Android: Gesicherte WLAN-Kennwörter werden nicht verschlüsselt

[FM4E]

<p><img style="margin: 10px; float: left;" alt="android" src="/images/stories/logos/android.jpg" height="100" width="100" />Die Begriffe Sicherheit und Privatsphäre werden in der heutigen Zeit und vorallem nach der Enthüllung der Online-Spionage von Edward Snowden erst recht ernst aufgenommen. Vor gut zwei Wochen wurde eine <a href="index.php/news/software/betriebssysteme/26938-sicherheitsluecke-betrifft-nahezu-alle-android-geraete.html">brisante Sicherheitslücke</a> in Googles Android-Betriebssystem ausfindig gemacht, mit der die Kontrolle über das Gerät von außerhalb übernommen werden kann. Ein weiteres Sicherheitsrisiko schlummert im Backup-System von Google. <a href="https://www.eff.org/about/staff/micah-lee">Micah Lee</a> von der Electronic Frontier Foundation (kurz: EFF) geht...<br /><br /><a href="/index.php/news/software/betriebssysteme/27134-android-gesicherte-wlan-kennwoerter-werden-nicht-verschluesselt.html" style="font-weight:bold;">... weiterlesen</a></p>

 

[996]

Die Stecken doch alle unter einer Decke... egal ob Google , Apple oder MS ich bin mir sicher die sind verpflichtet Zugriffsmöglichkeiten für die NSA frei zu halten.
ET telefoniert nach Hause aber nicht erst seit Heute sondern schon mind. seit XP

 

[Djsafeer]

Kann man nicht die NSA anzeigen wegen Sachbeschädigung, eindringen in die Privatsphäre und gegen das Menschenrecht?


Das was die da treiben ist doch nicht akzeptabel.
Warum brauchen die so viele Daten. Können die net richtig einschlafen ohne jemanden ausgespäht zu haben

 

[Snake7]

Das ist doch schon länger bekannt.
Gerade das mit der WLAN-Datei ist schon uraot.

 

[iBaer]

Mir war es nicht bekannt, aber ich beschäftige mich auch nicht mit android.
Wenn es allerdings schon länger bekannt ist und immer noch so gehandhabt wird, ist es ja um so erschreckender. Was geht google wildfremde WLAN Passwörter an..... Nichts!!!!

Hab mein PW nun geändert und mir kommt kein android mehr ins heimische Netz!

 

[neo[2k]]

Die Paranoia ist momentan aber grenzenlos. NSA könnte, NSA würde, NSA wäre ...

Stehen die jetzt vor jedem Haus und zapfen das WLAN an?

 

[Namenlos]

Was ist der Punkt in einer verschlüsselten Ablage auf dem Telefon, wenn das Gerät das Kennwort so oder so wieder entschlüsseln muss? Wenn das Gerät das ohne Eingabe eines (2.) Schlüssels zum WLAN verbinden soll bringt eine Verschlüsselung nichts. Sudo/root muss übrigens immer noch vom Benutzer erlaubt werden, das ganze System ist nicht einfach offen wenn man rootet.

Wie soll das Wlan Key Backup denn verschlüsselt überhaupt funktionieren? Wenn man das ganze separat verschlüsselt, macht es zwangsweise so kompliziert das sich die ganze Funktion nichtmehr lohnt, dann könnte man auch einfach den Backup Manager deaktivieren. Was ich auch jedem empfehle, dem das nicht geheuer ist.

Auf anderen Systemen wird das nicht anders sein, wenn man security through obscurity nicht als Sicherheitsmaßname ansieht.

edit: Auf Windows braucht man noch nichtmal Administratorrechte um WLAN Schlüssel auszulesen iirc. Und auch OSX speichert WLAN Schlüssel im plaintext.

 

[pointX]

Wie soll man denn sonst die Passwörter ablegen ?
Hashen macht ja keinen Sinn, man muss das PW ja dem Router zur anmeldung im Klartext senden.
Und um es verschlüsselt abzulegen müsste der User das WLAN-PW A mit einem Master-PW B verschlüsseln, und bei jedem Login dann B eingeben. Aber dann könnte er ja auch gleich A eingeben... macht also keinen Sinn.
Das ist doch überall so, bsp. Filezilla.
Also dass die Daten im Klartext auf dem Telefon liegen sollte klar sein.

