WLAN-Sicherheit: Mac Airport und Broadcast SSID

[Elya]

Hallo,

ich habe aus gegebenem Anlaß kürzlich einige Maßnahmen zur Verbesserung der Sicherheit meines WLANS unternommen ;-)

Neben den "üblichen" Einstellung inkl. WSP1-PSK hätte ich an dem Belkin-Router gerne "broadcast SSID" abgeschaltet, was ja auch allernorten empfohlen wird.

Leider will mein G4 Powerbook mit Airport-Extreme-Karte das Netz danach nicht mehr erkennen - nicht mal dann, wenn es in die Liste der vertrauenswürdigen Netze eingetragen wurde. Bei manueller Eingabe von SSID und Key kommt die Fehlermeldung, daß mein Router diese Art der Verschlüsselung nicht unterstütze (was natürlich nicht stimmt).

Was mich darüber hinaus extrem stört ist, daß der Belkin-Router seine Eingangsseite mit allerlei interessanten Informationen zur Konfiguration ohne jegliches Login zugänglich macht, erst bei Änderungen muß man sich einloggen.

Das Surfen durch diverse WLAN-Foren hat mich nicht sehr viel weitergebracht, zumal mein Verständnis für die Zusammenhänge von Netzwerken (mit und ohne Strippen) eher begrenzt ist ,-)

Hat jemand einen Tipp für mich oder Ideen, was ich noch zur Verbesserung der Sicherheit unternehmen könnte?

Gruß aus Köln-Ehrenfeld,

Elya

[Tim Tepaße]

Hallo Elya,

Neben den "üblichen" Einstellung inkl. WSP1-PSK hätte ich an dem Belkin-Router gerne "broadcast SSID" abgeschaltet, was ja auch allernorten empfohlen wird.

Hier werkelt auch ein Belkin mit einem Powerbook zusammen.

Leider will mein G4 Powerbook mit Airport-Extreme-Karte das Netz danach nicht mehr erkennen - nicht mal dann, wenn es in die Liste der vertrauenswürdigen Netze eingetragen wurde. Bei manueller Eingabe von SSID und Key kommt die Fehlermeldung, daß mein Router diese Art der Verschlüsselung nicht unterstütze (was natürlich nicht stimmt).

Als ich neulich endlich mal mein Funknetz gesichert habe – weil ich dann überrascht einen Nutznießer namens „hexenbesen“ entdeckt habe – stelle ich fest, dass die Nomenklatur bei Belkin und Apple etwas unterschiedlich ist. Tatsächlich kam, aus was für Gründen auch immer, eine Verbindung mit Belkin („WPA-PSK mit AES“) und Apple („Persönlicher WPA2“) nicht zustande. Was doof ist, weil das eigentlich genau die gleiche Verschlüsselungstechnik bezeichnet. „WPA-PSK mit TKIP“ und „Persönlicher WPA“ werkeln dann aber wieder problemlos zusammen; das ist dann aber leider die schwächere Verschlüsselung. Auch mit einem Firmware-Update beim Belkin konnte ich das nicht beheben. Vielleicht ist es bei Dir dasselbe Problem?

Hat jemand einen Tipp für mich oder Ideen, was ich noch zur Verbesserung der Sicherheit unternehmen könnte?

Am ehesten noch das Übliche:
• Firmware-Update beim Router
• Eventuell Mac Adress-Filtering beim Router einschalten, so dass jeder Client extra angemeldet werden muss
• Dann gibt es noch eine Einstellung, dass der Router nur von einer bestimmten IP-Adresse administriert werden kann.
• Idealerweise weist Du diese IP-Adresse dann dem Powerbook direkt zu und nimmst diese aus dem Pool der IP-Adressen raus, die Dein Router über DHCP automatisch zuweist. Meinen Nutznießer hatte ich auch nur entdeckt, weil der sich zufällig meine IP gekrallt hatte.

Tim

[Elya]

Hallo Tim,

Hier werkelt auch ein Belkin mit einem Powerbook zusammen.

gut :-)

Nomenklatur bei Belkin und Apple etwas unterschiedlich ist. Tatsächlich kam, aus was für Gründen auch immer, eine Verbindung mit Belkin („WPA-PSK mit AES“) und Apple („Persönlicher WPA2“) nicht zustande. Was doof ist, weil das eigentlich genau die gleiche Verschlüsselungstechnik bezeichnet.

ah, das wußte ich nicht, ich habe „WPA-PSK mit AES“ mit „Persönlicher WPA“ kombiniert. Kann ja nicht klappen.

