Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Krack-Angriff: Kein Grund zur Panik

Halten wir fest

  1. Thema

Neues Thema Ansicht wechseln


  1. Halten wir fest

    Autor: gaelic 18.10.17 - 12:24

    - WPA2 ist nicht geknackt
    - WPA2 Verbindungen können unter bestimmten Voraussetzungen mitgelesen werden

    Daraus folgt:

    - das interne Netzwerk ist und bleibt sicher
    - gesicherte Verbindungen nach außen sind nachwievor sicher
    - ungesicherte Verbindungen nach außen können mitgelesen werden

    Daraus folgt:
    - keine direkte Manipulation möglich
    - !! aber: Inhalte/User/Passwörter die über solche Verbindungen übertragen werden sind dann in den Händen des Angreifers

  2. Re: Halten wir fest

    Autor: bombinho 18.10.17 - 14:01

    Fast, bei mindestens einer Implementation ist das Manipulieren von Paketen moeglich und damit selbstverstaendlich auch der Zugriff auf das Netzwerk. Selbst wenn ich das WLAN-Passwort nicht erraten kann, so kann ich doch bei diversen Routern mein Eigenes setzen, im Extremfall.

    Schau dir mal an, wie Router Status Checker funktionieren, gibt sogar oeffentliche Datenbanken mit Steuerungsbefehlen.

    Das wuerde zwar unter Umstaenden den abgegriffenen Client etwas aus dem Tritt bringen, aber was soll es, dafuer winkt der Vollzugriff und mit etwas Glueck sogar das Zuschauen bei der Neuvergabe vom Routerpasswort.



    1 mal bearbeitet, zuletzt am 18.10.17 14:04 durch bombinho.

  3. Re: Halten wir fest

    Autor: dsleecher 18.10.17 - 14:58

    gaelic schrieb:
    --------------------------------------------------------------------------------
    > - ungesicherte Verbindungen nach außen können mitgelesen werden
    >
    > Daraus folgt:
    > - !! aber: Inhalte/User/Passwörter die über solche Verbindungen übertragen
    > werden sind dann in den Händen des Angreifers

    Ein Punkt finde ich noch wichtig klarzustellen:
    Der Angreifer kann im schlimmsten Fall genau so viel mitlesen wie:
    - Der WLAN-Betreiber (bei öffentlichen Hotspots)
    - Der Internetprovider
    - Alle Tier1-Provider auf dem Weg zum Server
    - NSA / BND
    - DECIX oder ähnliche Knotenpunkte auf dem Weg.

    Ein nicht Ende-zu-Ende verschlüsselte Verbindung (SSL oder TLS) ist nie vertrauenswürdig, solange ich nicht jedem einzelnen Teilnehmer in der Übertragungskette vollstes Vertrauen ausspreche. Es gibt mit KRACK nun lediglich einen Teilnehmer mehr, der mitlesen kann.
    Verbindungen ins offene Internet sehe ich daher nicht als Problem.

    Was übrigbleibt ist, dass mein Nachbar u.U. den Zugriff auf mein lokales NAS mitschneiden kann.
    Ansonsten sehe ich wenig Angriffsszenarien.



    2 mal bearbeitet, zuletzt am 18.10.17 15:02 durch dsleecher.

  4. Re: Halten wir fest

    Autor: confuso 18.10.17 - 15:17

    dsleecher schrieb:
    --------------------------------------------------------------------------------
    > Was übrigbleibt ist, dass mein Nachbar u.U. den Zugriff auf mein lokales
    > NAS mitschneiden kann.
    > Ansonsten sehe ich wenig Angriffsszenarien.

    Das tangiert den typischen "ich habe ja nichts zu verbergen"-Bürger vermutlich deutlich mehr als bei der NSA.

  5. Re: Halten wir fest

    Autor: Niaxa 18.10.17 - 15:24

    Das wiederum würde sofort auffallen, da dann kein einziges Gerät mehr verbunden werden kann im Netzwerk. Dann habe ich auch keinen Zugriff mehr auf ein Netzwerk, sondern auf einen Router, an den nichts mehr angebunden ist, abgesehen von Lan angeschlossenen Geräten. Was im privaten Bereich seltener ist.

    Im Geschäftsumfeld wird ein geändertes WLAN sofort auffallen.

  6. Re: Halten wir fest

    Autor: bombinho 18.10.17 - 19:30

    Die Passwortaenderung war nur als Extrembeispiel gedacht.
    Wenn man mehr Zeit und Laune hat, dann eher eine "Stoerung", die den Nutzer dazu bringt, sich einzuloggen oder eben den Router selbst auf den Auslieferungszustand zurueckzusetzen.

    Da dieser Angriffsvektor aber direkt im Transportlayer sitzt, weiss ich nicht ob es voellig unmoeglich ist, gar einen Fallback auf TKIP auszuhandeln.

  7. Re: Halten wir fest

    Autor: chefin 19.10.17 - 07:17

    bombinho schrieb:
    --------------------------------------------------------------------------------
    > Fast, bei mindestens einer Implementation ist das Manipulieren von Paketen
    > moeglich und damit selbstverstaendlich auch der Zugriff auf das Netzwerk.
    > Selbst wenn ich das WLAN-Passwort nicht erraten kann, so kann ich doch bei
    > diversen Routern mein Eigenes setzen, im Extremfall.
    >
    > Schau dir mal an, wie Router Status Checker funktionieren, gibt sogar
    > oeffentliche Datenbanken mit Steuerungsbefehlen.
    >
    > Das wuerde zwar unter Umstaenden den abgegriffenen Client etwas aus dem
    > Tritt bringen, aber was soll es, dafuer winkt der Vollzugriff und mit etwas
    > Glueck sogar das Zuschauen bei der Neuvergabe vom Routerpasswort.

