FB 6890, WLAN Konfiguration auf WPA3 only möglich?

[Tom01]

Auf Frage beziehendes System:
FB 6890

Da es meiner Kenntnis nach bei den Fritzboxen noch kein WPA4 gibt, folgende Frage:

Ist es bei einer Fritzbox 6890 möglich einzustellen das nur WPA3 Verbindungen möglich sind?
Der Menüpunkt zur Einstellung in dem "WPA2/WPA3"

 

[frank_m24]

Da es meiner Kenntnis nach bei den Fritzboxen noch kein WPA4 gibt,

Was möglicherweise daran liegt, dass es noch keinen WPA4 Standard gibt.

Ist es bei einer Fritzbox 6890 möglich einzustellen das nur WPA3 Verbindungen möglich sind?

Nein. Dafür gibt es einfach noch zu viele Geräte, die kein WPA3 unterstützen, sodass eine solche Einstellung heute noch keinen Sinn macht. Selbst die WPA2/WPA3 Einstellung macht aufgrund des obligatorischen PMF schon so häufig Ärger, dass sie meistens deaktiviert werden muss.

 

[Tom01]

Nein. Dafür gibt es einfach noch zu viele Geräte, die kein WPA3 unterstützen, sodass eine solche Einstellung heute noch keinen Sinn macht. Selbst die WPA2/WPA3 Einstellung macht aufgrund des obligatorischen PMF schon so häufig Ärger, dass sie meistens deaktiviert werden muss.

Der Sinn liegt darin Geräte die nicht einmal WPA3 können auszusperren und Geräte die WPA3 können, davor zu bewahren durch Manipulationen in einen WPA2 Modus versetzt zu werden. Wer gerne auch WPA2 nutzen mag, kann für solche Geräte ja ein Gast WLAN aufmachen.

WLAN karten die WPA3 können, kosten sind durchaus problemlos incl. Versandkosten für 15-20€ zu bekommen. Manche Geräte lassen sich auch per Firmwareupdate auf WPA3 updaten.

 

[frank_m24]

Der Sinn liegt darin Geräte die nicht einmal WPA3 können auszusperren und Geräte die WPA3 können, davor zu bewahren durch Manipulationen in einen WPA2 Modus versetzt zu werden.

Da eine diesbezügliche Lücke nicht bekannt ist, ist das, Stand heute, einfach nur Paranoia.

Wer gerne auch WPA2 nutzen mag, kann für solche Geräte ja ein Gast WLAN aufmachen.

Was aber bedeutet, dass die Geräte nicht mit den WPA3 Geräten im Netz reden können. Bei der geringen Anzahl an verfügbaren WPA3 Geräten und der aktuellen Bedrohungslage ist das zwar theoretisch möglich, aber praktisch völlig sinnlos.

 

[Tom01]

Was aber bedeutet, dass die Geräte nicht mit den WPA3 Geräten im Netz reden können.

Was ja durchaus Sinn macht.

Leute die bekannt anfällige Geräte (<=WPA3) ins Netzwerk lassen wollen, könnten wenn es den Mode WPA3 only bei der FB geben würde (bei dem darunter liegenden Open WRT gibt es diesen...) ja ein WLAN Frequenzband für WPA3 only und eines für <=WPA3 einrichten.

 

[Zauberlehrling]

Da eine diesbezügliche Lücke nicht bekannt ist, ist das, Stand heute, einfach nur Paranoia.

Die Lücke ist seit 2019 bekannt.

https://www.zdnet.de/88358139/dragonblood-schwachstellen-in-wpa3-standard-veroeffentlicht/
https://www.heise.de/news/Dragonblo...taenden-WLAN-Passwoerter-knacken-4393108.html

Ob die Lücke durch Softwareupdates geschlossen werden kann, entzieht sich aber meiner Kenntnis.

 

[Tom01]

Die Lücke ist seit 2019 bekannt.

Und hier noch ein allgemeiner Artikel zu den Unterschieden der WPA Varianten:
* https://www.computerweekly.com/de/feature/WLAN-Sicherheit-Vergleich-von-WEP-WPA-WPA2-und-WPA3

Wobei WPA4 nach manchen Quellen wohl Bestandteil von WIFI7 werden wird. Und sie es dieses mal wohl mal versuchen halbwegs ausgereift auf den Markt zu bringen, damit das nach Möglichkeit die nächsten 10 Jahre verwendbar ist ohne ...

 

[frank_m24]

Was ja durchaus Sinn macht.

Warum?

Leute die bekannt anfällige Geräte (<=WPA3) ins Netzwerk lassen wollen,

Sind alle WPA2 Geräte "bekannt anfällig"? Wenn du dich auf die Krack Lücke beziehst: Die wurde schon 2017 von AVM geschlossen.

Current security notifications | AVM International

en.avm.de

könnten wenn es den Mode WPA3 only bei der FB geben würde (bei dem darunter liegenden Open WRT gibt es diesen...) ja ein WLAN Frequenzband für WPA3 only und eines für <=WPA3 einrichten.

