WPA2 unsicher: KRACK hebelt WLAN-Verschlüsselung aus

[Marcel Bresink]

Die haben eh von nichts einen Plan.

Wie kommst Du denn zu dieser Einschätzung?

Viele Websites nutzen ohnehin HTTPS, sodass da so ohne Weiteres nichts passieren kann.

Da gab es in der Vergangenheit auch zahlreiche Bugs, besonders in Banken-Apps. Sowohl die Original-Autoren von KRACK als auch das BSI warnen deshalb davor, sich nicht nur auf HTTPS zu verlassen.

 

[Mitglied 105235]

Ein MITM bei HTTPS ist aber nicht so trivial - zumindest sollte dies dem Opfer auffallen.

Sicher?

Diversen Nutzern fällt doch nicht mal auf ob es eine Original E-Mail ist oder eine Phising-Mail, obwohl man sich sehr oft nur einfach mal statt den Namen die E-Mail Adresse anzeigen lassen müsste. Und schon wird auf in der E-Mail enthaltende Link geklickt und gibt (wenn man sich den nur ein bisschen genauer ansieht, sieht man das es kein Original Seite ist) und geben dann auf schlecht Übersetzten Seiten Ihre Zugagnsdaten für alles Mögliche ein.

Entsprechend finde ich das aktuelle Art von Warnen nicht so verkehrt, denn es schützt so mehr die komplett Ahnungslosen mehr als wenn diverse Sachen oder Ausnahmen erwähnt werden.

 

[ottomane]

Da muss aber schon einiges zusammenkommen, damit das zum Risiko wird

Die "richtige" Bank mit einer verbuggten App/Webclient, einem Kunden, der das nutzt, ein ungepatchtes WLAN sowie ein Hacker vor der Haustür, der das gleichzeitig nutzen kann.

Aber gut, letztlich habt ihr ja Recht. Vorsicht ist die Mutter der Porzellankiste.

 

[echo.park]

Wie kommst Du denn zu dieser Einschätzung?

Das ist doch dieser Verein, der dazu rät sämtliche Passwörter regelmäßig zu ändern. Und dabei ignoriert, dass diese Praxis von führenden Experten weltweit als "überholt" eingestuft wird. Dazu kommen dann noch die ebenfalls "überholten" Richtlinien, wie solche Passwörter auszusehen haben.

Dann erinnere ich mich an die E-Mail-Leaks der vergangenen Zeit. Paar Millionen Datensätze hier und da. Man solle doch bitte prüfen, ob man betroffen sei, durch Eingabe der eigenen Adresse auf einer Webseite. Ist man nicht betroffen kommt eine Mail zurück, ist man betroffen dann nicht. Wo ist denn da die Logik?! Ist der Server überlastet, gab es Probleme mit dem Spamfilter? Kam denn nun eine Mail oder nicht?!

Das mal so ganz knapp als zwei Beispiele, welche Kompetenz da so beim BSI zu finden ist und immer wieder zu Tage tritt.

 

[MichaNbg]

Das ist doch dieser Verein, der dazu rät sämtliche Passwörter regelmäßig zu ändern. Und dabei ignoriert, dass diese Praxis von führenden Experten weltweit als "überholt" eingestuft wird. Dazu kommen dann noch die ebenfalls "überholten" Richtlinien, wie solche Passwörter auszusehen haben.

Da sind sie aber in bester Gesellschaft. Auch Apple rät noch nach diesen "veralteten" Richtlinien.
https://support.apple.com/en-us/HT201303


Das heißt, Apple hat also auch "von nichts einen Plan"?


Mit solchen Urteilen wäre ich in der Tat mehr als vorsichtig.

 

[Balkenende]

Perfekt - Lancom hat eben einen Patch zur Verfügung gestellt. Ergebnis, WLAN geht gar nicht mehr im Laden.

Sicherer gehts natürlich nicht

 

[echo.park]

Da sind sie aber in bester Gesellschaft. Auch Apple rät noch nach diesen "veralteten" Richtlinien.
https://support.apple.com/en-us/HT201303


Das heißt, Apple hat also auch "von nichts einen Plan"?


Mit solchen Urteilen wäre ich in der Tat mehr als vorsichtig.

Dann eben so: "Die haben von so einigen Dingen keinen Plan."

Besser?

