Visualisierung ohne HS

[lons]

... was spricht denn deiner Meinung nach gegen WLAN?

Ich weiss nicht, irgendwie zu unsicher.
Nachdem nun auch in 2 min die WPA2 Verschlüßelung gecknackt werden kann und MAC Spoofing kein problem darstellt.
Da fühl ich mich nicht so wohl, wenn ich daran denke das jemand von der Straße aus mein Haus bedient...

Aber versuchen werd ich auf alle Fälle, sobald ich endlich eine Anleitung für Misterhous gefunden habe.

mfg, Marcel

[MarkusS]

Nachdem nun auch in 2 min die WPA2 Verschlüßelung gecknackt werden kann und MAC Spoofing kein problem darstellt.

Hab ich wohl was verpasst. Erzähl bitte mal mehr darüber.

Gruss
Markus

[lons]

Funktioniert mit ich glaub Backtrack oder aircrack.
Da werden die Wlan Geräte zum Handshake gezwungen und man zeichnet nebenbei mit.
Somit erspart man sich das Loggen von was weiß ich wievielen Datenpaketen.
Wurde wenn ich mich nicht täusche vom CCC vorgestellt?

mfg, Marcel

[MarkusS]

Für WPA (ohne 2) wurde heute ein 15 Minuten-Hack angekündigt http://www.computerworld.com/action/...ource=rss_news - nichts genaues weiss man nicht, warten was die nächste Woche erzählen.

WPA2 dürfte weiterhin sicher sein - wenn man da den gesamten Adressraum für den Preshared Key (63 Zeichen - Personal WPA2) möglichst ausnutzt - oder mit der RADIUS-Variante (Enterprise WPA2, ggf. zusätzlich mit EAP oder TTLS) arbeitet. Was dann bleibt ist Brute Force - durchprobieren aller Schlüssel.

Auch wenn die üblichen Verdächtigen verkündigen http://www.elcomsoft.de/news/268.html dass sie das jetzt bis zu "100 Mal schneller" knacken können schlafe ich noch relativ sicher - die machen anscheinend auch nur Brute Force - wenn auch auf schneller Hardware und das auch noch parallel. Bei AES dauert das immer noch lange genug.

Gruss
Markus

[makki]

Ich versteh die grundsätzlichen bedenken, kann aber der Argumentation dafür Funk (nehmen wir mal an 868MHz) zu nehmen ich nicht ganz folgen. Da ist die Lage wesentlich bescheidener, proprietäres Zeug meist keine oder bestenfalls schlechte Verschleierung, keiner beschäftigt sich damit und wenn doch, findet sich sicher was (z.B. Keeloq&Co)
Jegliches sonstige Zeug wie Funk ist auf jeden Fall nicht sicherer wie ein weithin genutztes und ständig analysiertes Wlan mit WPA. Man kennt nur vielleicht die Lücken nicht, weils nicht täglich übern Ticker läuft..

elcomsoft hat in den letzten Jahren auch viel Dampf geplaudert um ins gerede zu kommen. Ich glaube da wird gerade was ein bisschen heisser gekocht als gegessen wird.. Wenn man bspw. wie in einem Link erwähnt sehr grosse Datenmengen, ähnlich wie dem ersten WEP-Crack braucht, ist das schon für normale Umgebungen nur noch eine sehr theoretische Sache..

Wenn Bruce Schneier sowas schreibt ist es glaubwürdig, wenn es einer Pressemeldung irgendeiner Klitsche entspringt die normalerweise Acrobat und Winzip "krackt" ist es bis zum detaillierten Beweis für mich erstmal nur Marketing-gewäsch.
Heise zweifelt ja auch zwischen den Zeilen deutlich, wir werden sehen..

