KRACK: Auch dein verschlüsseltes WLAN ist jetzt unsicher
Mehrere Schwachstellen im WPA2-Sicherheitsprotokoll sorgen dafür, dass sicher geglaubte Datenübertragungen entschlüsselt, abgehört und verändert werden können. Das Problem, von dem alle aktuellen WLAN-Geräte betroffen sind, wird voraussichtlich nicht einfach behebbar sein. Immerhin sind bisher nur wenige Spezialisten in der Lage, die Schwachstelle auszunutzen.
Das WLAN, wie wir es aktuell in handelsüblichen Routern verwenden, ist nicht so sicher wie angenommen. Und daran sind nicht einmal die Router-Hersteller selbst schuld. Das zur Verschlüsselung eingesetzte und bislang für unknackbar gehandelte Sicherheits-Protokoll WPA2 hat mehrere Fehler.
Beim Verbinden eines Gerätes mit dem WLAN-Access-Point wird gemäß WPA2 über einen Vier-Wege-Handshake ein geheimer Schlüssel zwischen den beiden Geräten ausgehandelt. Dieser stellt sicher, dass in der Nähe befindliche Geräte die darauf folgende Datenverbindung zwar abhören, aber nicht mehr (in einem angemessen Zeitraum) entschlüsseln können. Doch dieser Handshake, so haben jetzt mehrere Experten gemeinsam herausgefunden, ist fehlerhaft. Einer der Schritte lässt sich beliebig oft wiederholen; Angreifer können hier intervenieren, den Schlüssel abfangen und die Verbindung abhören oder sogar manipulieren. Verschlüsselte HTTPS-Verbindungen sind allerdings sicher.
Diese neue Sorte von Hack-Angriff wurde Key Reinstallation Attacks oder kurz KRACK genannt. Die dahinter befindliche Forschung wird seit Wochen unter Verschluss gehalten. Für heute um 14 Uhr mitteleuropäischer Sommerzeit wurde die Veröffentlichung der Forschungsergebnisse unter krackattacks.com anberaumt. Noch ist unklar, wie ein Real-World-Angriff auf die Verschlüsselung von WPA2 konkret funktionieren wird. Sollte ein Exploit vergleichsweise einfach zu realisieren sein, sind WLAN-Netzwerke ab sofort nicht mehr vertrauenswürdig. Auf diversen Sicherheitskonferenzen werden einige der Forscher den neu entdeckten Angriffsvektor genauer beschreiben.
Spätestens danach dürfen wir von Router-Herstellern erwarten, dass sie einen entsprechenden Patch liefern. Bis dahin wird empfohlen, WLANs zu vermeiden, sie ausschließlich über vertrauenswürdige VPN-Verbindungen zu verwenden oder sich auf HTTPS-, STARTTLS- oder Secure-Shell-Verbindungen zu beschränken.
AVM erklärt zur Krack-Lücke bei WPA2:
Seit heute wird über eine Lücke im WPA2-Protokoll von WLAN berichtet. WPA ist relevant für alle WLAN-Produkte vom Smartphone über Router bis zur IP-Kamera. Angriffe sind nicht bekannt und könnten auch nur im direkten WLAN-Umfeld erfolgen. Für eine genauere Einschätzung müssen noch weitere Details bekannt werden. Unabhängig von Krack findet bei der Internetverbindung über HTTPS-Seiten (Onlinebanking, Google, Facebook etc.) eine sichere Verschlüsselung statt.
Falls notwendig wird AVM wie gewohnt ein Update bereitstellen. Die Wifi Alliance fasst die Situation > hier zusammen.
Die Wi-Fi-Alliance erklärt:
Es gibt keine Hinweise darauf, dass die Sicherheitslücke böswillig ausgenutzt wurde. Die Wi-Fi Alliance hat umgehend Schritte eingeleitet, damit Anwender sich darauf verlassen können, dass auf Wi-Fi starken Schutz der Sicherheit gewährleistet.
Auf der jetzt freigeschalteten Website Krack Attacks heißt es wie folgt:
Unser Angriff ist besonders katastrophal in Versionen 2.4 und neuer des wpa_supplicant, eines in Linux häufig eingesetzten Wi-Fi-Clients. [...] Da Android wpa_supplicant verwendet, enthalten Android 6.0 und neuer diese Schwachstelle. [...]. Also sind 41 Prozent der aktuellen Android-Geräte empfindlich gegen die schwerwiegendste Form von KRACK.
Quelle: Ars Technica
Ich habe keine Probleme mit der Lücke - verwende meist sowieso ein offenes (Freifunk.net) Netz ;-)
Wie sieht es denn aus wenn ich bei einer Fritz.Box den WLAN-Zugang nur auf bekannte Geräte beschränke?
Das war ja so gemeint, nur auf bekannte Mac-Adressen beschränken und Dein Router ist an dieser Stelle dicht.
