Ist WPA denn noch knackbar, im Sinne von Login ins Wlan?

[NeoCronos]

Zuletzt ging das bei WEP ja sehr schnell und für WPA gab es gute Ansätze, evtl. war auch WPA2 noch möglich?
Kommt man bei WPA2 und WPA3 noch in fremde Netze rein oder ist da endlich Ruhe?

[pinjiz]

Da muss man zunächst einmal zwischen WPA2-Personal und WPA2-Enterprise unterscheiden. WPA2-Personal kommt i.d.R. im Privatbereich, zuhause zum Einsatz. Dabei meldest du dich mit einem Passwort am Netzwerk an, das Passwort ist für alle Teilnehmer identisch.

Bei diesem Verfahren hängt alles an der Stärke des Passworts. Der Handshake zwischen Client und Access Point lässt sich von einem Angreifer aufzeichnen, der kann die Passwort-Hashes dann nehmen und mit einem Wörterbuchangriff in Ruhe durchprobieren. Das macht man heutzutage auf Grafikkarten, ggf. auch bei Amazon in der Cloud. Das ganze passiert offline, also ohne dass der Angreifer sich für jeden Rateversuch mit dem Access Point verbinden muss.

Bei WPA2-Enterprise in Firmen oder Universitäten hängt es wiederum am verwendeten Verfahren. Im Idealfall meldet man sich am WLAN dann mit TLS-Clientzertifikaten an, das ist derzeit ziemlich sicher. Meistens findet man aber noch eine Kombination aus Benutzername/Passwort (z.B. aus dem AD) über EAP-TTLS, was durchaus auch sicher sein kann. Es gibt dabei aber auch eine Reihe unsicherer Verfahren, welche nicht verwendet werden sollten.

TL;DR: Verwende für dein privates WLAN zuhause einfach ein sehr langes, komplexes, am besten zufällig erzeugtes Kennwort mit der maximal möglichen Länge (63 Zeichen). Du musst es ja nur einmal an deinen Geräten eingeben. Außerdem solltest du die Firmware deiner WLAN-Access Points/Router immer aktuell halten und die Verschlüsselung immer auf WPA2-only stellen (unter den Annahme, dass WPA3 noch nicht geht). Dann hast du "endlich Ruhe" ;).

Edit: Ein vollkommen zufälliges Passwort, mit Sonderzeichen und etwa 12 bis 16 Zeichen Länge reicht übrigens vollkommen aus. Sofern das Passwort nicht in einem Wörterbuch zu finden ist, muss der Angreifer alle möglichen Kombinationen ausprobieren. Das dauert einfach unglaublich lange, selbst mit 12 Zeichen.



1 mal bearbeitet, zuletzt am 15.04.19 19:26 durch pinjiz.

[DoktorMerlin]

WPA (ohne Zahl) war noch nie wirklich sicher. Das war sogar so gewollt. Nachdem sich herausgestellt hat wie extrem unsicher WEP ist, wurde schnell ein neuer Standard geschaffen, WPA. WPA ist mir 2 Protokollen auf den Markt gekommen, WPA(-1) und WPA-2. WPA-1 ist rückwärtskompatibel mit WEP, das dafür entwickelte Verschlüsselungsprotokoll TKIP wurde extra so entwickelt, dass es keine Komplikationen gibt. Dadurch konnten WEP Geräte sicherer gemacht werden. Auf Dauer war aber von Anfang an klar, dass TKIP ersetzt werden muss. Dafür gab es dann WPA-2, für das von WPA-2 verwendete Verschlüsselungsprotokoll CCMP wird allerdings neue Hardware benötigt. Es ist also nicht rückwärtskompatibel. Das sorgt zB dafür, dass man sich mit einem Nintendo DS (lite) nicht mehr in WLANs einwählen kann, weil der DS kein WPA2 unterstützt. Für WPA-2 ist derzeit soweit ich weiß kein polynomieller Angriff bekannt weshalb es noch "sicher genug" ist, da WPA-2 allerdings in den Grundzügen mit Krack geknackt ist, muss ein neuer Standard her der mit WPA-3 momentan ausrollt.