Also jetzt mal stand heute aus rein privater Sicht (wenn mich eine Bank frägt, fällt meine Antwort ein bisschen anders aus):
Wer auf Nummer sicher gehen will, nimmt WPA(2) mit EAP/Zertifikaten, das ist bewährt&sicher und wird es auch bleiben weil es auf ordentlichen Verfahren beruht und die zugrundeliegenden Algorithmen als sicher gelten. Wers weiter treibt, kann das Wlan in eine DMZ packen und IPSec drüberfahren, das knackt auch die nächsten 10 Jahre keiner (Falls richtig konfiguriert mit AES,Zertifikaten & Co: meinen Hintern drauf!)
Problem dabei nur, das alles ist selbst bei vorh. Infrastruktur mindestens genauso anstregend wie sicher und man hat (gelinde ausgedrückt) mit den gängigen Spielzeugen ein paar Probleme das so richtig ans laufen zu bekommen
Deshalb wird trotz aller Bedenken dann (so wie bei mir auch) doch WPA einsetzt.. Dranbleiben ist obligatorisch, aber ich kann trotzdem gut schlafen, weil wer es schafft etwas zu knacken, was mir nicht in ein paar Stunden gelingt, der hats verdient mein Haus zu steuern , was nun schliesslich auch nur (für mich ziemlich) peinlich und ärgerlich wäre, dabei sterben keine Menschen oder Raketen stürzen ab. (und dann bleiben immernoch Passwörter für interne Systeme, die nunmal obligatorisch sind)
Wenn mans paraniod treiben will bleiben halt dazu auch nur OTP mit Zweifaktorauthentisierung und/oder X.509 Zertifikate auf Smartcards. Das ist sicher (und aufwändig und damit teuer).
Lohn dafür ist (neben vielen anderen Massnahmen) dass mich im beruflichen Umfeld die letzten 8 Jahre eigentlich keine Sicherheitslücke ernsthaft tangiert hat. Nur isses halt ein bisschen umbequem jedesmal beim Notebook-auf mindestens zweimal PIN+SecurID-Tokencode einzugeben, das wollen die meisten nicht (und es geht auch längst nicht mit allen Endgeräten, die man dann einfach ausschliessen muss. dazu gehört mein N800 genauso wie ziemlich sicher das igittPhone)
Ebenso wie mein Banker nie verstehen wird, warum ich meine TAN-Listen nie aktiviere (ohne gleichzeitigen TANs für Internet-Banking zu beantragen bekomme ich sinnigerweise keinen HBCI-Zugang), auch wenn ich im gerne jedesmal wieder gerne erkläre warum statische Passwörter/PINs/TANs ggü. einer Smartcard nunmal ganz einfach totale Gülle sind und immer bleiben werden, egal wie oft man sie mit "i" optimiert.

Finally ist das Wlan mit WPA aber sicherheitstechnisch IMHO allem vom Garagentor über die Wegfahrsperre bis zum gängigen Fingerprintreader immernoch um Welten vorraus.

P.S.: Das ändert nichts daran dass ich diesen Gesamtzustand unbefriedigend finde aber Security ist nunmal leider meistens eine unbequeme, teure Nebensache..

Makki

[callipero]

Wpa

Also, einen WPA Schlüssel in 2 min knacken, dass geht derzeit nur dann wenn die Schlüsselqualitat zu wünschen übrig last und eine Standard SSID verwendet wird.

Bei einer Attacke mittels Brutforce auf WPA mit einen Schlüssel aus 64 Zeichen (Sonderzeichen, Buchstaben (groß+klein) und Zahlen) braucht rein rechnerisch selbst der größte Rechner der Welt noch Wochen wenn nicht gar Monate.
Beim Einhalten nachfolgender Punkte ist man relativ sicher:

- 64 stelligen Schlüssel (Sonderzeichen, Buchstaben in groß und klein, Zahlen)

- keine Standard SSID verwenden, dazu noch unsichtbar

- Schlüssel jahrlich wechseln

- MAC Filterung aktivieren (scheitern schonmal 50% der Skiptkiddies)

Man muss schon Staatsfeind Nr.1 sein, damit der Zeitaufwand, den man investieren muss auch Sinn macht...