Und wo ist dann der Sinn, wenn das Netzwerk dann über den WPA2 Kanal gehackt wird? Dann sind die per WPA3 eingebundenen Geräten trotzdem betroffen. Da kann man auch gleich ein gemischtes WPA2/WPA3 Netz machen.

Die Lücke ist seit 2019 bekannt.

Und war in der Fritzbox nie aktiv.

Current security notifications | AVM International

en.avm.de

Also: Wo sind die realistischen und aktiven Bedrohungsszenarien? Versteht mich nicht falsch, ich bin sehr sensibel in Bezug auf Sicherheitslücken und schreibe mehr als nur einmal hier im Forum, dass Leute keine veralteten Firmwareversionen einsetzen sollen. Und das tue ich in erster Linie, damit man sich um solche Lücken keine Gedanken machen muss.

 

[Tom01]

Und wo ist dann der Sinn, wenn das Netzwerk dann über den WPA2 Kanal gehackt wird? Dann sind die per WPA3 eingebundenen Geräten trotzdem betroffen. Da kann man auch gleich ein gemischtes WPA2/WPA3 Netz machen.

Das mag bei Leuten der Fall sein die die Kommunikation zwischen WLAN Geräten zulassen. Wobei hier leider noch die meiner Kenntnis nach leider seit Jahr und Tag bestehende Unsitte den Fritzboxen besteht, das man den Zugang zum FB Webinterface nicht über die bei der FB bestehnden Menüpunkte, für WLAN Geräte sperren kann. Oder wurde das mittlerweile entschärft?

Wo sind die realistischen und aktiven Bedrohungsszenarien? ... ich bin sehr sensibel in Bezug auf Sicherheitslücken und schreibe mehr als nur einmal hier im Forum, dass Leute keine veralteten Firmwareversionen einsetzen sollen. Und das tue ich in erster Linie, damit man sich um solche Lücken keine Gedanken machen muss.

Die folgende Diskussion setzt sich z.B. damit auseinander, wie man ungefragte Updates mit potentiell unerwünschten Inhalt, trotz Verwendung aktuell releaster Firmware verhindern kann:
* https://www.ip-phone-forum.de/threa...fragten-firmware-updates-deaktivieren.317584/

 

[frank_m24]

Wobei hier leider noch die meiner Kenntnis nach leider seit Jahr und Tag bestehende Unsitte den Fritzboxen besteht, das man den Zugang zum FB Webinterface nicht über die bei der FB bestehnden Menüpunkte, für WLAN Geräte sperren kann. Oder wurde das mittlerweile entschärft?

Im Gastnetz geht das nicht, sonst schon.

Wie gesagt, es fehlt das Bedrohungsszenario, dem du ausweichen willst. Willst du dennoch deine Anforderungen umsetzen, dann ist die Fritzbox das falsche Endgerät für dich.

 

[Tom01]

Wie gesagt, es fehlt das Bedrohungsszenario, dem du ausweichen willst. Willst du dennoch deine Anforderungen umsetzen, dann ist die Fritzbox das falsche Endgerät für dich.

Das Bedrohungsszenario ist, das WLAN jedem der da sich Zugang für welche Zwecke auch immer verschaffen will, ihm 24/7 frei zugänglich und seinen Trieben ausgesetzt ist. Daher macht es aus der Sicht des einen oder anderen durchaus Sinn, zumindest offensichtliche und zudem auch noch niedrig hängende Problemstellungen abzustellen.

Im Gastnetz geht das nicht, sonst schon.

Das ist interessant. Danke!!!

-- Zusammenführung Doppelpost gemäß Boardregeln by stoney

Im Gastnetz geht das nicht, sonst schon.

So interessant das auch sein mag, beim Gast WLAN fehlen wieder verschiedene Einstellmöglichkeiten die bei den anderen WLAN Accounts bestehen, auch scheinen sich die "normalen" WLAN Accounts deaktivieren zu lassen, ohne das dabei die Gast WLANs deaktiviert werden.

* https://www.ip-phone-forum.de/threads/nur-gastzugang-wlan.301983/

 

[frank_m24]

Es ist erschreckend, wie wenig Wert die Leute auf Regeln legen, die anderer Stelle paragraphenreiterisch auf ungelegten Eiern herumreiten - und das, nachdem sie schon drauf hingewiesen wurden.

Das Bedrohungsszenario ist, das WLAN jedem der da sich Zugang für welche Zwecke auch immer verschaffen will, ihm 24/7 frei zugänglich und seinen Trieben ausgesetzt ist.

Das ist er aber völlig unabhängig vom Verschlüsselungsverfahren. Es ist im Moment also pure Spekulation, ob ein WLAN Zugang bei WPA3, WPA2 oder WPA2/WPA3 sicherer oder unsicherer ist.

Daher macht es aus der Sicht des einen oder anderen durchaus Sinn, zumindest offensichtliche und zudem auch noch niedrig hängende Problemstellungen abzustellen.

