Kleines Büro - möglichst sicheres WLAN?

[da_peda]

Hallo allerseits,

in einem kleinen Büro soll ohne großen Aufwand ein WLAN (ist leider nötig) so sicher wie möglich eingerichtet werden.

Auf der Liste steht bisher: WPA-2, sicheres PW, SSID verbergen, WPS aus, MAC Filterung, usw... Das "übliche" was man so liest halt.

Aber der höchste Gartenzaun nutzt nichts, wenn man nicht ab und zu mal vors Haus geht und schaut ob einer drüber klettert oder ein Loch reingeschnitten hat..

WPA-2 ist im Moment ja wohl nur mit Brute Force / Dictionary Angriffen und nicht in 5 Min. von jedem Smartphone aus zu hacken.

Wenn man dagegen schon nie 100% sicher sein kann, wäre es ja zumindest schön, wenn man sieht, was da so vor sich geht und ob grad jemand zum 598. mal versucht, sich im WLAN mit einem neuen PW anzumelden.

Gibts dafür spezielle Hardware - oder alternative Firmware / Software für die gänigen Router - die sowas zuverlässig überwacht und protokolliert oder befinde ich mich da auf dem Holzweg?

Danke schonmal!
Peter

 

[icebeer]

Mir wäre so etwas nicht bekannt. Was man noch machen könnte:

- Router funkt nur Mo - Fr von 08:00 bis 18:00 Uhr
- Sendeleistung reduzieren, so dass das WLAN außerhalb des Büros nur sehr schwach ist
- nur 5 GHz Band nutzen
- WLAN-Kennwort häufiger ändern
- DHCP abschalten und feste IPs vergeben

Das ganze macht es dann schon sehr uninteressant dieses bestimmte WLAN zu knacken. Da nimmt man sich wahrscheinlich lieber das weniger gut gesicherte WLAN 2 Häuser weiter vor - oder - wenn man wirklich Datenklau betreiben will, bricht man einfach klassisch ein.

 

[FLiNTx]

Es gibt bestimmt Geräte, bei denen du das im Log dann rauslesen kannst - aber ich glaube auch, dass du nicht wirklich Lust hast, alle paar Tage tausende Zeilen durchzuwühlen, ob da irgendwas komisch aussieht...

Mit den von dir und icebeer genannten Maßnahmen bist du, denke ich, schon ganz gut aufgestellt... Wichtiger wäre IMHO, das Netz auch intern dann nochmal abzusichern - sprich keine für alle offenen Dateifreigaben und solche Späße - dann hat jemand der sich potentiell einklinkt zwar Zugang zum Netz (und könnte u.U. gewisse Datenströme mitschneiden), kommt aber trotzdem nicht ohne weiteres an Daten...

 

[Sassicaia]

WPA-2 ist im Moment ja wohl nur mit Brute Force / Dictionary Angriffen und nicht in 5 Min. von jedem Smartphone aus zu hacken.

so siehts aus

26 kleine Buchstaben
26 große Buchstaben
~20 Sonderzeichen
ergibt 86 Variablen insgesamt;

eine Kombination aus großen Buchstaben + kleinen Buchstaben + Sonderzeichen mit einer Passwortlänge von 22 Zeichen ergibt 86²² mögliche Kombinationen.

Gehen wir von idealen Bedingungen aus: gute Verbindung, leistungsfähiger Rechner/Notebook und entsprechende Software;

pro Sekunde werden um die 2 Milliarden Schlüssel "versucht", dann dürfte das immer noch mehr als zehn Jahre dauern bis alle Kombinationen durch sind. Stellt sich nun nur noch die Frage, wann der Zeitpunkt des richtigen Schlüssels erfolgt, am Anfang, in der Mitte oder zum Ende der "Ziehung".

in einem kleinen Büro soll ohne großen Aufwand ein WLAN (ist leider nötig) so sicher wie möglich eingerichtet werden.