[RicoBrassers]

pinjiz schrieb:
--------------------------------------------------------------------------------
> Edit: Ein vollkommen zufälliges Passwort, mit Sonderzeichen und etwa 12 bis
> 16 Zeichen Länge reicht übrigens vollkommen aus. Sofern das Passwort nicht
> in einem Wörterbuch zu finden ist, muss der Angreifer alle möglichen
> Kombinationen ausprobieren. Das dauert einfach unglaublich lange, selbst
> mit 12 Zeichen.

Es muss halt nicht mal komplett zufällig sein. Es reicht ja schon aus, mehrere Worte, die nicht unbedingt einen Zusammenhang bilden müssen, hintereinander zu hängen.

Es ist übrigens eine falsche Annahme, dass ein Passwort auch Zahlen und Sonderzeichen beinhalten sollte. Es reicht aus, dass das Passwort aus Zahlen und Sonderzeichen bestehen *kann*, weil ein Angreifer, der nichts über dein Passwort weiß, diese in einem Bruteforce-Angriff mit testen muss/sollte.
Lieber Zahlen und Sonderzeichen weglassen und dafür noch 1 oder 2 Worte (= zusätzliche 5 oder 10 Buchstaben für das Passwort!) dranhängen. Ist einfacher zu merken und mindestens genauso sicher wie ein zufällig generiertes Passwort. ;)

"parkbank FRÜHLING meeresrauschen" ist halt einfacher zu merken und genauso sicher wie "uihgBig823ß!o3jf9§(".

Die Anzahl der Zeichen ist wichtiger als die Größe des Alphabets, aus dem diese Zeichen ausgewählt werden:

n = Länge des Passwortes
x = Anzahl der mögl. Zeichen

((2n) ^ x) > (n ^ (2x))

[sneaker]

RicoBrassers schrieb:
--------------------------------------------------------------------------------
> "parkbank FRÜHLING meeresrauschen" ist halt einfacher zu merken und genauso
> sicher wie "uihgBig823ß!o3jf9§(".
Da kommt halt der Knackpunkt. Der aktuelle Duden hat etwa 145.000 Stichwörter. Du hast nur komplett groß/klein gewählt bei drei Wörtern.
(145.000 * 2)^3

uihgBig823ß!o3jf9§( sind 19 Buchstaben aus ISO 8859-1. Also 191^19. Das ist doch wesentlich komplexer als (145.000 * 2)^3.
Nur wenn man alle Buchstaben und deren Häufigkeit kennen würde, wäre man mit 19!/2!*2!*2! eher am Ergebnis.



3 mal bearbeitet, zuletzt am 16.04.19 09:13 durch sneaker.

[ul mi]

RicoBrassers schrieb:
--------------------------------------------------------------------------------
> Es ist übrigens eine falsche Annahme, dass ein Passwort auch Zahlen und
> Sonderzeichen beinhalten sollte. Es reicht aus, dass das Passwort aus
> Zahlen und Sonderzeichen bestehen *kann*, weil ein Angreifer, der nichts
> über dein Passwort weiß, diese in einem Bruteforce-Angriff mit testen
> muss/sollte.

Das ist mittelgroßer Unfug. Der Angreifer muss nicht den gesamten Suchraum durchprobieren, sondern nur, bis er dein Passwort (oder eine Hashkollision) gefunden hat, und kann das in beliebiger Reihenfolge machen. "12345" ist kein sicheres Passwort, nur weil im Passwort auch U+1F4A9 "PILE OF POO" vorkommen dürfte und das Passwort bis zu 128 Zeichen haben darf.

[TrollNo1]

Ok 145.000 Wörter, die kann ich aber nochmal ganz oft unterschiedlich schreiben

parkbank
pArkbank
paRkbank
parKbank
parkBank
parkbAnk
parkbaNk
parkbanK
PArkbank
PaRkbank
...

So werden aus 145.000 Wörtern schnell 145.003 Wörter ;)

Und FRÜHLING ist genauso wahrscheinlich wie frühling oder FrÜhLiNg oder FRÜHling

Und es ist immer noch leichter zu merken als ein auf die Tastatur-Gehämmere

Menschen, die mich im Internet siezen, sind mir suspekt.

