Knekker WPA på 15 minutter

[int20h]

En av sikkerhetsalgoritmene som brukes på trådløse nettverk kan knekkes på minutter.

 

Les mer

[Lock-Aze]

Kanskje ikke så dumt at jeg kjører det meste på WPA2 og AES da...

[wiak]

Eller bruke en Router med Guest Zone

som D-Link DIR-655 med firmware 1.21

http://forums.dlink.com/index.php?PHPSESSI...mp;topic=2353.0

da kan du ha eget privat nettverk med WPA2-AES som jeg har, og ha et WPA/WPA2-TKIP/AES Guest Zone Network for andre pcer som bare trenger direkte tunnel til internet og ikke noe deling

Endret 10. november 2008 av wiak

[Olaaaaa]

På ingen måte overraskende at WPA blir angrepet, men om man leser kildene ser man at dette ikke er like farlig som det kan se ut som. Det at man har funnet bruddd i TKIP betyr ikke at hele WPA er knukket, man klarer visstnok ikke enda å tyvlytte på andres transportstrømmer. Enkleste nå er å bruke WPA2, om man har utstyr som støtter det, så slipper man all problematikken. Det meste trådløs-utstyr de siste mange årene har støtte for WPA2.

 

Forøvrig er ikke artikkelen helt nøyaktig. TKIPs ekvivalent er CCMP, AES er kjernefunksjonen på samme måte RC4 er kjernefunskjonen i TKIP.

[wiak]

og ja ikke nye nytt, BD+ som alle vet skulle vare i et tiår men ble knekt ganske fort etter AACS

[Squeegie]

Enkleste nå er å bruke WPA2, om man har utstyr som støtter det, så slipper man all problematikken. Det meste trådløs-utstyr de siste mange årene har støtte for WPA2.

Så lenge det er et alternativ, ja.

 

Mye utstyr som ikke fungerer med WPA2 i diverse hjem fortsatt dessverre. De aller fleste likevel om de kjøper seg ny PC ønsker å kunne bruke sin gamle på nett.

[Svar]

Bare jeg får en maskin til i hus blir det WPA2 enterprice hos meg

(mest for å sjekke hvordan det fungerer i praksis da)

[Olaaaaa]

Enkleste nå er å bruke WPA2, om man har utstyr som støtter det, så slipper man all problematikken. Det meste trådløs-utstyr de siste mange årene har støtte for WPA2.

Så lenge det er et alternativ, ja.

 

Mye utstyr som ikke fungerer med WPA2 i diverse hjem fortsatt dessverre. De aller fleste likevel om de kjøper seg ny PC ønsker å kunne bruke sin gamle på nett.

Forhåpentlig vis dør det meste utstyret før det begynner å utgjøre en sikkerhetsrisiko, fant ut at min egen ruter ikke støtter WPA2, så det kan nok hende den skal pensjoneres snart. Den er uansett ganske sliten og klarer ikke så mye trafikk eller mange maskiner.

[Toast Is Pimp!]

Bærbaren min med Intel Pro 2100

Takler ikke WPA2... Så jeg kjører WEP.

Har ikke ofra så mye på tanken på WPA

 

Men med en instilling på DD-WRT Firmwaren, kan jeg selv slå av og på WLAN ved og trykke på knappen forran. Og siden jeg tar strømmen til allt geare som står ved TV'n når jeg legger meg, er ikke det et så stort problem.

Før med gammlere DD-WRT firmware måtte jeg skrive en kommando som gjorde dette. Men måtte jo hele tiden skrives inn på nytt hvis jeg tar strømmen.

 

MAC Filter kan jo også være lurt og legge inn.

Men det er ikke vanskelig og kjøre et scanneprog som ser Klienter?

Endret 10. november 2008 av Lord Grÿllwotth

[meastp]

[...]

MAC Filter kan jo også være lurt og legge inn.

Men det er ikke vanskelig og kjøre et scanneprog som ser Klienter?

 

Mac-addressene sendes vel i pakkene, og når du evt. har knekt wep-koden passivt, vil det antakelig være en smal sak å finne en av de godkjente mac-addressene og bruke denne på egen maskin. Ikke umulig at det finnes verktøy som gjør dette automatisk, og da er det jo en viss risiko, om veldig liten.

