Sicher oder nicht ?