Ich denke, die Gefahr, dass der Schlüssel durch Angestellte/ User in unbefugte Hände kommt ist größer, denn es soll ja nur minimaler Aufwand betrieben werden.
Das geht ja schon damit los, dass die Rechner wahrscheinlich mit Admin Benutzerkonten laufen und jeder (Mitarbeiter/User) den Wlan Schlüssel über die Adaptereigenschaften (drahtlos) im Klartext lesen kann.

 

[HollY_D]

bis alle Kombinationen durch sind

Aber es muss nicht zwangsläufig die letzte Kombination sein :P Stimme aber sonst mit dir voll überein

 

[da_peda]

Danke erstmal für Euere Antworten!

Also ich hab jetzt noch einen kleinen Eigenversuch gestartet und mal bei meinem Asus RT-N66U ein paar mal mit nem fremden Handy und falschen PW versucht mich einzuloggen: In keiner log Datei ersichtlich.

Das gibts doch irgendwie nicht, dass es keinerlei Möglichkeit gibt, zu sehen, ob jemand versucht in mein W-LAN einzudringen und mich nur drauf zu verlassen, dass das PW schon sicher genug sein wird.

Log Dateien zu durchforsten wäre nicht das Problem, man muss sich ja keine 1000 Zeilen im Detail anschauen, sondern nur nach dem Wesentlichen suchen.

Gibts denn Router, die sowas protokollieren? Oder geht das mit alternativer Firmware ala Tomato oder ddr-wt?

 

[Sassicaia]

Aber es muss nicht zwangsläufig die letzte Kombination sein

deswegen habe ich geschrieben

Stellt sich nun nur noch die Frage, wann der Zeitpunkt des richtigen Schlüssels erfolgt, am Anfang, in der Mitte oder zum Ende der "Ziehung"

 

[HollY_D]

Glatt drüber gelesen

 

[X5-599]

Danke erstmal für Euere Antworten!

Also ich hab jetzt noch einen kleinen Eigenversuch gestartet und mal bei meinem Asus RT-N66U ein paar mal mit nem fremden Handy und falschen PW versucht mich einzuloggen: In keiner log Datei ersichtlich.

Das gibts doch irgendwie nicht, dass es keinerlei Möglichkeit gibt, zu sehen, ob jemand versucht in mein W-LAN einzudringen und mich nur drauf zu verlassen, dass das PW schon sicher genug sein wird.

Log Dateien zu durchforsten wäre nicht das Problem, man muss sich ja keine 1000 Zeilen im Detail anschauen, sondern nur nach dem Wesentlichen suchen.

Gibts denn Router, die sowas protokollieren? Oder geht das mit alternativer Firmware ala Tomato oder ddr-wt?

Also meine Netgear Router können das.

Folgendes kann mein Netgear WNDR3700 Protokollieren:
Versuchter Zugriff auf zulässige Webseiten
Versuchter Zugriff auf gesperrte Webseiten und Dienste
Verbindungen zur webgestützten Schnittstelle dieses Routers
Routerbetrieb, z. B. Hochfahren oder Zeitanforderung
Bekannte DoS-Angriffe und Port-Abfragen
Portweiterleitung/Port-Triggering
Drahtloser Zugriff

Wenn der ASUS, der angeblich so gut sein soll und aktuell immer wieder empfohlen wird, dann kann er wohl doch nicht so gut sein wenn er sowas einfaches nicht beherrscht.

 

[FLiNTx]

Wenn der ASUS, der angeblich so gut sein soll und aktuell immer wieder empfohlen wird, dann kann er wohl doch nicht so gut sein wenn er sowas einfaches nicht beherrscht.

[ ] Das von dir vermisste Feature interessiert mehr als 0,01% der potentiellen Käufer eines solchen Routers


Mal ehrlich - braucht daheim i.d.R. keine Sau - und wenn, dann kauf ich mir halt nen "richtigen" Router...