[HKS]

Mac-addressene sendes vel i pakkene, og når du evt. har knekt wep-koden passivt, vil det antakelig være en smal sak å finne en av de godkjente mac-addressene og bruke denne på egen maskin. Ikke umulig at det finnes verktøy som gjør dette automatisk, og da er det jo en viss risiko, om veldig liten.

MAC-adressene sendes ikke kryptert, Spoofe MAC-adresser er meget enkelt, så det er et ganske verdiløst tiltak.

 

Tilbake til topic, så er det veldig mange der ute som sitter med gammelt utstyr som ikke støtter WPA2, eller 802.11i som det også er kjent som.

Det er også flere som kjører det som kalles mixed mode, der access-punktet tillater både TKIP og AES.

[siDDis]

Det er vell ikkje så alvorleg som mange trur, alt du trenger er å ha eit langt nok passord så blir det verre å koma seg forbi det. http://it.slashdot.org/article.pl?sid=08/11/07/1312246

 

Well, the ARS writeup is much better that what dribbled out yesterday, and I actually understand what is going on here. I was one of the authors of IEEE 802.11i. The protection mechanism we built in to counter these type of attacks (TKIP Countermeasures triggered by two or more MIC failures within 60 seconds) is STILL present and functioning as designed. These guys figured out that the MIC counter is incremented separately for each QoS queue, so instead of one guess at the key per minute, you get LOTS more. The "flaw" then is in the interaction of 802.11i (the security enhancements) and 802.11e (QoS), not in 802.11i itself.

 

Remember that the key that is cracked is a per-frame temporal key, not the pairwise master key, and the scope of what you can do with this is severly limited. I am personally not at all convinced that that this attack or ones which build on it will improve. This attack is an active one, and it is detectable either by the AP under attack or by a wireless IDS. I can also predict that a simple change in the way MIC failures are tracked and rekeying the network when this attack is detected would defeat it, just as the original Michael MIC was designed to do.

 

Finally, remember that TKIP was intended to be a retrofit to band-aid the problem until the full AES based standard was finished. We published what became known as WPA more than 6 years ago, and didn't mandate the replacement of hardware to implement it.

 

Not to bad, in my humble opinion....

Endret 10. november 2008 av siDDIs

[ATWindsor]

Eller bruke en Router med Guest Zone

som D-Link DIR-655 med firmware 1.21

http://forums.dlink.com/index.php?PHPSESSI...mp;topic=2353.0

da kan du ha eget privat nettverk med WPA2-AES som jeg har, og ha et WPA/WPA2-TKIP/AES Guest Zone Network for andre pcer som bare trenger direkte tunnel til internet og ikke noe deling

 

Artig funksjonalitet, takk for lenken, har lenge lurt på hvorfor slikt ikke er lettere å få til. (altså å la gjestePCer være på nettet ditt, uten å måtte kompromitere egen sikkerhet så mye)

 

AtW

[ekm]

Virker som om "alle" har kastet seg over denne nyheten uten å sette seg inn i saken og bare refererer til andre kilder.

Greit nok at TKIP har svakheter(som egentlig er "nyheten her") - men verktøy som ihvertfall til tider kan knekke WPA har allerede eksistert en stund (ergo WPA har derfor delvis vært "usikkert" tidligere også).

 

Hva om hw.no istedefor å komme med via-via nyheter prøvde å komme med en litt annen vinkling(deler av den orginale artikkelen ligger tilgjendelig på nett) der man prøvde å forklare hva som faktisk er svakheten som er oppdaget og ikke minst hva man kan gjøre for å forhindre dette mest mulig.

 

Til de som faktisk har byttet ifra WEP (75% av alle private nettverk benytter jo WEP fortsatt) og nå lurer på hva dere skal gjøre:

Bytt til AES evt. WPA2

Har man en gammel router som ikke støtter AES eller WPA2 kan man jo ihvertfall til en hvis grad forhindre dette foreløpig ved å sette nøkklen til å fornyes hvert femte minutt e.l.hver time er standard på de fleste routere.

Hvis du har informasjon som ikke tåler dagens lys eller ønsker å være 100% sikker på at ingen "leser vg.no via ditt nettverk" er det bare en ting som hjelper.....skru av trådløst og gå over til kablet nettverk.

Endret 10. november 2008 av ekm

[Olaaaaa]

Har man en gammel router som ikke støtter AES eller WPA2 kan man jo ihvertfall til en hvis grad forhindre dette foreløpig ved å sette nøkklen til å fornyes hvert femte minutt e.l.hver time er standard på de fleste routere.