Angeschlossene Endgeräte könnten dann ja Lücken noch aufweisen, wie z.Bsp. Smartphone auf Fernseher via Bluetooth, ist in der Regel aber eher unwahrscheinlich.
_
Wenn ich das richtig verstanden habe, muss der vermeintliche Angreifer vom W-Lan aus eindringen. Hier bin ich in der glücklichen Lage eine AVM FritzBox zu besitzen. Zwei Dinge, die hier möglich sind und von mir auch verwendet werden sind zum einen MAC-Adressen-Filterung und ´hidden-network´. Hiermit ist der Router direkt geschützt, verhindert aber nicht, dass Eindringen über Endgeräte. Hier ist der User verpflichtet seine Geräte regelmäßig zu überprüfen. Selbst ein Samsung Fernseher besitzt im Menü einen Scanner der regelmäßig einen Scan durchführen sollte.
Selbstverständlich entbindet es nicht die Hersteller von der Pflicht von Sicherheits-updates. Aber alles miteinander sollte eine weitestgehende Sicherheit garantieren.
100%-ige Sicherheit garantiert nur ein genereller Verzicht auf digitale Kommunikation, und das will heutzutage keiner mehr.
Der Chaos Computer Club hat die Sache etwas entkrampft. Es besteht bei "Homebanking und Online Kauf eher eine geringe Gefahr, da diese Seiten i.d.R. eh SSL- verschlüsselt sind.
Nach den neuesten, mir vorliegenden Informationen ist von KRACK nur die Norm 802.11r betroffen, was in Netzwerken mit mehreren Access Point Verwendung findet, damit sich Clients immer mit dem nächsten verbinden. Genau in diesem Wechsel der Funkzelle scheint die Lücke für einen Man in the Middle begründet zu sein. Fritz!Boxen verwenden das nicht. Somit dürfte auch jeder aufatmen, der nur einen Router und keine Repeater verwendet, selbst wenn er keine Fritz!Boxen einsetzt.
In der Firma kann die Situation schon eine andere sein. In Formen sind mehrere sich überlappende Funkzellen eher üblich.
Abgesehen davon, richtet sich ein KRACK-Angriff wohl nur gegen Clients und nicht an den Access Point. Somit ist auch nur die Kommunikation von Client zum Access Point abhörbar. Der entgegengesetzte Weg nicht, weil WPA2 an sich damit nicht geknackt ist.
Umso wichtiger sind Updates für Smart-Devices wie Telefone, Tablets, Drucker, Fernseher, NAS-Server sowie der ganzen Smart-Home-Krempel, bei dem WLAN verbaut wurde.
AVM kritisert die Entdecker, dass sie sich nicht an das Responsive-Disclosure-Verfahren gehalten haben, das eigentlich für solche Fälle vorgesehen ist, damit die Lücken nicht sofort öffentlich werden, damit die Hersteller Zeit haben, Patches zu entwickeln und auszutesten.
-
Admin
17.10.2017 Link zum KommentarAuch das BSI rät zur Vorsicht: https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2017/WPA2Verschuesselung_16102017.html
Ich wünsche uns, dass die Routerhersteller da schnell entsprechende Patches liefern...
Mann könnte ja den Router sagen, dass wenn einer der 4x WPA2 Schritte zu oft beim Einwählen passiert, dieser die IP des Client temporär sperrt?
Die Sicherheitslücken sollten daher geschlossen werden, für die obige Lösung hatte ich gerne eine gute Stelle bei der WiFi Alliance! 😉😂
KRACK betrifft alle Geräte, die WLAN anbieten: Der Router, Windows-Systeme, MacOS-Systeme, Linux-Systeme, Android-Devices, iOS-/watchOS-/tvOS-Devices, Windows Phone-Devices, NAS-Systeme, Smart-TV, Drucker und, und, und. Eben alles, was WLAN hat.
Android und Linux sind durch einen Fehler im Tool wpa_supplicant besonders gefährdet. Linux steckt aber auch in vielen Embedded Systemen wie Routern, Druckern, Fernsehern, NAS, Smart-Home etc.
Alle diese Systeme benötigen ein Update. Wird nur ein System nicht gepatcht und der Router verweigert dann beispielsweise die Verbindungsaufnahme mit ungepatchten Geräten dürften nicht wenige Nutzer auf das noch unsichere WPA oder WEP zurückgehen. Das wäre fatal.
KRACK betrifft uns alle, nicht nur durch unsere Androiden. Das Ausmaß ist riesig und darf damit nicht kleingeredet werden, nur weil man sich selbst auf den ersten Blick für uninteressant hält. Jeder schießt schließlich seine Haustür ab, obwohl vielleicht seit Jahrzehnten in der Nachbarschaft nicht eingebrochen wurde.