 

[X5-599]

[ ] Das von dir vermisste Feature interessiert mehr als 0,01% der potentiellen Käufer eines solchen Routers

Also wenn es soviele sind die dieses Feature wollen, dann verstehe ich nicht warum der angeblich so gute ASUS das nicht hat. Wären es weniger als 0.01%, würde ich es noch verstehen, aber so nicht.

Mal ehrlich - braucht daheim i.d.R. keine Sau - und wenn, dann kauf ich mir halt nen "richtigen" Router...

Nur gut das auf der Verpackung dieses Gerätes ganz gross steht das man ihn nur für private Zwecke kaufen und nutzen darf.
Und warum nicht gleich von Anfang an was richtiges kaufen??

 

[FLiNTx]

[ ] Das von dir vermisste Feature interessiert mehr als 0,01% der potentiellen Käufer eines solchen Routers

Also wenn es soviele sind die dieses Feature wollen, dann verstehe ich nicht warum der angeblich so gute ASUS das nicht hat. Wären es weniger als 0.01%, würde ich es noch verstehen, aber so nicht.

Du hast die feine Ironie in meinem Beitrag überlesen...
Vor der zitierten Zeile befindet sich ein stilisiertes, leeres Kästchen - da die Aussage weder angekreuzt noch mit einem Haken versehen wurde, trifft sie nicht zu
Dachte, diese Schreib-/Ausdrucksweise wäre mittlerweile überall bekannt... Wohl ein Irrtum meinerseits ;-)

Nur gut das auf der Verpackung dieses Gerätes ganz gross steht das man ihn nur für private Zwecke kaufen und nutzen darf.

Du willst jetzt nicht wirklich in Frage stellen, dass der ASUS-Router für den Consumer-Bereich gedacht ist???
Derart detaillierte Logs sind da nun wirklich kein Must-Have - 99% der Eigentümer eines solchen Geräts werden dir wahrscheinlich nichtmal sagen können, für was so ein "Log" gut sein könnte...

Und warum nicht gleich von Anfang an was richtiges kaufen??

Weil - achtung, da sind sie wieder - 99% der Leute weder was "Richtiges" brauchen, noch bezahlen wollen, geschweige denn sinnvoll bedienen können...

Und mal abgesehen von den fehlenden Logs - was ich persönlich jetzt auch extrem schade, wenn nicht gar dämlich finde, aber wie gesagt eig. auch keiner braucht - ist der ASUS, genau wie dein Netgear, ein prima Gerät...


Und jetzt mal BTT - das hilft dem TO nun wirklich garnicht...

Gibts denn Router, die sowas protokollieren? Oder geht das mit alternativer Firmware ala Tomato oder ddr-wt?

Mit alternativer Firmware kommst du mit Sicherheit an solche Logs - aber im Geschäftsumfeld würd ich ehrlich gesagt nicht unbedingt auf solche Bastellösungen setzen... Netgear, Cisco, Draytek, Funkwerk und Co bieten nette Geräte für den SOHO Bereich an, die all solche Features von Haus aus bieten und auch nicht die Welt kosten...

 

[0711]

SSID nicht Broadcasten kann ein Sicherheitsrisiko sein, manche Treiber verhalten sich hier dämlich, generell bietet es aber auch kein wirkliches mehr an Sicherheit.

Wenn ich mal hier schau
ASUS - Netzwerk- ASUS RT-N66U

Schonmal wpa2-enterprise ins auge gefasst? Ist da auch ein Server vorhanden der Radius spielen könnte (frisst ja kaum heu und Protokollierung hast dann auf jedenfall)? Die Implementierung ist nicht gar so kompliziert und wenn du nur sichere authentifzierungsverfahren nutzt (oder gleich Zertifikate) gibt es eigentlich keine sicherere Möglichkeit ein wlan zu betreiben.