WPA2 ist geknackt!

Clientseite wäre wichtiger

 

Sag ich doch sowohl HTTPS als auch TLS sind nicht sicher, wie auch, es gibt ja noch das Problem das vor dem Bildschirm sitzt

 

Mir scheint es als würden jetzt alle am Rad drehen. Dabei muss immer noch jemand gezielt diesen Angriff auf das eigene private WLAN ausführen, das zu einem Zeitpunkt wenn _gerade_ sensible Transaktionen durchgeführt werden, oder er/sie schneidet willkürlich über längere Zeit mit und prouziert dabei jede Menge Datenmüll, der auch erstmal gesichtet sein will. Ganz ehrlich? Kurzfristig stellt die Lücke vor allem ein Risiko für Unternehmen ohne VPN dar, für den Privatanwender ist das Risiko gemessen an der Wahrscheinlichkeit eines Angriffs auf das eigene Wlan überschaubar. Kein Grund durchzudrehen, sofern man die Lücke in absehbarer Zeit schließt.

Edit: Und wer sicher Online-Banktransaktionen durchführen will, macht das halt übergangsweise besser über das Mobilfunknetz.

 

Doch, sie sind sicher. Sonst hätten wir ganz andere Probleme.

 

Der Zettel ist aber ganz grob ausgedrückt in einem versiegelten Umschlag, du beschreibst den Zustand keiner Verschlüsselung.

Du kannst dir das so vorstellen: Vorher kamst du nicht einmal in den raum, in dem der Umschlag ausgetauscht wurde. Jetzt weißt und siehst du, dass ein Umschlag ausgetauscht wird (weil du es beobachtest), kannst den Inhalt aber nicht erkennen.

 

https://de.wikipedia.org/wiki/Man-in-the-Middle-Angriff

 

Und "Man in the Middle" ist gerade bei öffentlichen WLAN viel wahrscheinlicher als ein obskurer WPA2 hack

 

Ja. Bekommt man aber mit wenn im Browser plötzlich eine Zertifikatsmeldung kommt.

 

Ich glaub wenn ich jetzt 10 Leute auf der Straße frage halten 8 davon ein "Zertifikat" für die garantieurkunde ihres Staubsaugers

 

Irrelevant.
Die Browser bringen bei sowas quasi eine Terrorwarnmeldung, damits auch der letzte Depp kapiert.

 

Wie sieht's denn eigentlich mit Geräten wie Scannern (etc) aus, die im WLAN hängen? Ich nehme mal, dass die ihre Daten üblicherweise nicht verschlüsselt übertragen und somit bei unsicherem WLAN alles mitgelesen werden könnte?

 

Leider sind die Meldungen irreführend designet und verleiten praktisch zum Zulassen unsicherer Verbindungen...

Da steht dann sowas wie "wenn Sie dieser Seite vertrauen fügen Sie eine Ausnahme hinzu". Genau dann sollte man es eben nicht tun, weil die Wahrscheinlichkeit hoch ist dass man gerade nicht zu amazon.de sonder zu einer Phisingseite geschleust wird.

 

https://badssl.com/ (self-signed und untrusted-root sind wohl am wahrscheinlichsten)

So irreführend find ich das nicht.

Bei Chrome:

Firefox:

Wer dann noch klickt ist doof, insbesondere bei Bankseiten uÄ.

 

Eigentlich müsste der Browser Rot blinken und Warngeräusche abspielen

Genauso Virenscanner... ich hatte oft genug das Leute mir sagen "Computer kaputt" was war, die haben Schadsoftware installiert mit der Begründung "Aber ich hab doch nen Virenscanner..." klar wenn man alle Warnungen wegklickt

 

mal ne blöde frage: was kann ein häcker, der im gleichen wlan netz hängt, beim online banking des anderen großartig machen ? kann er mir zugucken was ich mache und sehen, wieviel geld auf dem konto liegt? wohl möglich
nur was kann er dann damit machen? wenn ich eine überweisung tätige und er sieht dann, das ich eine transaktion löse, sieht er die tan anfrage, welche ich per handy (sms) dann auch beantworte. nur in dem moment wo ich die tan eingebe, ist sie auch schon benutzt und damit nutzlos. ohne dem handy hat er kein zugriff auf neue tan nummern.
was kann der hacker also nun machen ?

 

Hier ist aber auch ein Problem, dass man als Anwender gerade bei Windows (zumindest die früheren Versionen, bei den neuen weiß ichs nicht) endlos mit Warnungen zugespamt wird. Den 0815-IchArbeiteMitDemPcWeilIchDasMuss-Anwender überfordert das und ihm fehlt auch das Hintergrundwissen um solche Meldungen einordnen zu können. "Ist alles wichtig, ist irgendwann nichts mehr wichtig" sollten sich da auch die Hersteller durchaus mal zu Herzen nehmen.

 

https://www.heise.de/newsticker/mel...ckt-WPA2-und-wir-stehen-im-Regen-3863929.html

Heisse verlangt das die Regierung Hand anlegt und eine Sicherheits-Update Pflicht einführen soll die auch automatisch installiert werden.
Als Erster Schritt solle erst mal eine Kennzeichnungspflicht her die sagt wie lange das gekaufte gerät mit Sicherheits-Updates versehen wird.

Bin da geteilter Meinung aber es muss was passieren weil es so viele "Smat-Things" gibt die sich ins Wlan einwählen und dann nie ein Update bekommen um eventuell vorhandene Sicherheitslücken zu schließen.

 

Das mit der Kennzeichnungspflicht über die Supportdauer begrüße ich, gerade bei Android kauft man da ja häufig die Katze im Sack.

 

Die meisten Smart geräte kann man überhaupt nicht updaten.

Ein freund von mir hat so einen Kühlschrank, da läuft ein uralt Java drauf...

