Sicherheitslücken durch Wlan-Nutzer?

Anzeige

Die WPS Push-Button Methode ist sicher wenn diese korrekt implementiert wurde. Was bei der Fritz!Box der Fall sein dürfte.

 

Ja, aber wie du bereits geschrieben hast ist das theoretisch. Wer würde in der Realität einen solchen Aufwand treiben um sich Zugang zu einem privaten WLAN zu verschaffen?
Der Aufwand wäre höher als der mögliche Nutzen.
Und in Unternehmen in denen auf IT-Sicherheit Wert gelegt wird wird WPS erst gar nicht genutzt.

Es gab allerdings Routermodelle die keine begrenzten Zeitfenster hatten bei der Anmeldung über die PIN-Methode. Klar, das war ein Implementierungsfehler u. nicht gewollt.
Ein paar Sekunden stimmt übrigens nicht, viele Router gestatten ein Zeitfenster von 2 bis 5 Minuten innerhalb der eine WLAN Anmeldung über die WPS PIN möglich ist.
Und dann stellt sich noch die Frage ob WPS nach Anmeldung eines Gerätes wieder deaktiviert wird oder ob die Anmeldemöglichkeit bis zum Ablauf der vorprogrammierten Zeitspanne aktiv bleibt.
Bei der Push Button Methode ist festgelegt dass pro Aktivierung nur ein Gerät angemeldet werden darf.

Neben der Push-Button und PIN-Methode gibt es für kleinere mobile Geräte noch die NFC-Methode zum Austausch des WLAN-Schlüssels. Diese ist allerdings in kaum einem Router eingebaut.

 

Schwer zu sagen, wie hoch der Aufwand ist – im Grunde müsste man nur den Timer der Clientseitigen Implementierung auf unendlich setzen. Immerhin hat man dann das Passwort um jederzeit wieder rein zu kommen…

Deswegen zur Not dann manuell wieder aus.

Das hätte dann den Vorteil, dass die Zugangsdaten gar nicht über das WLAN übermittelt werden, sondern über ein eigenes Netz mit viel geringerer Reichweite. Funktioniert dann aber natürlich nur bei Smartphones und ähnlichem – und bei dem Kram kann man das Passwort zur Not sogar noch eingeben. Wirklich nervig ist die Eingabe langer Passwörter dagegen bei Fernsehern und ähnlichem…[/quote][/QUOTE]

 

Nur gibt zusätzlich auch der Router eine begrenzte Zeitspanne vor, bei einer korrekten Implementierung. Was nutzt es dann nur beim Client den Timer auf unbegrenzt zu stellen?
Ist die Zeit abgelaufen ist eine Anmeldung nicht mehr möglich.
Eine PIN ist immer max. nur für ein paar Minuten gültig.

Das Problem liegt an einer anderen Stelle. Nämlich am WPS Standard selber.
WLAN-Sicherheit: WPS-PIN lässt sich einfach ausrechnen - PC Magazin

 

Das ist ja egal – WPS verbindet sich ja nicht mit einem konkreten Netz, sondern mit dem erstbesten. Also wartet dieser präparierte Client einfach, bis irgendein Router sich meldet…

Ne, nicht im Standard, sondern in der Implementierung des Zufallsgenerators im Router. Wie der PIN aussieht, kann sich der Router ja komplett frei aussuchen – und eben dessen Zufälligkeit ist nicht zufällig genug…

 

Muss die Methode zur Erzeugung der Zufallszahlen in den Geräten nicht identisch sein? Also in Router u. mobilem Endgerät.

 

Das Zeitfenster bei der PIN war imho erst nicht vorgesehen, machte man dann um den BruteForce Attacken zu umgehen (dort wurden die ersten 4 Ziffern bestimmt und der Rest geraten).

Neben PIN, Push und NFC gibt es noch USB (wie bei Fritz.Box Sticks).

 

Am Client gibt man den Pin doch selbst ein – oder verwechsel ich das jetzt mit irgendwas…? Im Prinzip ist das ganze einfach nur ein kurzzeitiges, sehr einfaches Passwort.

 

Das Zeitlimit ist also eine nachträgliche Ergänzung zur ursprünglichen WPS Spezifikation.

 

Und mit welcher Methode überprüft der Client ob die eingegebene PIN korrekt ist? Ich dachte dieser berechnet die PIN und überprüft ob die eingegebene PIN mit der berechneten PIN übereinstimmt.