Viele Grüße
Pierre

[Timo]

Kann mich meine beiden Vorrednern nur anschließen.
Ich habe vor kurzen auf der Systems mit einem "Berufshacker" einer Firma gesprochen, die sich darauf spezialisiert hat Unternehmen zu hacken um Sicherheitslücken aufzudecken. Auch dieser meinte zum Thema WPA2 im Privathaushalt (oder kleinen Firmen) "Sicher genug".

Die Leute die es wirklich schaffen sollten WPA2 in akzeptabler Zeit zu knacken, werden 5 Stellig dafür bezahlt, da geht es dann eher um Wirtschaftskriminalität. Ich glaube kaum das jemand dieses Geld in die Hand nimmt, nur um in meinem Haus das Licht auszumachen.


Gruß Timo

[lons]

Kann sein das ich mich bei WPA2 getäuscht habe und es in dem Artikel nur über WPA ging.
Aufjedenfall wurde dort gesagt das mit der neuen Software das Datenlogging ausbleibt und man eben in 2min im Netz ist.

Naja versuchen werd ich trotzdem mit Misterhouse. Aber da hab ich nen eigenen Thread aufgemacht. Null Durchblick.

mfg, Marcel

[makki]

BTW, abschliessend zum Thema WPA-Sicherheit, mittlerweile liege alle Bulletins vor (elcomsoft-Dampf spielt dabei wie bereits vermutet keine Rolle, deren Erkenntnisse zu publizieren überlasse ich der Computerbild)

Man kann einzelne WPA-Pakete mit TKIP binnen ~15 Minuten entschlüsseln und Pakete zum AP einschleusen (relevant vor allem: ARP)

Bei einem zwar recht überschaubaren aber vorhandenen Angriffspotential gilt daher
[WICHTIG]WPA+TKIP kann heute nicht mehr empfohlen werden.[/WICHTIG]

(dabei einen Datenstrom zu entschlüsseln ist immer noch ziemlich zeitaufwändig und hängt von extrembedingungen ab (grosse Datenmengen) und das bleibt auch einem kleinen Kreis von Spezialisten vorbehalten, weil das IMHO nicht ohne weiteres in ein fertiges Aircrack gegossen werden kann)

Trotzdem WPA2+AES/CCMP mit ordentlichem PSK ist weiterhin wasserdicht, wer sicher gehen will, WPA2-Enterprise+RADIUS mit Keywechsel alle 60-120s und OTP.
Oder eben IPSec mit X.509 Zertifikaten darüber fahren, das würde ich machen wenns wirklich auf Sicherheit ankommt (selten der Fall), ist halt nur extrem anstrengend..

Jetzt fragt aber bitte nicht, warums bei WEP oder WPA1 nicht gleich richtig gemacht wurde denn daran sind u.a. viele Leser selber Schuld: gescheite Security ist oft ein lästges "Nebenärgerniss" und daher nicht "Marktrelevant".

Makki

[h-t]

Trau schau wem.

>>Bei einer Attacke mittels Brutforce auf WPA braucht
>>rein rechnerisch selbst der größte Rechner der Welt noch
>>Wochen wenn nicht gar Monate.

WPA wird nicht per Brutforce-Attacke gehackt. Eben weil man dazu lange braucht.

>>- keine Standard SSID verwenden, dazu noch unsichtbar
>>- MAC Filterung aktivieren

http://blogs.technet.com/mkalbe/arch...tte-nicht.aspx

>>- Schlüssel jahrlich wechseln

Wieso? Damit der, der seit 11,5 Monaten Zugriff auf das WLAN hat, erst wieder seine Tools anwerfen muss?

----

Die, die Stand Nov. 2008 an einer gewissen Sicherheit interessiert sind, sollten sich daher an die Ratschlage von Makki halten.