„WPA-PSK mit TKIP“ und „Persönlicher WPA“ werkeln dann aber wieder problemlos zusammen; das ist dann aber leider die schwächere Verschlüsselung. Auch mit einem Firmware-Update beim Belkin konnte ich das nicht beheben. Vielleicht ist es bei Dir dasselbe Problem?

ich werde beide Kombinationen mal ausprobieren und gebe Dir heute abend ein Feedback.

Am ehesten noch das Übliche:
• Firmware-Update beim Router

ist laut Belkin aktuell

• Eventuell Mac Adress-Filtering beim Router einschalten, so dass jeder Client extra angemeldet werden muss

was so gut wie nichts bringt, wie ich feststellen mußte ;-)

• Dann gibt es noch eine Einstellung, dass der Router nur von einer bestimmten IP-Adresse administriert werden kann.

ja.

• Idealerweise weist Du diese IP-Adresse dann dem Powerbook direkt zu und nimmst diese aus dem Pool der IP-Adressen raus, die Dein Router über DHCP automatisch zuweist.

ich habe sowieso auf manuelle IPs umgestellt und den IP-Kreis ganz eng eingegrenzt.

Meinen Nutznießer hatte ich auch nur entdeckt, weil der sich zufällig meine IP gekrallt hatte.

so ähnlich war das bei mir auch. Kommt man bei Dir auch in die Router-Startseite ohne sich authentifizieren zu müssen?

Gruß aus Köln-Ehrenfeld,

Elya

[Tim Tepaße]

Hallo Elya,

Tatsächlich kam, aus was für Gründen auch immer, eine Verbindung mit Belkin („WPA-PSK mit AES“) und Apple („Persönlicher WPA2“) nicht zustande. Was doof ist, weil das eigentlich genau die gleiche Verschlüsselungstechnik bezeichnet.
ah, das wußte ich nicht, ich habe „WPA-PSK mit AES“ mit „Persönlicher WPA“ kombiniert. Kann ja nicht klappen.

Hm. Wenn ich in Deine Leib- und Magenenzyklopädie gucke, dann steht da u.a. auch dieser Hinweis:

„Hierbei ist zu erwähnen, dass WPA-fähige Geräte, die AES beherrschen, nicht
  unbedingt WPA2 unterstützen.“

Gut möglich, dass Belkins WPA+AES nur ein WPA (1) ist, bei der der normale Verschlüsselungsalgorithmus (RC4) nur gegen AES ausgetauscht ist, WPA 2 aber ein Mehr an Infrastruktur mitbringt, so das es nicht einfach WPA+AES ist. Dann könnte das Belkin-Dings wohl nicht das sichere WPA 2.

Kommt man bei Dir auch in die Router-Startseite ohne sich authentifizieren zu müssen?

Ja. Ich hab damals als erstes die IP-Adresse des Routers geändert. Das ist zwar zweifelhafte Security through Obscurity, aber ich hatte noch gut in Erinnerung, wie ein Freund mal in einem anderen offenen Funknetz im Prinzip den Router verkonfigurieren hätte können, nur weil er sich erinnert, dass Belkin-Router per Default unter 192.168.2.1 laufen.

Tim

[Elya]

Hallo Tim,

„Hierbei ist zu erwähnen, dass WPA-fähige Geräte, die AES beherrschen, nicht
  unbedingt WPA2 unterstützen.“

Gut möglich, dass Belkins WPA+AES nur ein WPA (1) ist, bei der der normale Verschlüsselungsalgorithmus (RC4) nur gegen AES ausgetauscht ist, WPA 2 aber ein Mehr an Infrastruktur mitbringt, so das es nicht einfach WPA+AES ist. Dann könnte das Belkin-Dings wohl nicht das sichere WPA 2.

Sieht genau so aus, wie Du beschrieben hast. WPA/AES - WPA2 geht nicht, gleiche Fehlermeldung wie bei WPA/AES - WPA, "Verschlüsselungsmethode vom Router nicht unterstützt". WPA/TKIP - WPA (1) geht problemlos, wählt das Netz sogar automatisch aus, wie das mit den vertrauenswürdigen ja auch sein sollte. Und das ganze auch ohne "broadcast SSID".

Wie schätzt Du den Sicherheitsverlust durch geringere Verschlüsselung gegenüber dem Broadcasting des SSID ein? Kann man das gegeneinander abwägen?

Kommt man bei Dir auch in die Router-Startseite ohne sich authentifizieren zu müssen?