 

Ja aber WPA2 ist jetzt ja angreifbar. Viele werden weder ihren Router updaten (bzw. nen neuen kaufen) noch irgendeinen Scanner. Das kann man dann doch alles mitschneiden.

 

Naja wenn du zufällig in nem Haus mit 3-4 kleineren Kanzleien wohnst, ist die Verlockung schon groß, da vielleicht mal nen Blick in die Scans zu werfen.
Ich sag ja auch nicht, dass die Leute nicht schuld sind. Aber realistisch betrachtet, wird da einiges nicht geupdatet/neu gekauft werden.

 

Wenn ist immer noch erstmal der Hersteller des Routers bzw. der Firmware für das Update verantwortlich. AVM hat zu seinen Routern auch erstmal Entwarnung gegeben. Und für deren Repeater sollen wohl bald auch Updates kommen.

 

Sicher, aber zumindest die Kabel-Boxen kannst du nur mit speziellen Firmwares von Unity updaten. Ich hatte mal die Fritz!Box 6340, die es nicht mal im Handel gab. Da war ich immer auf spezielle Firmware Updates von KabelBW / Unitymedia angewiesen.

 

Was heißt nicht hinbekommen. Die können schon, wenn sie wollen, aber aktuell sind sie eher auf Kundenfang aus.
Nachdem KabelBW vor einigen Jahren von Unity übernommen wurde und ich von Unity nur negatives gehört habe, konnte ich die Negativmeldungen nach kurzer Zeit nur bestätigen.
Mit KabelBW hatte ich, seit ich nen Vertrag von denen hatte, ungelogen 2 Mal nachts Ausfälle, das waren aber Großstörungen und die wurden nachts gegen 2 bis 3 Uhr beseitigt.
Mit Unity dagegen hatte ich jedes Wochenende Probleme. Bin dann zu O2 / Telekom und keine Probleme mehr.

 

Unitymedia bezieht die Kisten (inkl Software dadrauf) bei AVM, die müssen die Updates dafür machen. Unitymedia schreibt die Software doch nicht selbst. AVM sagt zudem das dieses WPA2 Problem einen großteil ihrer Router nicht mal betrifft

 

Hier die Info von AVM:
https://avm.de/aktuelles/kurz-notiert/2017/wpa2-luecke-fritzbox-am-breitbandanschluss-ist-sicher/

 

Ich meinte das auch eher auf die Updates bezogen. Wenn Dj3k schon sagt, es kursiert aktuell Firmware 6.80 und auf seiner Fritzbox ist noch 6.50 drauf. Dieselbe Erfahrung hatte ich mit Kabel nunmal auch. Unity wird sich halt sagen, dass die alte Firmware genauso tut. Ob die nun vom Bug betroffen ist oder nicht ist ja egal, aber Updates kommen da eher selten.

 

Geh lieber wieder zur Telekom, auch wenn die Leistung mit vDSL nur die Hälfte ist (DSL 50k). Aber mit denen hatte ich wenigstens nie Probleme.
Bin auch von Unity weg, nachdem sie wieder ne Preiserhöhung (minimal um 3-4 Euro) angekündigt hatten, aber ich hatte genug von dem Verein.

 

Die Unitymedia-Fritzboxen haben so wie die Router der meisten anderen provider ein Branding, das bedeutet, dass jede neue Software auch irgendwie nochmal über Unitymedia abgenommen oder sogar modifizert wird. Und nicht selten ist sowas der Flaschenhals wenn es um die Aktualität von Updates geht.

 

So und nicht anders.
Über O2 / Telekom hab ich damals ne 7390 Fritzbox bekommen, da durfte ich Firmware Updates auch selbst durchführen. Die Kabelboxen hingegen sind vom Provider abhängig was Firmware Updates angeht.

 

Hui... nice
An meinem aktuellen Wohnort hab ich eh nur 16k und am Wochenende ist die Leitung meist dicht Das hatte ich mit Unity aber auch.

 

Aktuell habe ich 2 Router am Netz, weil der erste Router vom Internetanbieter kein WLan hatte, welcher aber mitlerweile gegen einen mit WLan(THOMSON TWG870 müsste das sein) getauscht wurde. Der Router vom Internetanbieter wurde noch nicht gepatcht, mein eigener Netgear(WNR 1000) hingegen schon, reicht das aus? Also die Verbindung läuft aktuell so: Internetanbieter Router - > eigener Router - > PC.

Hat es ansonsten irgendwelche Nachteile, zwei Router angeschlossen zu haben? Habe ich mir ehrlich gesagt nie Gedanken drüber gemacht.

 

Wenn das passiert weiß dein Hacker dein Passwort. Nein kann er nicht außer du lässt es zu. (Cert-Warnung weggeklickt)
Gilt natürlich nicht wenn du anderen Müll am Rechner hast.

Die APs sind nicht aber nicht das Problem.

 

Er kann deine Handynummer rausfinden, dann eine SMS Weiterleitung eineichten und zack, kann er lustig überweisen wie er will.

Wirklich sicher sind nur TAN Listen auf Papier.

 

Dafür sind die sehr anfällig für Phishing weil sie generell gültig sind und nicht nur für eine bestimmte Transaktion generiert werden. SMS-Tan sollte man aber tatsächlich nicht mehr nutzen, das Handynetz ist viel zu anfällig für Attacken.

 

https://hashcat.net/forum/thread-7717.html

Wie schlimm ist das? Klingt ziemlich drastisch.

 

Schach .. matt.

 

Ist mit starker Passphrase wohl nur ein theoretisches Problem.

AVM dürfte sich aber gerade freuen dass eines ihrer großen Features von Fritz!OS7 sie angreifbar macht

 

c:\>format fritz.box