Was natürlich nicht toll ist, dass Sicherungen im Klartext über den Teich wandern.
Für eine Sicherung vllt. 1x im Monat kann man ruhig kurz 10 Sekunden ein Passwort eingeben.

Und dass die NSA mit WLAN-PWs sich einloggt... da nutzt man doch lieber die nächste Zero-Day in Windows im Hauptquartier als extra im Regen im weißen Bus mit schwachem Signal und Verbindungsabbrüchen vor deiner Türe zu sitzen.

Und jeder der sich besser auskennt hat auch sein WLAN weiter geschützt (z.B. vlan, captive Portal, Gastzugang), sodass selbst vorbeikommen im weißen Bus mit WLAN-PW erstmal nichts bringt.

 

[estros]

Lest euch mal ein wie das in iOS und KeyChain funktioniert. Es ist durchaus möglich, glaub dazu gabs letztens einen Artikel bei Heise.
Wie das MS handhabt, kA

 

[Dennis50300]

Tjo, da hat die MAC-Adressen Filterung von W-LAN Geräten im Router dann nun doch wieder einen Sinn


Gruss Dennis50300

 

[pes-forever]

egal ob Google , Apple oder MS ich bin mir sicher die sind verpflichtet Zugriffsmöglichkeiten für die NSA frei zu halten.

Jedes amerikanische Unternehmen muss Zugriffe ermöglichen

Das ist doch schon länger bekannt.
Gerade das mit der WLAN-Datei ist schon uraot.

Und trotzdem macht man nix dagegen. Das halte ich für eine Sauerei und zeigt meiner Meinung nach die Haltung Google gegenüber dem Datenschutz.

Tjo, da hat die MAC-Adressen Filterung von W-LAN Geräten im Router dann nun doch wieder einen Sinn

Deine MAC ist vermutlich genau so bekannt, die MAC zu "fälschen" ist ein Kinderspiel.

Und jeder der sich besser auskennt hat auch sein WLAN weiter geschützt (z.B. vlan, captive Portal, Gastzugang), sodass selbst vorbeikommen im weißen Bus mit WLAN-PW erstmal nichts bringt.

Aha, du hast so etwas zuhause im Einsatz?

Solltest du das Unternehmensumfeld gemeint haben, stimme ich dir natürlich zu.

 

[Mr.Mito]

Die Paranoia ist momentan aber grenzenlos. NSA könnte, NSA würde, NSA wäre ...

Stehen die jetzt vor jedem Haus und zapfen das WLAN an?

Ne, die (über)nehmen einfach ein Interkontinentalkabel und schneiden ganze "Länder" mit, ist einfacher.
Kannst du dir ein Yottabyte Speicherkapazität vorstellen? Nicht? Die NSA schon, baut sich ja allen Anschein nach gerade so einen kleinen Speicher.

Wenn andere aus Spaß sagen sich "das Internet zu speichern", lacht die NSA und fragt wie oft sie es kopieren soll.

 

[Namenlos]

Lest euch mal ein wie das in iOS und KeyChain funktioniert. Es ist durchaus möglich, glaub dazu gabs letztens einen Artikel bei Heise.
Wie das MS handhabt, kA

Das was ich dazu gefunden habe:
iPhone verloren, Passwörter weg | heise Security
Forscher kritisieren PIN-Speicherpraxis des iPhone | heise Security

Beim iOS wird scheinbar also sogar der SIM Karten Pin gespeichert, den man auslesen kann. Praktisch, wenn man mal mit einem geklauten Handy telefonieren muss .

 

[Dennis50300]

Deine MAC ist vermutlich genau so bekannt, die MAC zu "fälschen" ist ein Kinderspiel.

Darüber bin ich mir durchaus bewusst, das man eine MAC bei NIC's auch emulieren kann.

Warum sollte meine MAC vom Xperia Ray nun aber bekannt sein, dessen WLAN sollte eine völlig andere haben als ein anderes Ray oder auch allgemein anderes Handy mit WLAN-NIC.