Edit:
Und Apple hat in einigen Belangen Nachholbedarf, zum Thema Sicherheit. Auch das steht außer Frage.

 

[MichaNbg]

Patches sollten immer erst einmal in DEV oder QS getestet werden, bevor man sie in Produktion bringt.

Wobei es bei einem "Laden" schwierig sein dürfte, Aufwand und Kosten für eine IT-Testumgebung zu begründen

 

[Mitglied 105235]

Aber gut, letztlich habt ihr ja Recht. Vorsicht ist die Mutter der Porzellankiste.

Richtig

Das heißt, Apple hat also auch "von nichts einen Plan"?

Glaubt man so machen Usern hier, dann ja, dann hat Apple von nichts einen Plan und Baut nur Produkte und Software die die Kunden nicht wollen.

 

[Balkenende]

Patches sollten immer erst einmal in DEV oder QS getestet werden, bevor man sie in Produktion bringt.

Wobei es bei einem "Laden" schwierig sein dürfte, Aufwand und Kosten für eine IT-Testumgebung zu begründen

Haben wir!

Mal sehen, was unsere IT-Firma dazu sagt

Nein. Alles ganz einfach. Wir haben zusätzlich einen Securepoint und der schnappt zu. Gleich geregelt.

 

[u0679]

Das ist doch dieser Verein, der dazu rät sämtliche Passwörter regelmäßig zu ändern. Und dabei ignoriert, dass diese Praxis von führenden Experten weltweit als "überholt" eingestuft wird. Dazu kommen dann noch die ebenfalls "überholten" Richtlinien, wie solche Passwörter auszusehen haben.

Das wird auch bei Microsoft in den Richtlinien der GPO noch so umgesetzt und nennt sich "komplexe Kennwortrichtlinien".

 

[MichaNbg]

Glaubt man so machen Usern hier, dann ja, dann hat Apple von nichts einen Plan und Baut nur Produkte und Software die die Kunden nicht wollen.

Dafür verkaufen die aber ganz schön viel...

 

[Mitglied 105235]

Dafür verkaufen die aber ganz schön viel...

Deswegen sagte ich ja auch nur so machen Usern.

Das auch bei Apple nicht alles Gold ist was glänzt brauche ich dir ja nicht zu sagen. Ich selbst bin mit den Apple Produkten nicht ganz zufrieden aber auch nicht komplett unzufrieden und deswegen habe ich sie noch. Jedoch fehlt mir aktuell der wirkliche Anreiz neues von Apple zu kaufen (bis auf hin und wieder mal eine neues iPhone).

 

[MichaNbg]

Deswegen sagte ich ja auch nur so machen Usern.

Das auch bei Apple nicht alles Gold ist was glänzt brauche ich dir ja nicht zu sagen. Ich selbst bin mit den Apple Produkten nicht ganz zufrieden aber auch nicht komplett unzufrieden und deswegen habe ich sie noch. Jedoch fehlt mir aktuell der wirkliche Anreiz neues von Apple zu kaufen (bis auf hin und wieder mal eine neues iPhone).

Als normal kritischer Benutzer wirst du hier wirklich zwischen den Fronten aufgerieben.

Auf der einen Seite die (große) Fraktion der "Wenn Apple es macht ist es super!"-Apologeten. Auf der anderen Seite die "Apple ist total veralteter, überteuerter Scheisskram, den kein Mensch braucht. Alles furchtbar!"-Hohe Priester.

Mit "Ich mag meine Apple Produkte, aber das und das könnte man besser machen" stehst du dazwischen. Für die einen bist du Apple-hörig, für die anderen ein Apple-Feind.

 

[Mitglied 105235]

Als normal kritischer Benutzer wirst du hier wirklich zwischen den Fronten aufgerieben.

Wichtig ist nur das man immer schön sagt das man nur seine Meinung sagt und nicht für alle spricht ^^

Auf der einen Seite die (große) Fraktion der "Wenn Apple es macht ist es super!"-Apologeten. Auf der anderen Seite die "Apple ist total veralteter, überteuerter Scheisskram, den kein Mensch braucht. Alles furchtbar!"-Hohe Priester.

Diese "große" Fraktion findet man hier aber nur weil es ein Apple Forum ist ^^

Mit "Ich mag meine Apple Produkte, aber das und das könnte man besser machen" stehst du dazwischen. Für die einen bist du Apple-hörig, für die anderen ein Apple-Feind.

