wie w-lan sicher machen?

[firefox89]

nabend
ich hab seit heute auch endlich w-lan.
an den ap sind 2 pc angeschlossen einen per w-lan und meinen per kabel.
von w-lan sowie netztwerken habe ich nicht all zuviel ahnung.
also mein ap (linksys wrt54g d2-de) ist auf wpa personal eingestellt dann hab ich nen netzwerkschlüssel vergeben.
Es funktioniert zwar alles jedoch will ich, das das netzwerk einigermaßen sicher ist. oder ist es dies schon?

Der andere pc hat eine asus wifi g karte drin, im internet steht über verschlüsselung "64bit WEP 128bit WEP WPA" was heisst das?

Bei chip.de hab ich mir schon was durchgelesen aber irgendwie wurde ich daduchr auch nicht schlauer.

was ist denn nun sicherer WEP oder WPA
wie funktioniert das mit den schlüssen etc.?


hoffe ihr könnt mir son paar basis tipps geben

bis dann mfg fox

 

[BoSS]

Hi,

WPA gilt bis heute im gegensatz zu WEP unknackbar. Es ist nur empfindlich gegen Brute-Force Attacken, aber dagegen ist fast jede Verschlüssung verwundbar. Da hilft nur einen langen Schlüssel einzugeben <64 Bit

 

[cantoo]

Prinzipiell ist WPA sicherer, wobei ich persönlich denke, dass das nur geringen Unterschied ausmacht, denn wenn jemand unbedingt Zugriff auf genau deinen AP haben will, dann wird er auch einen WPA-PSK Schlüssel knacken können - 100% sicher ist keins von beiden. Mit der Theorie kenn ich mich nicht besonders gut aus, ich kann dir nur sagen, dass WPA eine auf WEP basierende Weiterentwicklung ist, bei dem der Schlüssel sich ständig ändert. Ich persönlich hatte mit WPA bis jetzt leider immer probleme, weshalb ich nur 128-Bit WEP + MAC-Filterung aktiviert habe - sollte reichen um die Kiddies abzuschrecken.


/edit: Hab Boss' Post grad erst gelesen, dass WPA unknackbar ist halt ich für ein Gerücht, zumindest WPA-PSK nicht.

 

[BoSS]

/edit: Hab Boss' Post grad erst gelesen, dass WPA unknackbar ist halt ich für ein Gerücht, zumindest WPA-PSK nicht.

Außer mit Brute-Force ist es bis JETZT nach meinen Informationen unknackbar.

http://de.wikipedia.org/wiki/Wi-Fi_Protected_Access

http://de.wikipedia.org/wiki/Brute-Force

 

[Frankenheimer]

rinzipiell ist WPA sicherer, wobei ich persönlich denke, dass das nur geringen Unterschied ausmacht, denn wenn jemand unbedingt Zugriff auf genau deinen AP haben will, dann wird er auch einen WPA-PSK Schlüssel knacken können

mir ist kein fall bekannt in dem ein normales wpa netzwerk mit durchschnittlich langem kennwort geknackt worden ist. wep hingegen ist bereits nach ein paar sekunden bzw. minuten knackbar. der unterschied ist also enorm.

 

[firefox89]

aso ok
beim linksys wrt54g d2 de gibts nen punkt
"erneuere gruppenschlüssel" der wert is bei mir 3600 sekunde
soll man das so lassen oder evtl. 0=unendlich eingeben?