[z3r0t3n]

https://xkcd.com/936/

[TrollNo1]

Wenn es keine Restriktionen gibt, ist jedes Passwort schon mal besser vor Entdeckung geschützt. Klar, wenn ein Hacker halbwegs geordnet rangeht, erstmal die 1000 beliebtesten Passwörter durchprobiert, danach verschiedene Wörterbücher etc. dann ist 12345 schnell geknackt. Aber prinzipiell ist die Lockerung der Grenzen eine Verbesserung der Sicherheit.

Menschen, die mich im Internet siezen, sind mir suspekt.

[ianmcmill]

Wenn ich mich in die Lage eines Angreifers versetzen würde, würde ich mir wünschen, dass die WLAN Besitzer ein Passwort aus mehreren unterschiedlichen Wörtern erstellen.
Dafür kann man dann Wörterbücher mit allen Wörtern die im deutschen und evtl noch englischen Sprachraum existieren durch Regeln erraten. Verfeinern kann man dass durch die häufigesten vorkommenden Wörter. Oder die Collection #1-5 heran ziehen. Evtl. hat da schon jemand die Passwörter in einer Datenbank moderiert.
Die Dauer des Angriffs würde ich intuitiv als gering ansehen im Vergleich zu einer (auf Fritzbox) 16 Ziffern-Zufallszahl durch Bruteforce. Oder 12 Ziffern bei Speedports.
Wobei man ja noch eine "smarte" Bruteforce-Attake mit Masks durchführen könnte um Zahlenkombinationen wie 0000000000123456 usw. auszuklammern.

TL;DR: Wäre ich ein Angreifer, würde ich vor einer 16 Ziffern-Zufallszahl zurückschrecken. Ein 3-4 Wörter langes Password mit Ziffern als Pre- und Suffix würde ich dagegen angehen wollen.

[TrollNo1]

Dann viel Spaß dabei. Ein Schreibfehler in einem der Wörter und du sitzt ne Weile dran. Leerzeichen oder Sonderzeichen als Trenner und du wirst dran verzweifeln.

Menschen, die mich im Internet siezen, sind mir suspekt.

[spoink]

ianmcmill schrieb:
--------------------------------------------------------------------------------
> Wenn ich mich in die Lage eines Angreifers versetzen würde, würde ich mir
> wünschen, dass die WLAN Besitzer ein Passwort aus mehreren
> unterschiedlichen Wörtern erstellen.
> Dafür kann man dann Wörterbücher mit allen Wörtern die im deutschen und
> evtl noch englischen Sprachraum existieren durch Regeln erraten. Verfeinern
> kann man dass durch die häufigesten vorkommenden Wörter. Oder die
> Collection #1-5 heran ziehen. Evtl. hat da schon jemand die Passwörter in
> einer Datenbank moderiert.
> Die Dauer des Angriffs würde ich intuitiv als gering ansehen im Vergleich
> zu einer (auf Fritzbox) 16 Ziffern-Zufallszahl durch Bruteforce. Oder 12
> Ziffern bei Speedports.
> Wobei man ja noch eine "smarte" Bruteforce-Attake mit Masks durchführen
> könnte um Zahlenkombinationen wie 0000000000123456 usw. auszuklammern.
>
> TL;DR: Wäre ich ein Angreifer, würde ich vor einer 16 Ziffern-Zufallszahl
> zurückschrecken. Ein 3-4 Wörter langes Password mit Ziffern als Pre- und
> Suffix würde ich dagegen angehen wollen.

Und mir als Hacker wärs am Liebsten, wenn du nur Zahlen verwendest.
Ich als Hacker kann das halt aber leider nicht mitbestimmen.
Ich als Hacker kann es auch nicht Wissen oder erraten.
Deswegen bleibt mir als Hacker nur social enigneering oder Rainbowtables, brute force auf 16 Stellen tut sich keiner an. Mal abgesehen davon, das wir hier immer noch von einem Heimnetzwerk reden...