    Und genau das ist es was nicht passieren wird. Du stellst dich in Reichweite(und damit wohl auf dem Firmengelände oder zumindest sehr nach dran) des WLAN hin und änderst das Passwort, so das die Clients nicht mehr drauf kommen. Ja, ne is klar. Suizid geht aber weniger schmerzvoll als diese Variante.

    Ist so realistisch wie das Scenario dir deine Bezahlkarten klauen und dich solange prügeln bis du die Pins rausrückst, auf offenere Strasse.

    Also lass mal stecken. Zumal man erstmal die Änderungsmöglichkeiten via WLAn aktivieren müsste. Alle Einstelloptionen sind an Kabel gebunden standardmässig.

  8. Re: Halten wir fest

    Autor: bombinho 19.10.17 - 12:45

    Interessant, hast Du auch ueber die Verbreitung von Signalen (omnidirectional/unidirectional) nachgedacht?

    Und nein, wir reden nicht von Geraeten zu denen man ein serielles Kabel zur Administration ziehen muss. Sondern von Geraeten wie sie millionenfach ueber den Ladentisch gehen und auch in mittelgrossen Firmen durchaus gefunden werden koennen. (mein Erfahrungswert)



    2 mal bearbeitet, zuletzt am 19.10.17 12:49 durch bombinho.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Bosch Gruppe, Berlin
  2. OKI EUROPE LIMITED, Branch Office Düsseldorf, Düsseldorf
  3. Giesecke+Devrient Mobile Security GmbH, München
  4. CSL Behring GmbH, Marburg, Hattersheim am Main

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. (-79%) 4,25€
  2. (-81%) 5,75€
  3. 25,99€
  4. (-70%) 8,99€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Resident Evil 2 angespielt: Neuer Horror mit altbekannten Helden
Resident Evil 2 angespielt
Neuer Horror mit altbekannten Helden

Eigentlich ein Remake - tatsächlich aber fühlt sich Resident Evil 2 an wie ein neues Spiel: Golem.de hat mit Leon und Claire gegen Zombies und andere Schrecken von Raccoon City gekämpft.
Von Peter Steinlechner

  1. Resident Evil Monster und Mafia werden neu aufgelegt

IT: Frauen, die programmieren und Bier trinken
IT
Frauen, die programmieren und Bier trinken

Fest angestellte Informatiker sind oft froh, nach Feierabend nicht schon wieder in ein Get-together zu müssen. Doch was ist, wenn man kein Team hat und sich selbst Programmieren beibringt? Women Who Code veranstaltet Programmierabende für Frauen, denen es so geht. Golem.de war dort.
Von Maja Hoock

  1. Job-Porträt Die Cobol Cowboys auf wichtiger Mission
  2. Software-Entwickler CDU will Online-Weiterbildung à la Netflix
  3. Job-Porträt Cyber-Detektiv "Ich musste als Ermittler über 1.000 Onanie-Videos schauen"

Drahtlos-Headsets im Test: Ohne Kabel spielt sich's angenehmer
Drahtlos-Headsets im Test
Ohne Kabel spielt sich's angenehmer

Sie nerven und verdrehen sich in den Rollen unseres Stuhls: Kabel sind gerade bei Headsets eine Plage. Doch gibt es so viele Produkte, die darauf verzichten können. Wir testen das Alienware AW988, das Audeze Mobius, das Hyperx Cloud Flight und das Razer Nari Ultimate - und haben einen Favoriten.
Ein Test von Oliver Nickel

  1. Sieben Bluetooth-Ohrstöpsel im Test Jabra zeigt Apple, was den Airpods fehlt
  2. Ticpods Free Airpods-Konkurrenten mit Touchbedienung kosten 80 Euro
  3. Bluetooth-Ohrstöpsel im Vergleichstest Apples Airpods lassen hören und staunen

  1. Kryptowährungen: Nutzer können für Razer minen und erhalten Spielgeld
    Kryptowährungen
    Nutzer können für Razer minen und erhalten Spielgeld

    Nutzer erhalten virtuelles Silber, wenn sie mit ihrer Grafikkarte für Razer Hashwerte errechnen. Das Geld können sie für Hardware oder Ingame-Inhalte ausgeben. Es ist nicht ganz klar, wie viel Gegenwert Gamer erhalten - der dürfte aber nicht an die Stromkosten heranreichen, die dadurch anfallen.

  2. Mutant Year Zero im Test: Xcom plus postnukleare Ente
    Mutant Year Zero im Test
    Xcom plus postnukleare Ente

    Die Taktiküberraschung der Saison schmeckt nach Geflügel: Das düstere, witzige und fordernde Mutant Year Zero macht vor, wie ein gutes Taktik-Rollenspiel funktioniert. Fans von Fallout und Xcom sollten zubeißen.

  3. Vivo Nex Dual Screen: Vivo stellt Smartphone mit zwei Displays vor
    Vivo Nex Dual Screen
    Vivo stellt Smartphone mit zwei Displays vor

    Nach Nubia stellt mit Vivo der zweite chinesische Hersteller binnen kurzer Zeit ein Smartphone mit zwei Displays vor: Neben dem Hauptbildschirm befindet sich ein zweiter, kleinerer auf der Rückseite. Eine Frontkamera hat das Nex Dual Screen entsprechend nicht mehr.


  1. 14:20

  2. 14:00

  3. 13:30

  4. 13:13

  5. 12:07

  6. 11:36

  7. 10:46

  8. 10:31