Ja. Ich hab damals als erstes die IP-Adresse des Routers geändert. Das ist zwar zweifelhafte Security through Obscurity, aber ich hatte noch gut in Erinnerung, wie ein Freund mal in einem anderen offenen Funknetz im Prinzip den Router verkonfigurieren hätte können, nur weil er sich erinnert, dass Belkin-Router per Default unter 192.168.2.1 laufen.

Wäre interessant, diese Startseite mal so zu <s>hacken</s> modifizieren, daß sie wenigstens nicht die ganze Konfiguration ohne Login anzeigt.

Danke für Deine Hilfe!

Gruß aus Köln-Ehrenfeld,

Elya

[Tim Tepaße]

Hallo Elya,

Wie schätzt Du den Sicherheitsverlust durch geringere Verschlüsselung gegenüber dem Broadcasting des SSID ein? Kann man das gegeneinander abwägen?

Ich würde das nicht im Zusammenhang setzen. Das Broadcasting der SSID ist eigentlich nur ein Mittelchen, DAUs gar nicht erst aufmerksam zu machen. Wenn jemand wirklich halbwegs technische oder kriminelle Energie (oder einfach Neugierde) besitzt, stellt das keinen großen Hinderungsgrund dar, jeder gängige WLAN-Sniffer kann diese wohl mitlauschen.

Die geringere Verschlüsselung finde ich persönlich schlimmer, schon allein, weil es Attacken dafür gibt. Letztendlich läuft es dann auf eine Wörterbuch-Attacke aus den PSK hinaus, je kryptischer und ungewöhnlicher dieser ist, desto besser ist der. So weit draussen an der technischen Front, wie wir Mac-Nutzer nun mal sind, hat unser verbreitester WLAN-Sniffer diese Attacke übrigens schon integriert. ;) Ich bin aber überfragt, inwieweit jedes Script-Kiddie jetzt einfach auf einen Button klicken und in unsere Netze einbrechen kann. Eine Wörterbuch-Attacke braucht immerhin noch etwas Zeit.

Es kommt wohl auch auf Deine Nachbarschaft an. Wenn ich mich hier umgucke und eine Ad-Hoc-Sozialstudie meiner Nachbarn erstelle, würde ich niemanden zutrauen, genügend Energie und technisches Verständnis mitzubringen. Und WarChalking-Gaunerzinken habe ich auch noch nie gesehen. Insofern werde ich jetzt nicht plötzlich losrennen und mir einen besseren Router kaufen. ;)

Tim

[Henryk Plötz]

Moin,

Wie schätzt Du den Sicherheitsverlust durch geringere Verschlüsselung gegenüber dem Broadcasting des SSID ein? Kann man das gegeneinander abwägen?

Nein. Die Hierarchie der verbreiteten Schutzmechanismen geht ungefähr so: Netz versteckt, MAC-Filter, Verschlüsselung. Das Netz zu verstecken bringt ziemlich genau gar nichts an Sicherheit (das ändert die vom Access Point ausgestrahlten Beacon-Frames von "Hier bin ich, hier bin ich, und ich heisse '...'" zu "Hier bin ich, hier bin ich", während die Clients die SSID trotzdem noch übermitteln müssen), ist aber eine soziale Einrichtung: hier im Studentenwohnheim habe ich auch diverse WLANs und mein Laptop bucht sich blöderweise immer wieder in irgendwelche komischen unversteckten Netze ein. (Das Abschalten des Funkteils der Karte funktioniert offenbar bei dem Treiber nicht zuverlässig.) Um die nötige SSID zu finden braucht ein Angreifer aber nur einmal einen Sniffer anwerfen während du zu Hause bist und hat sie dann.

MAC-Filter bringt ebenfalls sehr wenig, aber ein klitzekleinstes bisschen mehr: Man muss nicht mehr nur die MAC-Adresse deiner Karte mit einem Sniffer herausfinden (genauso leicht wie die SSID zu sniffen), sondern auch noch eine Karte/Treiber-Kombination haben bei der sich die MAC setzen lässt. Für Windows-Kiddies trifft das in der Regel nicht zu, bei Linux mit der richtigen Karte völlig problemlos, MacOS weiss ich nicht. Ausserdem schränkt das das Zeitfenster für Angriffe auf Zeiten ein bei denen du nicht zugegen bist, da es dir vermutlich auffallen würde wenn jemand deine MAC benutzt.

Verschlüsselung ist wirklich das A und O und man kann da kaum weit genug gehen. Wenn WPA statt WEP unterstützt wird, sollte man das unbedingt nehmen, da WEP eher als Scherz gedacht war. Mit WPA dürfte das Netz für alle Kiddies instantan an Reiz verloren haben. Die gehen einfach 20m weiter und nehmen das nächste Netz mit WEP bzw. ohne Verschlüsselung.