Das man die natürlich ohne das ich dabei helfe herausfinden könnte steht auf einem anderen Blatt Papier


Gruss Dennis50300

 

[CH4F]

Dann ist mein WLAN ja sicher - Kein Android-Gerät im WLAN.

 

[pointX]

Lest euch mal ein wie das in iOS und KeyChain funktioniert. Es ist durchaus möglich, glaub dazu gabs letztens einen Artikel bei Heise.

Hast du da genauere Infos zu ? Wurde leider auf heise per Google nicht fündig und bei heise direkt auch nicht.
Dafür aber viel mehr treffer, dass keychain knackbar ist.

Juuso Salonen
What unlocking actually does or how the unlocked passwords are accessed is not documented. This is security through lack-of-documentation.

Also security through obscurity bzw. Schlangenöl, was bei einem quelloffenen Betriebssystem wie Android natürlich noch unsinniger wäre.

Ich lasse mich gerne belehren, so tief ist mein Crypto-Wissen auch wieder nicht
Aber bis jetzt bin ich der Meinung, dass man zum verschlüsseln eben einen geheimen Schlüssel braucht, mit dem man etwas zuschließt
Wenn der Schlüssel im Blumentopf versteckt ist, funktioniert das solange, bis jemand alle Blumentöpfe (Bits in div. Speichern) analysiert hat.
Wenn aber jeder weiß, dass da ein Schlüssel unter der Fußmatte ist (da Quelloffen), kann man gleich lieber das Türschloss drausen lassen anstatt sich in falscher Sicherheit zu wägen.

Aha, du hast so etwas zuhause im Einsatz?
Solltest du das Unternehmensumfeld gemeint haben, stimme ich dir natürlich zu.

Naja mit Gastzugang waren schon normale User gemeint, sowas gibt es glaube ich in so manchen Fritzboxen z.B.
Damit könnte man (sofern der Router sicher ist) schonmal normalen Traffic vom Smartphone-Traffic abklemmen.
Was auch bei so ziemlich jedem Router geht wäre die Mac-Filterung, aber das ist ja auch nur Schlangenöl
Und ja mit Captive Portal & VLAN meinte ich eher Unternehmen Sollte wohl nicht so spät schreiben, sonst wirds undeutlich

 

[Nugget32]

Es wird viel Wind über Wlan gemacht ,weil es ach doch so Bequem ist. Dabei sollte jedem der WLan nutzt klar sein das dies eine FUNKVERBINDUNG ist. Diese lässt sich mit sehr einfachen Mitteln mühelos in näherer Umgebung abhören. Wer Amateurfunk oder CB-funk kennt weis wovon ich schreibe. Und wer da noch Packet Radio kennt wird die sehr frühe Urform der Datenübertragung/Funktion von WLan wiederfinden.
Das WLan generell unsicher ist werden die uneinsichtigsten und Stursten Anwender erst dann akzeptieren wenn Sie selbst gehackt werden/wurden. Und selbst ob Verschlüsselt oder nicht WLan ist und bleibt Unsicher. Am Besten WLan (nicht nur aus Bequemlichkeit) deaktiveren und alles wichtige ( nach Möglichkeit) über eine Kabelverbindung regeln. Und wenn man selbst das Smartphone mit einem Laptop über ein USB Kabel verbinden muss oder seine Web Kiste im Wohnzimmer mittels Kabel an das Heimische Netzwerk anschließt.

 

[Wander]

Gibt es auch nur einen einzigen sinnvollen Beitrag von dir?

Aber gut, wenn du dich so gut auskennst: Was macht WLAN "generell unsicher"? Was ändert das Übertragungsmedium an der Sicherheit einer Verschlüsselung? Wenn es mit "sehr einfachen Mitteln mühelos" möglich ist ein WLAN abzuhören müsste es für dich Experten doch ein leichtes sein einem Laien wie mir eine kurze Schritt-für-Schritt Anleitung hierzu zu geben. Insbesondere würden mich auch die technischen Details interessieren, welches Verfahren du z.B. für die Entschlüsselung anwendest.