 

[marburgh]

habe auf der "Systems" letztes Jahr einem zugeschaut, der hat binnen Sekunden den WEP Schlüssel geknackt (war auch ein einfacher, er meinte jedoch, dass es bei wep keinen allzu grossen unterschied macht...) der hat glaub auch den wpa geknackt und sagte, dass nur wpa2 "sicher" ist! (der macht das aber auch Hauptberuflich )

ich hab meines folgendermassen konfiguriert:
- WPA Tkip (wpa2 kann mein lappi net, muss mal nach neuen treibern schauen, vielleicht funnzt es ja dann...)
- langer Schlüssel, mit buchstaben (groß und klein) und Zahlen => Zufällige Kombination (einfach auf Tasta geklopft )
- SSID in eigene ändern (net dass da FritzBOx steht, und das jeder potentielle Angreifer gleich sieht...
- SSID verstecken
- Sendeleistung so abgesenkt, dass es für mich noch gut reicht, aber net zu weit um das Haus
- Mac Adress Filter natürlich gesetzt

das ist so ziemlich das beste was ich aus meiner Hardware holen kann... ^^

=> das sollte dann schon recht sicher sein, zumindest weiss ich net wie ich es noch sicherer schaffen sollte

 

[Obihörnchen]

also ... auch wpa ist knackbar. ein kumpel von mir hatte ein 24-stelliges passwort generiert (also nicht wörterbuch etc.) mit sonderzeichen. das ergibt eine gute summe an möglichkeiten. die anzahl der zeichen war dem angreifer nicht bekannt. damit ist also klar, dass hier kein brute-force am werke war, sondern eine andere methode. nunja, der bruder meines kumpels ist anscheinend ein lebender pc-gott und wollte nun diesen router / wifi-anbindung knacken um dort ins i-net zu kommen. jedenfalls hat es keine viertelstunde gedauert und das teil war gehackt und ich sah, wie er im internet rumsurfte. dabei muss angemerkt werden ... JA, es hat sich um eine wpa-psk verschlüsselung gehandelt (bin kein noob ... ).

in etwa folgende vorgehensweise muss aber doch zum erfolg geführt haben:
er hat zuerst ein fehlerhaftes paket an die gegenstelle gesendet, welche vorgibt, ein datenpaket des zugreifenden rechners zu sein, daraufhin antwortete das gerät mit dem senden einiger pakete, welche nun untersucht wurden. dabei muss es ihm gelungen sein irgendwie den zugangscode zu bekommen. dies ist mir nicht klar.

auch sei hier erwähnt, dass er nicht den router-zugang geknackt hat, denn dort war eben auch ein 24-stelliges (anderes) passwort per generator eingespeist. laut auskunft des bruders ist es tatsächlich via bruteforce nicht / kaum möglich ein solches system zu knacken. der trick besteht in dem abfangen und variieren von gesendeten datenpaketen.

genaueres ließ er sich nicht entlocken.

ach so ... zur verwendeten ausstattung für diesen probe-angriff:
ein stinknormales notebook von asus mit integriertem wi-fi (centrino-modul von intel), betriebssystem unter dem der angriff ausgeführt wurde war linux (distri is ja wohl recht egal) und verwendet hat er eine im internet gefundene software, welche er in geringfügig umgeschrieben hat.

also ... hier war tatsächlich ein crack am werke und man sah in dem test (2x probiert), dass wpa schon zu knacken ist, wenn man nur die ausreichende ausstattung (SW) und den skill dazu hat.

seid euch also nicht zu sicher, dass eure daten niemand klauen kann

prinzipiell will ich jedoch nicht vor dem wireless warnen, ich benutze es auch privat (firmenlaptop connecte ich aber nur mit kabel) und bin damit sehr zufrieden und fühle mich recht sicher (vor blöden kiddies etc).
will lediglich hiermit auf die geringfügige gefahr hinweisen, dass einem so theoretisch jemand einen (nicht bemessbaren) schaden zufügen kann

so, das war nun auch genug text

 

[firefox89]

aha danke

aber wenn ich einfach auf der tasta rumklopfe das bringt auch nix da ich ja 2 mal auf der tasta rumklopfen muss einmal am router und einmal am pc und sich dann nen 24 code merken naja oder man schrebt sich diesen auf


naja was mich was wundert ist, das im benutzerhandbuch der wifi karte steht das wep 64 und wep 128 unterstützt wird!
Jedoch wird mit gesagt das wpa verwendet wird
jetzt check ich das irgendwie net mehr?