Das stimmt, das macht immer Sinn. Nur müssen da auch Problemstellungen sein, die man abstellen kann.

 

[Tom01]

Das stimmt, das macht immer Sinn. Nur müssen da auch Problemstellungen sein, die man abstellen kann.

Lösung gefunden, wie man zumindest auf indirektem Weg das WLAN deaktivieren kann und trotzdem das sichere Gast WLAN verwenden kann:
* https://www.ip-phone-forum.de/threads/nur-gastzugang-wlan.301983/

Und wenn man so etwas wie WPA3 only als Nutzer per Menüpunkt konfigurieren möchte, muss man halt eine Firmware verwenden, die einen an den Menüpunkt in dem darunter liegenden OpenWRT heran lässt. Bei den gl.inet Geräten und der mit diesen ausgelieferten Firmware wäre das z.B. der Fall (und sicher auch bei ettlichen anderen Open WRT oder DDWRT & Co verwendenden Geräten). Und bei der FB wird es das sicher auch eines Tages geben.

Es ist im Moment also pure Spekulation, ob ein WLAN Zugang bei WPA3, WPA2 oder WPA2/WPA3 sicherer oder unsicherer ist.

Wow, dann können ja die Leute von den Standardisierungsgremien, die Entwickler und die die Schachstellenanalysen durchführen, ab sofort weltweit die Füße hochlegen...

 

[frank_m24]

Wow, dann können ja die Entwickler und die Leute von den Standardisierungsgremien weltweit die Füße hochlegen...

Was hat DAS denn damit zu tun? Ob irgendwo eine Sicherheitslücke entdeckt wurde, oder nicht, ist doch völlig unabhängig von der Standardisierung der Nachfolgetechnologien. Denn wenn du bei einer Sicherheitslücke erst auf einen neuen Standard warten musst, dann hast du verloren - das dauert mindestens 3 Jahre.

 

[Tom01]

Denn wenn du bei einer Sicherheitslücke erst auf einen neuen Standard warten musst, dann hast du verloren - das dauert mindestens 3 Jahre.

Vom Warten auf einen neuen Standard habe ich nichts gesagt. Neue Standards können durchaus Probleme lösen, jedoch auch nur wenn sie umgesetzt und nicht blockiert werden.

Wer gerade auf den nächsten Standard zum Thema der Diskussion warten sollte, muss wohl möglich keine drei Jahre warten:

WPA4 kommt wohl möglich mit WIFI7:
* https://www.intel.de/content/www/de/de/products/docs/wireless/wi-fi-7.html

"Wi-Fi CERTIFIED 7™, based on IEEE 802.11be technology, will be available before the end of Q1 2024."
* https://www.wi-fi.org/discover-wi-fi/wi-fi-certified-7

 

[frank_m24]

Vom Warten auf einen neuen Standard habe ich nichts gesagt. Neue Standards können durchaus Probleme lösen, jedoch auch nur wenn sie umgesetzt und nicht blockiert werden.

Werden sie doch. Du kannst WPA3 mit der Fritzbox nutzen. Einen neuen Standard zu unterstützen, bedeutet ja nicht, alles Alte auszusperren, wenn es technisch keinen Grund dafür gibt.

WPA4 kommt wohl möglich mit WIFI7:

Das warten wir noch mal ab. Im Gegensatz zu Wifi7 gibt es von WPA4 noch nicht mal ein PoC.

 

[Tom01]

Werden sie doch. Du kannst WPA3 mit der Fritzbox nutzen. Einen neuen Standard zu unterstützen, bedeutet ja nicht, alles Alte auszusperren, wenn es technisch keinen Grund dafür gibt.

Wie dir mit oben von zwei Leuten und mit mehreren Links bereits berichtet wurde, sieht das manch einer etwas kritischer .

 

[frank_m24]

Und wie ich mit mehreren Links belegt habe, sind die beschriebenen Lücken in der Fritzbox nicht existent. Und die eine wäre eher ein Grund, auf WPA2 only, anstatt auf WPA3 only zu wechseln.

 

[Tom01]

Und wie ich mit mehreren Links belegt habe, sind die beschriebenen Lücken in der Fritzbox nicht existent. Und die eine wäre eher ein Grund, auf WPA2 only, anstatt auf WPA3 only zu wechseln.

Ich lasse das jetzt mal so stehen und danke für das Gespräch.

PS: Auch Verlautbarungen von AVM sind nicht automatisch dadurch in der Fachwelt unstrittig, blos weil AVM sie verlauten lassen hat:
* https://web.archive.org/web/20231216165851/https://www.heise.de/select/ct/2016/24/1480082809483994

 

[Zauberlehrling]

So sicher bin ich mir da nicht, dass die Fritzbox davon nicht betroffen sein soll.

Hier noch die Information von dem, der die Lücke aufgedeckt hat.
https://wpa3.mathyvanhoef.com/

Fragt sich nur, ist das ein reales Angriffsszenario ? Weil, man hat seitdem nix mehr davon gehört.