Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Krack-Angriff: Kein Grund zur Panik

Halten wir fest

  1. Thema

Neues Thema Ansicht wechseln


  1. Halten wir fest

    Autor: gaelic 18.10.17 - 12:24

    - WPA2 ist nicht geknackt
    - WPA2 Verbindungen können unter bestimmten Voraussetzungen mitgelesen werden

    Daraus folgt:

    - das interne Netzwerk ist und bleibt sicher
    - gesicherte Verbindungen nach außen sind nachwievor sicher
    - ungesicherte Verbindungen nach außen können mitgelesen werden

    Daraus folgt:
    - keine direkte Manipulation möglich
    - !! aber: Inhalte/User/Passwörter die über solche Verbindungen übertragen werden sind dann in den Händen des Angreifers

  2. Re: Halten wir fest

    Autor: bombinho 18.10.17 - 14:01

    Fast, bei mindestens einer Implementation ist das Manipulieren von Paketen moeglich und damit selbstverstaendlich auch der Zugriff auf das Netzwerk. Selbst wenn ich das WLAN-Passwort nicht erraten kann, so kann ich doch bei diversen Routern mein Eigenes setzen, im Extremfall.

    Schau dir mal an, wie Router Status Checker funktionieren, gibt sogar oeffentliche Datenbanken mit Steuerungsbefehlen.

    Das wuerde zwar unter Umstaenden den abgegriffenen Client etwas aus dem Tritt bringen, aber was soll es, dafuer winkt der Vollzugriff und mit etwas Glueck sogar das Zuschauen bei der Neuvergabe vom Routerpasswort.



    1 mal bearbeitet, zuletzt am 18.10.17 14:04 durch bombinho.

  3. Re: Halten wir fest

    Autor: dsleecher 18.10.17 - 14:58

    gaelic schrieb:
    --------------------------------------------------------------------------------
    > - ungesicherte Verbindungen nach außen können mitgelesen werden
    >
    > Daraus folgt:
    > - !! aber: Inhalte/User/Passwörter die über solche Verbindungen übertragen
    > werden sind dann in den Händen des Angreifers

    Ein Punkt finde ich noch wichtig klarzustellen:
    Der Angreifer kann im schlimmsten Fall genau so viel mitlesen wie:
    - Der WLAN-Betreiber (bei öffentlichen Hotspots)
    - Der Internetprovider
    - Alle Tier1-Provider auf dem Weg zum Server
    - NSA / BND
    - DECIX oder ähnliche Knotenpunkte auf dem Weg.

    Ein nicht Ende-zu-Ende verschlüsselte Verbindung (SSL oder TLS) ist nie vertrauenswürdig, solange ich nicht jedem einzelnen Teilnehmer in der Übertragungskette vollstes Vertrauen ausspreche. Es gibt mit KRACK nun lediglich einen Teilnehmer mehr, der mitlesen kann.
    Verbindungen ins offene Internet sehe ich daher nicht als Problem.

    Was übrigbleibt ist, dass mein Nachbar u.U. den Zugriff auf mein lokales NAS mitschneiden kann.
    Ansonsten sehe ich wenig Angriffsszenarien.



    2 mal bearbeitet, zuletzt am 18.10.17 15:02 durch dsleecher.

  4. Re: Halten wir fest

    Autor: confuso 18.10.17 - 15:17

    dsleecher schrieb:
    --------------------------------------------------------------------------------
    > Was übrigbleibt ist, dass mein Nachbar u.U. den Zugriff auf mein lokales
    > NAS mitschneiden kann.
    > Ansonsten sehe ich wenig Angriffsszenarien.

    Das tangiert den typischen "ich habe ja nichts zu verbergen"-Bürger vermutlich deutlich mehr als bei der NSA.

  5. Re: Halten wir fest

    Autor: Niaxa 18.10.17 - 15:24

    Das wiederum würde sofort auffallen, da dann kein einziges Gerät mehr verbunden werden kann im Netzwerk. Dann habe ich auch keinen Zugriff mehr auf ein Netzwerk, sondern auf einen Router, an den nichts mehr angebunden ist, abgesehen von Lan angeschlossenen Geräten. Was im privaten Bereich seltener ist.

    Im Geschäftsumfeld wird ein geändertes WLAN sofort auffallen.

  6. Re: Halten wir fest

    Autor: bombinho 18.10.17 - 19:30

    Die Passwortaenderung war nur als Extrembeispiel gedacht.
    Wenn man mehr Zeit und Laune hat, dann eher eine "Stoerung", die den Nutzer dazu bringt, sich einzuloggen oder eben den Router selbst auf den Auslieferungszustand zurueckzusetzen.

    Da dieser Angriffsvektor aber direkt im Transportlayer sitzt, weiss ich nicht ob es voellig unmoeglich ist, gar einen Fallback auf TKIP auszuhandeln.

  7. Re: Halten wir fest

    Autor: chefin 19.10.17 - 07:17

    bombinho schrieb:
    --------------------------------------------------------------------------------
    > Fast, bei mindestens einer Implementation ist das Manipulieren von Paketen
    > moeglich und damit selbstverstaendlich auch der Zugriff auf das Netzwerk.
    > Selbst wenn ich das WLAN-Passwort nicht erraten kann, so kann ich doch bei
    > diversen Routern mein Eigenes setzen, im Extremfall.
    >
    > Schau dir mal an, wie Router Status Checker funktionieren, gibt sogar
    > oeffentliche Datenbanken mit Steuerungsbefehlen.
    >
    > Das wuerde zwar unter Umstaenden den abgegriffenen Client etwas aus dem
    > Tritt bringen, aber was soll es, dafuer winkt der Vollzugriff und mit etwas
    > Glueck sogar das Zuschauen bei der Neuvergabe vom Routerpasswort.