Die öffentliche Bekanntmachung dieser Lücke ist keine Panikmache, sondern eine notwendige Warnung. Nun ist es an den Herstellern unserer Geräte, die Lücke zu schließen und an uns, diese auch einzuspielen. Für die Zukunft können wir das Update-Verhalten einzelner Hersteller in unsere künftigen Kaufentscheidungen einfließen lassen.
An meiner Haustür befindet sich ein Sicherheitsschloß Namens RADIUS. Man kommt zwar an die Haustür, weiter aber auch nicht. Es sei denn, man ist Profi Einbrecher und selbst da dauert es eine ganze Weile und die Zeit nimmt sich niemand. Auch auf meiner Synology ist RADIUS aktiv. Trotz allem ist natürlich ein Patch unumgänglich. Nur wann da die Kabel TV Anbieter nachziehen dürfte mal wieder fraglich sein.
Nobel, nobel!
Ich wollte meine WLAN-Authenfizierung auch schon immer auf Radius umstellen. Irgendwie verbleibt das immer...
Meine Synology bekam gerade ein Sicherheits Update für WLAN, ich denke mal wegen Krack. Deine auch? 18.10. 18:50
Das Problem ist seit den Sommermonaten bekannt und bisher hat nur Microsoft einen entsprechenden Patch veröffentlicht. Wo bleibt denn hier mal wieder Google..
@CB nicht mal der Tod ist sicher..😬👍...
Ich habe aber auch gerade die Nachrichten auf ZDF davon erfahren dass Linux und Android davon betroffen sein sollen aufgrund der mangelnden Updates und das Hersteller bei neuen Geräten daran sparen die neueste verfügbare Android Version aufzuspielen und dann Updates sperren sodass Geräte die meist auch nach 1 Jahren noch verwendet werden mittlerweile total unsicher sind das Galaxy S6 EDGE und anderen. Gezeigt wurde ein Fall von einem der ein Galaxy S6 Edge besitzt und Online-Banking macht und er hat dadurch das noch Android 7.0 vorhanden ist leider seit Android 6.0 eine Software drauf die das Handy ausspioniert hat. Es kann man natürlich rumdiskutieren... Ob er nicht vielleicht auf irgendwelchen Schmuddelseiten im Internet war oder andere Software drauf gespielt hat aus dem Internet und sich dadurch die SchadSoftware runtergeladen hat... Aber im Endeffekt liegt es an den Mangel Sicherheitsupdates die die Hersteller ausliefern und an den mangelnde Updates auf die neue Version von Android. Es gab auch eine Umfrage die bestätigt hat dass viele Android-User es bevorzugen und endlich auch in die Pflicht nehmen wollen das Smartphone mindestens drei Jahre mit der neuesten Android-Version ausgestattet werden sollen und auch dann wenn sie rauskommt und auch jeden Monat die neueste Sicherheits-Software
Linux und Android sind über das Paket wpa_supplicant angreifbar. Das zeigt seit einigen Versionen ein Verhalten, das diesen Angriff leichter macht, als unter Windows, iOS oder MacOS. Alle Systeme sind dennoch angreifbar.
Ich habe jedoch soeben ein Update für meine Linux-Distribution bekommen (Fedora). Damit wäre ebenfalls ein Update aller Android-Geräte durch die Hersteller möglich. Das Paket ist 1,2 MB groß!
Jedes Android-Device könnte genau jetzt genau dieses Update bekommen und damit wäre KRACK erschwert, wenn auch noch nicht geschlossen.
Es ist das gleiche Szenario wie damals die WEP Verschlüsselung. Wenn jetzt ein Loch gestopft wird, erscheint in 3 Wochen die nächste Lücke.
Und eines ist dabei sicher: WPA (2) ist angreifbar. Alleine diese Tatsache beflügelt manche Menschen dazu, noch tiefer zu graben um Lücken zu finden.
Erstens lagen zwischen dem gebrochen RC4-Verfahren bei WEP und WPA zum jetzt angreifbaren WPA2 10 Jahre und nicht 3 Wochen, zum zweiten: Was willst Du mit damit zum Ausdruck bringen? Hoffentlich nicht, dass man auf Verschlüsslung verzichten kann!
Ganz abgesehen davon, dass die Verschlüsselung WPA2 selbst nicht geknackt wurde. Der Schlüssel selbst ist nicht geknackt. Vielmehr kann ein Session Key manipuliert werden, indem ein alter Session Key erneut verwendet werden darf. Wird die Aushandlung der Session Keys in WPA2 abgesichert, darf WPA2 wieder als sicher gelten.
Dennoch sollte man, nach Schließen der Lücke, seine WPA2-Passphrase ändern. Denn da viele die Standard-Passworte der Router nicht ändern, kann man, wenn man schon im Netzwerk ist, diesen auslesen.
Microsoft hat die Lücke schon geschlossen
Richtig. Und AVM Fritz Boxen waren eh nicht betroffen.