wireshark, wlan

[Der Martin]

Hi,

Ich möchte an meinem laptop das wlan-interface mit wireshark überwachen. Ich befinde mich in einem wpa2-verschlüsselten wlan-Netzwerk.

auf welchem Rechner läuft Wireshark? Auf demselben Laptop, oder auf einem anderen Rechner, der ebenfalls am WLAN "teilnimmt"?

Wenn ich die Option "follow TCP-Stream" nutze, sehe ich den ganzen zusammenhängenden Datenverkehr (z.b. wenn ich eine Website aufrufe). Die Http-Header von Request und Response sehe ich jeweils im Klartext, den Response-Content scheinbar verschlüsselt. Scheinbar deshalb, weil ich es nicht recht zu deuten vermag. Ich bin, wie gesagt, ein absoluter Anfänger in Netzwerkfragen.

Das ist aber eigenartig. Zumindest wenn du normales HTTP verwendest, also keine SSL-Verbindung zum Server, sollte die Kommunikation komplett unverschlüsselt sein. Textbasierte Ressourcen wie HTML, Stylesheets oder Javascript solltest du also im Klartext mitlesen können.
Oder meinst du mit "verschlüsselt" den binären Datenwust, aus dem Bilder bestehen?

a) warum sind die HTTP-Header nicht verschlüsselt? Sind bei wlan nicht per se immer ALLE Daten verschlüsselt?

Die WLAN-Verschlüsselung gilt ja nur für die Funkstrecke von einem WLAN-Adapter zum anderen. Anders gesagt: Wireshark greift die Daten ja sozusagen auf der CPU-Seite des WLAN-Adapters ab, wo die WPA2-Verschlüsselung noch nicht (Sendedaten) bzw. schon nicht mehr (Empfangsseite) vorliegt.
Stell dir vor, du ziehst grundsätzlich Schuhe (WPA2) an, wenn du nach draußen gehst, und ziehst sie wieder aus, wenn du heimkommst. In der Öffentlichkeit sehen die Leute dich also immer mit Schuhen (verschlüsselt), aber ein Beobachter innerhalb deiner Wohnung könnte dich trotzdem ohne Schuhe sehen.

Selbst wenn Wireshark auf einem anderen Rechner läuft und einfach passiv mitlauscht, würde er Klartext sehen, da die Daten auch in diesem Fall vom Netzwerkadapter (oder dessen Treiber) wieder entschlüsselt sind. Vorausgesetzt, alle WLAN-Teilnehmer haben den richtigen WPA2-Key.

b) wie kann ich die Daten entschlüsselt sehen? Den Sicherheitskey habe ich ja, ist ja mein Wlan-Netzwerk.

Das ist eine gute Frage, aber sie müsste eigentlich andersrum lauten: Warum siehst du verschlüsselte Daten?

c) Ich würde gerne den Datenverkehr anderer Nutzer in diesem Wlan-Netzwerk sehen. Muss dazu monitor mode aktiviert sein?

Vermutlich ja, ich habe Wireshark aber noch nie im WLAN benutzt.

Leider geht das bei mir nicht, ich kann diese Option nicht anwählen, obwohl sie nicht ausgegraut ist.

Dann bin ich überfragt.
Bedenke aber, dass es rechtlich problematisch sein kann, wenn du den Netzwerkverkehr anderer Teilnehmer ohne deren Wissen mitliest. Das ist genau der Grund, warum Wireshark umstritten ist und oft als Hacker-Tool bezeichnet wird.

So long,
 Martin