€:
Der linksys wrt54g is ja auch nen AP, kann ich irgendwie von meinem pc (ohne wlan karte nur mit dem ap per kabel verbunden) nach offenen wlan netzwerken suche?

 

[marburgh]

@ Obihörnchen: ich hab ja nur gesagt, dass es das beste ist (meines erachtens) was meine Hardware kann

habe selber gesehen, wie schnell man das knacken kann... (der hatte das auf der Systems auch so wie du beschrieben (nur etwas ausführlicher und hat alles schritt-für-schritt gezeigt! hat aber keine CD mit den tools verschenkt ) der hatte zwar als PW nur 12345678 aber hats auch so gezeigt! und der WEP war da "erschreckend" schnell geknackt.... beim WPA TKip hats dann noch etwa ne 1/4 Stunde gedauert, WPA2 dauert "etwas" länger...

=> Fand das heftig, dass er das so direkt gezeigt hat, hat sogar mal nen Tool-Namen gesagt.. (hab ich aber wieder vergessen...)

@firefox89: => rumklopfen: hab ich mir danach notiert oder du musst halt beides mal gleich klopfen
@ €dit: nein, mit den mir bekannten Tools ist das nicht möglich, aber ka, ob´s da was für Linux gibt!!

PS: der Typ auf der Messe hatte nat. Linux Laptops

 

[firefox89]

aha danke erstmal


so nun hab ich noch mal so was geguckt

und zwar Network Stumbler zeigt mir an das nur eine WEP verbindung besteht, im router ist wpa eingestellt.
windows sagt und das asus wifi prog meint auch das wpa an ist.

was stimmt nu?

 

[marburgh]

gute frage ^^

mach mal WPA aus, schau dann nochmal, und dann wieder an => wieder schauen was angezeigt wird.... wüsste nu aber net wem ich mehr vertrauen würde....

 

[HUnttuCH]

@marburgh ein pw wie 12345678 kann ich dir auch in ner viertelstunde knacken. Das wird ja mit dictionary angriff nich allzu schwer sein.

 

[Frankenheimer]

aha danke erstmal


so nun hab ich noch mal so was geguckt

und zwar Network Stumbler zeigt mir an das nur eine WEP verbindung besteht, im router ist wpa eingestellt.
windows sagt und das asus wifi prog meint auch das wpa an ist.

was stimmt nu?

stumbler kommt mit der anzeige nicht ganz klar, bei mir wird auch wep angezeigt obwohl ich das deaktiviert habe und wpa nutze

 

[marburgh]

@marburgh ein pw wie 12345678 kann ich dir auch in ner viertelstunde knacken. Das wird ja mit dictionary angriff nich allzu schwer sein.

klar, das war ja auch nur zum zeigen.... da der insgesamt nur 1h hatte konnte der da auch net allzu lang rummachen

 

[HUnttuCH]

ich kann mir trotzdem nicht vorstellen, dass das auch mit nem pw geht, das länger ist und viele sonderzeichen hat

 

[Hummmel]

aso ok
beim linksys wrt54g d2 de gibts nen punkt
"erneuere gruppenschlüssel" der wert is bei mir 3600 sekunde
soll man das so lassen oder evtl. 0=unendlich eingeben?

wenn du denn jede sekunde erneuern lässt, dann geht das auf die qualität der verbindung.

um ein w-lan möglichst sicher zu machen gibt es mehrer möglichkeiten:

1. wpa verschlüsselung. am besten nimmst du einen pw das aus groß und kleinbuchstaben, sowie sonderzeichen und ausreichend lang ist.

2. mac-adressen zugriffskontrolle. damit erlaubst du nur bestimmten w-lan karten den zugriff auf den router. selbst wenn jmd es schaft den wpa schlüsel zu knacken mus er nun noch rausbekommen wie die mac adressen der clients sind. das ist nicht unmöglich aber noch eine hürde mehr.

