WPA2 unsicher: KRACK hebelt WLAN-Verschlüsselung aus

[Papa_Baer]

Mal gespannt wann sich die Telekom dazu äußert.

 

[Joh1]

Der Artikel sagt nur, dass die Fritzbox selbst nicht aktualisiert werden muss, weil sie kein "Roaming Client" ist. Alle anderen Teilnehmer des WLANs sollten jedoch nach wie vor gepatcht werden.

Da hat Apple ja zum glück schon gute Arbeit gemacht und die Betas enthalten den Patch schon in allen Betriebssystemen.

 

[u0679]

Der Artikel sagt nur, dass die Fritzbox selbst nicht aktualisiert werden muss, weil sie kein "Roaming Client" ist. Alle anderen Teilnehmer des WLANs sollten jedoch nach wie vor gepatcht werden.

Also ist es egal ob nur einer der Teilnehmer oder alle im WLAN betroffen sind?

 

[ottomane]

Also ist es egal ob nur einer der Teilnehmer oder alle im WLAN betroffen sind?

Gefährdet sind die Clients. Ist ein Client ungepatcht, kann man theoretisch den von dort ausgehenden Datenverkehr mithören oder verändern, sofern dieser nicht zusätzlich verschlüsselt ist.

 

[u0679]

Danke @ottomane

 

[kelevra]

Gefährdet sind die Clients. Ist ein Client ungepatcht, kann man theoretisch den von dort ausgehenden Datenverkehr mithören oder verändern, sofern dieser nicht zusätzlich verschlüsselt ist.

Genau das führt die "Warnung" vom BSI kein Online Banking zu nutzen auch völlig ad absurdum. Als ob es kein https gäbe... Typisch "Behörden". Hauptsache mal den Ahnungslosen Bürger unnötig Angst gemacht, weil man selber keinen Plan hat.

 

[u0679]

Da gab es in der Vergangenheit auch zahlreiche Bugs, besonders in Banken-Apps

Genau das führt die "Warnung" vom BSI kein Online Banking zu nutzen auch völlig ad absurdum

Was stimmt jetzt?

 

[kelevra]

Bugs in Apps sind eines, https auf der Website was anderes.

Im Paper der Forscher steht explizit:

This enables the injection of data into unencrypted HTTP connections.

Brian Krebs schreibt in seinem Artikel zu KRACK ebenfalls, dass Ende-zu-Ende verschlüsselte Kommunikation nicht gelesen werden kann.

Wenn natürlich Apps oder Webseiten Daten unverschlüsselt durchs Netz posaunen, ist der Inhalt lesbar.

Ich denke das Risiko ist überschaubar.

 

[Marcel Bresink]

Das Risiko ist nicht groß, aber nochmals: Der blinde Glaube daran, dass eine Verschlüsselung auf anderer Ebene sicher wäre, ist genauso naiv und unseriös.

Die Autoren des Papers stellen in ihrem Originalartikel ein Angriffsszenario vor, bei dem man zum Beispiel das unverschlüsselte NTP-Protokoll (Zeitsynchronisation) manipuliert. Dadurch kann man quasi die Uhr des Clients anhalten. Das wiederum kann man dazu nutzen, die "Anti-Replay"-Techniken auszuhebeln, die von vielen angeblich "sicheren" Protokollen genutzt werden. Dazu zählen alle auf Zertifikaten basierenden Verfahren, DNSSEC, Kerberos, Bitcoin, usw. Deren Sicherheit ist dann zumindest als eingeschränkt zu bezeichnen.

 

[kelevra]

Das Risiko ist nicht groß, aber nochmals: Der blinde Glaube daran, dass eine Verschlüsselung auf anderer Ebene sicher wäre, ist genauso naiv und unseriös.

Absolute Zustimmung. Natürlich sollte man sich nicht blind auf die Sicherheit von bspw. https verlassen, das wollte ich damit natürlich nicht sagen.

Es ist aber mitnichten so, und so kommt es zumindest seitens des BSI und den Medien rüber, dass man nun tunlichst auf Online Banking verzichten sollte.

Dabei handelt es sich ja um ein Sicherheitsproblem, bei dem ein Angreifer in Reichweite des WiFi Netzes des Opfers sein muss. Demnach müsste man, in Anbetracht der sonstigen Schwachstellen in Betriebssystemen, Routern und Software komplett auf Online Banking verzichten. Soweit geht aber dann auch ein BSI nicht. Viel mehr hat die Bude jahrelang den ePerso als Wunderwaffe zur Online Authentifizierung beworben, obwohl dieser sich schon nacht kürzester Zeit als sicherheitstechnisches Desaster herauskristallisiert hat.

 

[echo.park]

Typisch BSI eben.

 

[ottomane]

Das Problem ist, dass das BSI ein Gemisch aus Beamtenapparat, Politik und Fachleuten ist. Da gibt es dann wohl auch faule Kompromisse.

 

[kelevra]

[...]und Fachleuten[...]

Von denen sieht und hört man leider nicht sehr oft...

 

[ottomane]

Doch doch, sie sind da. Vielleicht müssen sie nur zu oft schweigen

 

[dinocool]

Hilft es das WLAN Netzwerk zu verstecken? Also es als unsichtbar anzulegen?

 

[kelevra]

Hilft es das WLAN Netzwerk zu verstecken? Also es als unsichtbar anzulegen?

Vor Skriptkidies vielleicht, vor einem Angreifer: nein. Man sieht die WLAN Netze ja trotzdem mit entsprechender Software.

 

[echo.park]

Besser ist ein sichtbares Netzwerk. Weil unsichtbare Netzwerke mehr Gedöns veranstalten, damit sich die Geräte erkennen können, die das sollen. Das bekommen dann auch andere mit.

 

[seventh]

AVM verteilt Updates gegen WLAN-Lücke

http://www.n-tv.de/technik/AVM-verteilt-Updates-gegen-WLAN-Luecke-article20094722.html

 

[ottomane]

Das Update ist nicht für für die üblichen Router, sondern für Fritz-WLAN-Repeater 1750E und das Fritz-Powerline-Gerät 1260E.

 

[ChrisW90]

Das Update ist nicht für für die üblichen Router, sondern für Fritz-WLAN-Repeater 1750E und das Fritz-Powerline-Gerät 1260E.

Korrekt! Die Fritzboxen agieren in der Regel als AP und sind somit nicht betroffen.

Das sollte man, auch wenn es nervt, so oft wiederholen, bis es jeder verstanden hat.