News WPA2: Schwachstelle in WLAN-Verschlüsselung lässt mitlesen

Dabei seit
Feb. 2004
Beiträge
757
#2
In iOS 11.1 Beta3 schon gefixt.
 
Zuletzt bearbeitet:

joomoo

Lt. Junior Grade
Dabei seit
Juli 2004
Beiträge
427
#3
Reicht Update von Server (Router) oder Client (PC)? Oder müssen beide gepatcht werden?
 

andr_gin

Lt. Commander
Dabei seit
Jan. 2004
Beiträge
1.689
#4
Omg der nächste Supergau. Ich hoffe einmal dass das auf der Geräteseite gefixed werden kann und man jetzt nicht bei jedem Access Point sich um eine neue Firmware kümmern muss.
 
Dabei seit
Nov. 2007
Beiträge
3.230
#5
Wie man die Lücke patchen kann: Das erneute Setzen der Nonce verweigert und reauthentifizieren.

​Im Endeffekt eine triviale Lücke, die aber halt im Protokoll nicht beachtet wurde und daher bei jedem Client verfügbar ist. Das ist aber gleichzeitig das "Gute" an der Lücke: Nur die Clients sind angreifbar, daher ist es auch nur nötig, diese zu patchen. Das bedeutet, der klassische AP Router ist nicht betroffen, aber das Handy und der Laptop, die hoffentlich beide noch ein Update bekommen.

​EDIT: @jomoo: Nur der PC/Laptop/Repeater muss gepatched werden.
 
Dabei seit
Apr. 2010
Beiträge
8.323
#6
und, solang es nicht in produktiv gefixt ist iOS 11.1, ist es immer noch eine gefahr..
und die ganzen anderen geräte im wlan? drucker, android handys von anderen leuten, notebeooks, tablets ...
 
Dabei seit
Mai 2011
Beiträge
928
#7
Update für wpasupplicant ist für Debian schon raus. Der Intel Wireless Driver wurde auch heute geupdated wobei ich nicht weiß ob das im Zusammenhang steht (Ist aber anzunehmen).

Android-User ohne Custom-ROM gucken natürlich in die Röhre und haben Glück wenn ihr Gerät in ein paar Wochen überhaupt ein Update hat. In LineageOS ist der Patch wohl schon gemerged, sollte also in allen folgenden Builds enthalten sein.
 

DFFVB

Lt. Commander
Dabei seit
Dez. 2015
Beiträge
1.193
#8
Anders als in der Warnung vom Bundesamt für Sicherheit in der Informationstechnik (BSI) von heute beschrieben, sind sichere Transaktionen über HTTPS beim Online-Banking und Online-Shopping somit nicht gefährdet und können auch weiterhin über eine WPA2-verschlüsselte WLAN-Verbindung durchgeführt werden. Das BSI hatte pauschal dazu geraten, WLAN-Netzwerke bis zur Verfügbarkeit von Sicherheits-Updates nicht für Online-Transaktionen wie Online Banking und Online-Shopping oder zur Übertragung anderer sensitiver Daten zu nutzen.
Und wie kommst Du darauf? In dem Video sieht man ja durch den MITM dass das grüne Schloss fehlt... we
 
Dabei seit
Feb. 2004
Beiträge
757
#9
@DFFVB
Im Video ist rede von manchen Websites. Es kommt auf die Art der ssl Implementierung an. Deswegen ist nicht jede Webseite angreifbar.

Bei Minute 1:20 sagt er es : „improperly configured Websites“.
 
Zuletzt bearbeitet:
Dabei seit
Mai 2011
Beiträge
928
#10
Eine Website ist nicht angreifbar wenn HSTS genutzt wird, heißt wenn die Domain in der HSTS-Liste steht, so dass der Browser weiß dass er für diese Domain niemals http:// nutzen darf.
Steht eine Seite dort nicht drinne, dann hat sie lediglich eine Weiterleitung von http:// auf https://, aber der Browser verbindet sich möglicherweise trotzdem erstmal mit http://. Da setzt der Angriff an, denn die Weiterleitung auf https:// wird einfach weggefiltert, so dass man weiter über http:// surft und Angreifer mitlesen können.

Ob eine Domain in der HSTS-Liste steht lässt sich hier ermitteln: https://hstspreload.org/

EDIT: "improperly configured" ist finde ich nicht ganz richtig an der Stelle. Schließlich ist HSTS kein muss, und für Betreiber großer Websites auch riskant, weil es keinen schnellen Weg zurück gibt. Man kann HSTS nicht mehr deaktivieren wenn man erstmal auf die Liste steht, zumindest nicht ohne Monate lange Verzögerung.
 
Zuletzt bearbeitet:
Dabei seit
Feb. 2004
Beiträge
757
#12
@sir Einstein
Richtig. Das iPhone5 aus dem Jahre 2012 hat kein iOS 11 bekommen. Somit bekommt es auch nicht iOS 11.1.

Das iPhone von 2007 übrigens auch nicht. Vermutlich bekommt mein SE k750i auch kein Update.
 
Zuletzt bearbeitet:

GrazerOne

Lt. Commander
Dabei seit
Mai 2011
Beiträge
1.731
#15
Ein Schutzsystem was durch einen Menschen geschaffen wurde wird immer "Schwachstellen" enthalten ! Ist so, wird auch so bleiben....

Press the panic Button ! :evillol:
 
Dabei seit
Okt. 2011
Beiträge
5.839
#20
Und dein Smartphone hast du wie nochmal per LAN angeschlossen?
Hat eh eigene SIM somit brauchst auch kein WLAN im Normalfall.
Zur Datenübertragung gehts auch meist mit USB Kabel.

Bluetooth is ja auch schon nicht mehr sicher.
GSM kann anscheinend sowieso jeder Depp mitlesen.
UMTS ist auch nicht viel sicherer.

Und mit den Quantenrechnern werden sie bald noch die letzten sicheren Verschlüsselungen knacken.
 
Top