Hvis du har informasjon som ikke tåler dagens lys eller ønsker å være 100% sikker på at ingen "leser vg.no via ditt nettverk" er det bare en ting som hjelper.....skru av trådløst og gå over til kablet nettverk.

WPA bytter nøkkel for hver pakke. Hvis det er snakk om å bytte PSK hvert 5. minut vil du ha et helvete med administrasjon og synkronisering, tenk deg å måtte manuelt bytte nøkkel på alle PC'ene på nettverket 12 ganger i timen, det blir vanskelig å game på et sånt nett. Det å finne gode passord, pre-shared keys, og bytte dette med halvårs-års mellomrom er bedre enn mange dårlige. Gode passord er ikke mulige å knekke med rainbow tables, som tidligere har blitt sagt å være WPAs største "svakhet". Forøvrig, WPA2 bruker AES som kjernefunksjon. Ingen motsetning mellom dem.

 

Om man setter opp 802.11i med EAP, 802.1X-sertifikater, RADIUS AAA, gode passord og gode sertifikatdistribueringsmetoder er det på noen måter sikrere enn kablet nett. Der går jo trafikken ukryptert, og metoder for å kunne lytte på stråling fra kabler for å snoope på trafikken har eksistert siden 60-tallet (Se wikipedia om TEMPEST), men om man vil være enda sikrere, både kablet og trådløst kan man kjøre VPN. Da kan man stort sett regnes som trygg inntil noen finner en svakhet i RSA eller Diffie-Hellmann.

 

Det har jo ellers vært den største kritikken mot kvantekryptografi, nå som matematikken, kryptografien og datakraften har kommet så langt er det ikke lenger det lange transportstrekket som er kritisk, det er brukerene som ender opp som det svakeste leddet.

[Misantropen]

Selv WEP er rimelig mye jobb å knekke bare for å få tilgang til et privatnett. At WPA også har latt seg knekke i lengre tid er jo som nevnt ikke noe nytt - men man var vel avhengig av mer trafikk på nettet uansett.

For hjemmebrukere har det vel strengt tatt lite å si, for det man egentlig bare vil er jo å hindre tilfeldige "snyltere" å komme inn på ens nett. Det blir som å sette lås på sykkelen din - 99,9% kommer da ikke til å rappe den for å komme seg hjem, mens den ene promillen tyver som vil rappe den klarer det uansett hvor god lås du har satt på!

Så er jo spørsmålet bare om hvorvidt det er verd bryet å knekke WEP/WPA, fremfor å rappe en annens ukrypterte nett i steden??

Edit: Hørte jeg "Ulv ulv"

Endret 11. november 2008 av Misantropen

[Olaaaaa]

Den vanlige misforståelsen er at WEP er vanskelig/tar tid/krever kunnskap for å knekke. Det eneste du sikrer deg med WEP er at de som kommer inn også har kunnskap nok til å kunne gjøre mindre morsomme ting med nettet ditt. Som jeg har referert til ved flere andre anledninger, Breaking 104 bit WEP in 60 seconds viser at det er enkelt. Guider finnes på nettet, software finnes med alle de siste triksene. Og igjen, spørsmålet jeg aldri har klart å få noe svar på: Når man først bestemmer seg for å sette opp kryptering og man kan bruke WPA på alle ting som takler WEP (OK, noen få unntak, men det er sjeldent og gammelt utstyr), hvorfor velger man ikke den metoden som er mest sikker? Når det i tillegg er veldig enkelt (til og med foreldrene mine klarer å sette det opp) ser jeg ikke hvorfor folk ikke setter opp noen kryptering.

 

Man havner da fort i kategori sammen med de som kjører Win98 eller XP uten en eneste sikkerhetspatch, der maskinen er i ett eller flere botnet som pumper ut spam, og som i tillegg klager over at maskinen går "så mye tregere enn den burde".

[G]

Kunne vært artig om en kunne få en firmware som hadde fått fjernet alt som ikke var eller er bedre enn WPA2.

[lockdog]

Littegranne off-topic, men:

 

Hjemme hos foreldrene mine har jeg satt opp trådløsnettet med mac-filtrering og WEP-kryptering.

Grunnen til dette er en gammel pc som ikke støtter WPA på det integrerte kortet.

Hvor sikkert er dette? Usentralt strøk, så egentlig kunne jeg nesten kjørt åpent nett, men..

[Toast Is Pimp!]

Neh. Går vell bare lækkert.