WPA-PSK ist im Gegensatz zu WEP nicht direkt angreifbar (bis jetzt), sondern es gibt im wesentlichen nur zwei Angriffe:
  1. IIRC ist ein Denial of Service viel zu leicht, weil sich der Access Point nach so und so vielen Fehlversuchen für eine bestimmte Zeit für neue Anmeldeversuche sperrt. Das ist nicht schön, aber andererseits könnte man einen DoS auch einfach haben, indem man den Frequenzbereich volldröhnt.
  2. Wörterbuchangriff/Brute force auf den PSK. Das kannst du ja sehr leicht umgehen, indem du deine Passphrase nicht aus einem Wörterbuch nimmst. Da du sie ja eh nur genau zweimal eingeben musst (einmal am Access Point, einmal am Laptop), solltest du _wirklich_ die vollen Möglichkeiten mit echtem Zufall ausschöpfen. Ich bin mir grade gar nicht sicher was geht, aber die englische Wikipedia spricht von 64 Hexzeichen (=32 Byte), die kriegst du unter Linux zum Beispiel mit   dd if=/dev/random bs=32 count=1 | hexdump   (müsste unter MacOS X auch gehen). In dem Fall sollten sich auch bei WPA1 keine Probleme ergeben. AES (mit WPA2) ist zwar schöner, bringt aber keine neue Qualität. Allenfalls falls dein Gegner eine TLA  ist (NSA, BND, MI6, wissenschon) würde dir das theoretisch was bringen, aber praktisch fragen die einfach den netten Richter von nebenan und kriegen auch so alles was sie wollen.

Ja. Ich hab damals als erstes die IP-Adresse des Routers geändert. Das ist zwar zweifelhafte Security through Obscurity, aber ich hatte noch gut in Erinnerung, wie ein Freund mal in einem anderen offenen Funknetz im Prinzip den Router verkonfigurieren hätte können, nur weil er sich erinnert, dass Belkin-Router per Default unter 192.168.2.1 laufen.

Na also das ist ja jetzt mal gar keine Kunst. Eine der Aufgaben von DHCP ist es nämlich, dem Client die Adresse des Routers mitzuteilen. Da braucht man also nichts raten, einfach nur nachsehen.  (Und selbst ohne DHCP reicht es, den Netzwerkverkehr mitzuschneiden, bzw. einfach mal ein nmap -sP 192.168.*.* anzuwerfen.)

[Elya]

Hallo Henryk,

Nein. Die Hierarchie der verbreiteten Schutzmechanismen [...]

Danke für diese ausführliche Darstellung, wieder einiges gelernt.

Na also das ist ja jetzt mal gar keine Kunst. Eine der Aufgaben von DHCP ist es nämlich, dem Client die Adresse des Routers mitzuteilen. Da braucht man also nichts raten, einfach nur nachsehen.  (Und selbst ohne DHCP reicht es, den Netzwerkverkehr mitzuschneiden, bzw. einfach mal ein nmap -sP 192.168.*.* anzuwerfen.)

und ohne DHCP? Oder meinst Du, der Angreifer hat DHCP und zieht sich die Adresse, unabhängig davon, ob ich DHCP nutze?

Gruß aus Köln-Ehrenfeld,

Elya

[Christian Seiler]

Hallo Elya,

Na also das ist ja jetzt mal gar keine Kunst. Eine der Aufgaben von DHCP ist es nämlich, dem Client die Adresse des Routers mitzuteilen. Da braucht man also nichts raten, einfach nur nachsehen.  (Und selbst ohne DHCP reicht es, den Netzwerkverkehr mitzuschneiden, bzw. einfach mal ein nmap -sP 192.168.*.* anzuwerfen.)

und ohne DHCP? Oder meinst Du, der Angreifer hat DHCP und zieht sich die Adresse, unabhängig davon, ob ich DHCP nutze?

Naja, was Henryk sagen wollte: So viele private Adressräume gibt's ja nicht, deswegen braucht der Angreifer nur geschickt raten (wenn kein DHCP aktiv ist) und auf's Geratewohl Pakete in die Welt zu schicken und bekommt so den gültigen IP-Bereich raus. DHCP zu deaktivieren schreckt u.U. ein paar Script-Kiddies ab (die werden allerdings auch wohl kaum in ein gut gesichertes WPA-Netz einbrechen können), Leute, die WPA überwunden haben, jedoch mit Sicherheit nicht.

Viele Grüße,
Christian