3. kannst du feste ip`s vergeben und den router nicht mehr als dhcp server laufen lassen. das ist aber wirklich nur ne kleine hürde für jmd der dein netzt knacken will.

4. die default einstellungen deines routers ändern. oft wird nämlich gerade das vergessen. was hast du davon, wenn du ein super pw hast, aber sich immer noch jeder mit z.b. admin und als pw neatgear einloggen.

5. abschalten, dass der router überhaupt sendet das es ihn gibt. das machst du in dem du bei SSID senden einfach den haken weckmachst. damit machst du es einem möglichen hacker schon mal schwerer dein ap überhaupt zu finden. das solltest du aber erst machen nachdem dein netz eingerichet ist, sonst können deine clients dein ap nicht finden.

6. dich nicht von den jungs verückt machen lassen...........

mfg

Hummmel

 

[firefox89]

zu
1: ich hab ein wort einfach 2 mal genommen wie zb. xysdxysd
2:habe ich
3:hab isch (hab am anfang voll vergessen das, dass schon das erste war was ich ausgeschaltet habe und hab ich beim wlan gewundert warum der keine verbindung aufbaut )
4: hab ich auch
5:?? wo kann ich das einstellen?
6: zu spät

 

[alexthebrain]

zu Punkt 5
Habe den Router nicht selbst, wird aber vermutlich (E)SSID verbergen / verstecken oder Broadcast ESSID / Name / Network heißen.
Bei den letzten Access Points die ich eingerichtet habe, konnte Net Stumbler nicht mal ein Netz finden. Selbst kein verschlüsseltes. So ist es zwar durchaus gewollt, aber woran liegt das, dass bei manchen Leuten (zB Frankenheimer) Stumbler trotz deaktivertem Broadcast ein Netz ausfindig macht?

Sicherheitstechnisch wurden hier alle relevanten Methoden bereits genannt. Ich persönlich ändere immer noch die IP des Routers und nutze einen komplett anderen IP Bereich (zB 192.168.104.x), um nochmal ein paar Steine in den Weg zu legen.

 

[firefox89]

Wireless-SSID-Übertragung:
deaktivieren?

 

[alexthebrain]

hört sich gut an

 

[cantoo]

Soweit ich weiss, kann man mit Kismet auch Netzwerke finden, die SSID-Broadcast deaktiviert haben, da bei Kismet, im Gegensatz zu Netstumbler, passiv gesnifft wird.

 

[SND-Syndrome]

zu Punkt 5
Habe den Router nicht selbst, wird aber vermutlich (E)SSID verbergen / verstecken oder Broadcast ESSID / Name / Network heißen.
Bei den letzten Access Points die ich eingerichtet habe, konnte Net Stumbler nicht mal ein Netz finden. Selbst kein verschlüsseltes. So ist es zwar durchaus gewollt, aber woran liegt das, dass bei manchen Leuten (zB Frankenheimer) Stumbler trotz deaktivertem Broadcast ein Netz ausfindig macht?

Sicherheitstechnisch wurden hier alle relevanten Methoden bereits genannt. Ich persönlich ändere immer noch die IP des Routers und nutze einen komplett anderen IP Bereich (zB 192.168.104.x), um nochmal ein paar Steine in den Weg zu legen.

Wenn Du SSID Broadcast deaktiviert hast, gibt's vielleicht ein Bug in der Firmware des AP/Routers?

 

[SND-Syndrome]

Habe vorgestern bei uns auch ein WLAN eingerichtet und habe dazu noch eine kleine Frage:
In meinem Linksys WRT54G gab es als WPA2-Verschlüsselungsmodus die Auswahl "AES" oder "TKIP+AES"...ich habe einfach mal "TKIP+AES" gewählt. Ist das gut so oder wäre nur AES besser? Habe da leider noch nicht so viel Ahnung...