So war es aber doch schon immer, "bist du nicht für mich bist du automatisch gegen mich". Das es auch was dazwischen gibt wird gekonnt ignoriert oder mit typischen Phrasen weg "argumentiert". Gleiche mit den Gutmenschen auf der einen Seite und auf der anderen Seite sofort dass Rechte Pack (wenn man so machen Politiker hier zitieren möchte), dass es immer noch etwas zwischen drinnen gibt und das diese sich natürlich auch mal auf der eine Seite befinden und dann auf der anderen Seite, wird gekonnt Ignoriert oder Typischen Phrasen weg "argumentiert".


Bzgl. der Krack Sicherheitslücke nun, so habe ich auch schon Kommentare auf diversen Blog gelesen und auch bei Twitter. Das es doch Arm sei von Apple, denn seit Juni wüssten sie davon und haben es in keine Final Version bis jetzt gepackt, sondern nur in die aktuellen Betas. Microsoft dagegen wird gelobt, denn die haben es wohl mit den am 10 Oktober veröffentlichten Update schon gefixt.

Sicherlich ist es irgendwie seltsam das Apple, nicht schon eher den Fix bereit gestellt hat, jedoch weiß ich auch nicht wie viele Bug Reports seit dem bei Apple eingingen und da waren vielleicht Kritischere dabei. Als eine Konstellation wo ein Opfer und ein Angreifer sich im gleichen Netzwerk befinden müssen und das Opfer dann auch noch eine normale http Variante beim Bsp Online Banking nutzt.

Auf der anderen Seite kann ich verstehen warum Microsoft das schon gefixt hat, denn auch wenn Apple immer gerne in ihren Keynotes erwähnt um wie viel mehr sie nun Macs verkaufen konnten. So sind sie auf den Rechner Markt immer noch ein ganz kleines Würmchen und kommen bei weiten da nicht an Microsoft ran was so in den Unzähligen Unternehmen eingesetzt wird. Entsprechend ist hier der Druck dann ja gleich viel größer auf Microsoft das schnell zu fixxen als auf Apple.

 

[echo.park]

Bei Apple gibt es noch so viele Baustellen, vor allem was die Software angeht. Aber unterm Strich ist das alles konkurrenzlos gut, trotzdem. Deswegen bleibe ich Apple User. Ein zufriedener User ohnehin.

 

[ullistein]

Natürlich ist dieses Leck dramatisch und es gehört so schnell wie möglich gefixt.

Aber man sollte die Kirche mal im Dorf lassen, diese Lücke ist wohl noch nie ausgenutzt worden und derjenige, der das vor hat, muss im direkten Empfangsbereich des jeweiligen WLANs sein. Also, die Wahrscheinlichkeit, dass es einen selber in nächster Zeit treffen wird, dürfte so im Bereich eines Lottogewinns liegen.

 

[ottomane]

Ich gebe mal eine Info von AVM weiter, da hier sicher so einige Nutzer sind.

Eine FRITZ!Box am Breitbandanschluss ist nach aktuellem Stand nicht von der "Krack" genannten WLAN-Sicherheitslücke betroffen, da sie als Access Point die betroffene Norm 802.11r nicht verwendet.

https://avm.de/aktuelles/kurz-notiert/2017/wpa2-luecke-fritzbox-ist-sicher/

 

[Joh1]

Ich gebe mal eine Info von AVM weiter, da hier sicher so einige Nutzer sind.



https://avm.de/aktuelles/kurz-notiert/2017/wpa2-luecke-fritzbox-ist-sicher/

Damit ist das Thema zumindest soweit für mich erledigt das ich mir aktuell keine weiteren Gedanken mache sollte nicht andere Informationen noch auftauchen.

 

[Marcel Bresink]

Damit ist das Thema zumindest soweit für mich erledigt das ich mir aktuell keine weiteren Gedanken mache sollte

Nicht, dass das falsch verstanden wird: Der Artikel sagt nicht, dass WLAN-Netze immun wären, wenn man als Basisstation eine Fritzbox verwendet.

Der Artikel sagt nur, dass die Fritzbox selbst nicht aktualisiert werden muss, weil sie kein "Roaming Client" ist. Alle anderen Teilnehmer des WLANs sollten jedoch nach wie vor gepatcht werden.