Viele Router unsicher: WPS deaktivieren!
von caschy | 38 Kommentare
Hui, nicht gerade kleine Sicherheitslücke, die der Stefan Viehböck da entdeckt hat. Viele, viele Router sind unter Umständen direkt ab Werk unsicher, sofern WPS (WiFi Protected Setup) in Verbindung mit der Pin-Methode benutzt wird. WPS ist für den, der es braucht eine praktische Sache. Geräte müssen nicht mehr umständlich ins Netz gebracht werden – man drückt einen Knopf am Router und einem am Gerät, die beiden erledigen den Rest, ohne nervige Eingabe des Sicherheitsschlüssels.
Wenn ich WPS benutze, dann tatsächlich mit der eben beschriebenen Push-Button-Methode, die vom entdeckten Sicherheitsproblem nicht betroffen ist. Diese dürfte aber alle die betreffen, die WPS mit der PIN-Methode seitens Router dauerhaft aktiviert haben.
Denn dieser gibt bei fehlerhaften Eingaben immer einen Errorcode zurück, der sich mit einem entsprechenden Brute Force-Tool so nutzen lässt, dass man in einem Zeitraum von 90 Minuten bis 10 Stunden im Netzwerk sein kann. Dies betrifft nur Router, die keine Sicherheitsvorkehrungen oder Zeitfenster gegen Brute Forcing implementiert haben.
Was hilft? Die Hersteller müssten sich outen und ein Firmware-Update bereit stellen, alternativ schaut ihr, ob euer Router WPS aktiviert hat und deaktiviert es dementsprechend, bzw. stellt ihr den Spaß auf Push-Button um. Betroffene Hersteller? Unter anderem Belkin, Buffalo, D-LINK, Linksys, Netgear, TPLink & ZyXEL. Auch zum Thema: derStandard, Golem & US Cert.
Wird geladen ...
Ist die abgebildete FRITZ!Box denn betroffen?
Nein, die nehme ich nur zur Visualisierung.
Also ist die FritzBox-Familie gar nicht betroffen?!?
Die in meinem Umfeld nicht. Nö.
Ich glaube das Symbolbild sorgt für Verwirrung:-)
Die Fritzboxen haben generell ab Werk eine Brute-Force Protection.
Bei jeder fehleingabe wird die Verbindung vollständig getrennt und der Zeitraum, wann eine erneute eingabe möglich ist erhöht.
Bei 5 Fehlern gibts 30 min sperre – auch beim PW des Webinterface etc. Bei WLAN wird soweit ich das noch richtig im Kopf hab sogar die MAC-Adresse für wenige sekunden gesperrt, damit keine erneute anfrage möglich ist. Damit sollte auch die o.g. Methode scheitern.
Und die Brute-Force mit den Millionen nötiger Anfragen würde seeeehr lange dauern.
Außerdem ist normalerweise Push-Button aktiv, nicht Pin. Die muss man manuell aktivieren.
Arbeite seit mehr als 5 Jahren mit den Boxen und auch mit Modding an den Boxen – da kennt man das System ein wenig ^^
@caschy: mach doch n Bild von dem Linksys rein den du irgendwann mal getestet hast ^^
Danke für den Hinweis, werd ich gleich mal nachsehen.
Und wieder einmal bin ich froh, dass alle Boxen in unserem Haus von AVM stammen – ich lerne wirklich immer mehr, die Dinger zu lieben 😉
OPEN-, oder DD-WRT…wat anderes kütt nit auf die Router.
So ein Schabernack, die vorinstallierten Firmwares….
@Achisto: bis zur 7270 gebe ich dir Recht, 63xx und 7390 taugen nichts, stürzen reihenweise ab. Nicht nur einzelne Geräte, sondern massig.
Die Boxen der Telekom sind ja oft auch vom Hersteller der Fritzbox. Braucht man sich da dann auch keine Sorgen zu machen? ich bin da nicht wirklich beandert.
meine 7390 ist noch kein einziges mal abgestürzt. trotz der immer aktuellsten fritz.labor firmware.
auch die die fritz.wlan repeater bieten die selben schutzmechanismen um brute force attacken deutlich auszubremsen.
Ganz doofe Bildauswahl…;)
OK, ich bin auch drauf reingefallen. Das Bild der Fritzbox i.V.m. der Headline hat mich eben @googleplus neugierig gemacht. ,-)
Bei der Gelegenheit: Unterstützt Windows Vista bereits WPS (oder erst ab Win7)?
Warum ein Foto einer FritzBox wenn gerade diese dagegen gesichert ist? Symbolfoto hin oder her…
Meine Fritzbox 7390 ist auch seit einer bestimmten Firmware vor einiger Zeit nie wieder abgestürzt. DECT und WLAN sind auch stabil, einschließlich Fritz!Repeater Verbindung. Vermutlich Kinderkrankheiten am Anfang …
Ich benötige gerade dieses Modell, weil es ja GigaBit – Anschlüsse für den direkten Anschluss meines NAS und Multimedia PC Systems z.B. mitbringt.
Gut daß die Fritzbox nicht davon betroffen ist. Allerdings finde ich diese als Bild zu dem Artikel dann absolut missverständlich. Gerade auf der Startseite denkt man doch sofort aus reiner Logik, daß diese davon betroffen sei! Finde ich nicht sooo gut.
das WPS bullshit ist, das ist doch schon seit jahren bekannt.
ist in etwa genauso sinnvoll wie das vorgehen von banken beim online banking: alles total super dolle mit ssl und dem ganzen kram gesichert und dann das login passwort auf max 6 zeichen (zahlen only) beschränkt und als login name die kontonummer unabänderbar vorgegeben. –> intelligenz.
Muss Abloada Recht geben! Die Fritzbox 7390 läuft seit Monaten stabil bei mir und ich habe auch immer die neusten Firmwarelaborversionen drauf.
@caschy
Einfach mal die neue Laborversion runterladen, Fritzbox auf Werkseinstellungen zurücksetzen und gleich die neue Laborversion drauf installieren, aber ohne deine Zugangsdaten, Neustart machen und dann deine Zugangsdaten eingeben und fertig!
also mal ehrlich: Was hat jemand davon, wenn er sich in 1-10 Std in mein WLAN hackt? Er kann mich genauso nach meinem WLAN-Key fragen, dann gebe ich ihn raus.
Ich wäre für OPEN-WLAN für alle, dann hätte ich es unterwegs erheblich einfacher und müsste nicht immer einen Hotspot suchen.