    Und genau das ist es was nicht passieren wird. Du stellst dich in Reichweite(und damit wohl auf dem Firmengelände oder zumindest sehr nach dran) des WLAN hin und änderst das Passwort, so das die Clients nicht mehr drauf kommen. Ja, ne is klar. Suizid geht aber weniger schmerzvoll als diese Variante.

    Ist so realistisch wie das Scenario dir deine Bezahlkarten klauen und dich solange prügeln bis du die Pins rausrückst, auf offenere Strasse.

    Also lass mal stecken. Zumal man erstmal die Änderungsmöglichkeiten via WLAn aktivieren müsste. Alle Einstelloptionen sind an Kabel gebunden standardmässig.

  8. Re: Halten wir fest

    Autor: bombinho 19.10.17 - 12:45

    Interessant, hast Du auch ueber die Verbreitung von Signalen (omnidirectional/unidirectional) nachgedacht?

    Und nein, wir reden nicht von Geraeten zu denen man ein serielles Kabel zur Administration ziehen muss. Sondern von Geraeten wie sie millionenfach ueber den Ladentisch gehen und auch in mittelgrossen Firmen durchaus gefunden werden koennen. (mein Erfahrungswert)



    2 mal bearbeitet, zuletzt am 19.10.17 12:49 durch bombinho.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Autobahndirektion Südbayern, München
  2. Netze BW GmbH, Karlsruhe
  3. JOB AG Industrial Service GmbH, Erfurt
  4. Bosch Gruppe, Abstatt

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 31,99€
  2. ab 69,99€ mit Vorbesteller-Preisgarantie (Release 26.10.)
  3. 59,98€ mit Vorbesteller-Preisgarantie (Release 12.10.)
  4. (u. a. The Crew 2 für 39,99€, Tom Clancy's Ghost Recon Wildlands für 16,99€ und Rayman 3 für...


Haben wir etwas übersehen?

E-Mail an news@golem.de


Energietechnik: Die Verlockung der Lithium-Luft-Akkus
Energietechnik
Die Verlockung der Lithium-Luft-Akkus

Ein Akku mit der Energiekapazität eines Benzintanks würde viele Probleme lösen. In der Theorie ist das möglich. In der Praxis ist noch viel Arbeit nötig.
Von Frank Wunderlich-Pfeiffer

  1. Elektroautos CDU will Bau von Akkuzellenfabriken subventionieren
  2. Brine4Power EWE will Strom unter der Erde speichern
  3. Forschung Akku für Elektroautos macht es sich im Winter warm

iOS 12 im Test: Auch Apple will es Nutzern leichter machen
iOS 12 im Test
Auch Apple will es Nutzern leichter machen

Apple setzt mit iOS 12 weniger auf aufsehenerregende Funktionen als auf viele kleine Verbesserungen für den Alltag. Das erinnert an Google und Android 9, was nicht zwingend schlecht ist.
Ein Test von Tobias Költzsch

  1. Apple iOS 12.1 verrät neues iPad Pro
  2. Apple Siri-Kurzbefehle-App für iOS 12 verfügbar

Segelflug: Die Höhenflieger
Segelflug
Die Höhenflieger

In einem Experimental-Segelflugzeug von Airbus wollen Flugenthusiasten auf gigantischen Luftwirbeln am Rande der Antarktis fast 30 Kilometer hoch aufsteigen - ganz ohne Motor. An Bord sind Messinstrumente, die neue und unverfälschte Daten für die Klimaforschung liefern.
Ein Bericht von Daniel Hautmann

  1. Luftfahrt Nasa testet leise Überschallflüge
  2. Low-Boom Flight Demonstrator Lockheed baut leises Überschallflugzeug
  3. Elektroflieger Norwegen will elektrisch fliegen

  1. Streaming: ARD-Vorsitzender Wilhelm plant "europäisches Youtube"
    Streaming
    ARD-Vorsitzender Wilhelm plant "europäisches Youtube"

    Statt nur mit den privaten Fernsehsendern zusammenzugehen, will der ARD-Chef die öffentlich-rechtlichen Sender Europas auf einer Streamingplattform zusammenschließen. Das Angebot soll nicht gebührenfinanziert sein. Germanys Gold wird Europeans Gold.

  2. Comcast: Bezahlsender Sky für 38,8 Milliarden US-Dollar verkauft
    Comcast
    Bezahlsender Sky für 38,8 Milliarden US-Dollar verkauft

    Sky gehört nun mehrheitlich dem US-Kabelnetzbetreiber Comcast. Eine Bietergruppe um Rupert Murdoch und Disney konnte sich nicht durchsetzen.

  3. Verwertungskette: Deutsche Kinos kämpfen gegen Netflix
    Verwertungskette
    Deutsche Kinos kämpfen gegen Netflix

    Die deutschen Arthouse-Kinos wollen eine Netflix-Produktion boykottieren. Es geht um nichts weniger als den Gewinner des Goldenen Löwen der Filmfestspiele von Venedig.


  1. 14:30

  2. 13:34

  3. 12:21

  4. 10:57

  5. 13:50

  6. 12:35

  7. 12:15

  8. 11:42