Verständnisfrage zu WEP/WPA

[Dodson65]

Hallo Forum,

noch bin ich Newbie in dieser Materie und habe eine Frage, die für Euch alte Hase sicher einfach zu beantworten sein wird:

- daheim läuft eine FBF WLAN momentan mit WEP

Mein privater Laptop kann WPA, der Laptop meine Frau (Firmen-Laptop) kann nur WEP (lassen wir erst einmal dahingestellt, warum)

Damit wir beide auf die FBF zugreifen können, habe ich diese auf WEP konfiguriert. Gehe ich Recht in der Annahme, daß -wenn ich auf WPA stellt- meine Frau mit ihrem "WEP" Laptop nicht mehr zugreifen kann?

Oder anders gefragt: bei WPA geht nur WPA und bei WEP geht nur WEP? Richtig?

Gruß,
Dodson

 

[betateilchen]

Richtig.

 

[Dodson65]

Ok - das habe ich mir fast gedacht.

Dann hätte ich noch eine kurze Experten-Frage: es sieht im Moment so aus, als könnte ich aus obigen Gründen nicht auf WPA umstellen.

Wie "unsicher" ist denn WEP im Vergleich zu WPA? Welches Risiko gehen wir ein, wenn wir statt WPA WEP verwenden (müssen)?

Für eine Einschätzung von einem Experten wäre ich wirklich dankbar.

Gruß,
Dodson65

 

[betateilchen]

Ich halte den Unterschied zwischen WEP128 und WPA - wenn Du nicht gerade im Hochsicherheitsbereich mit Deiner EDV tätig bist - für vernachlässigbar.

 

[Dodson65]

Ich dachte, zum Hacken von WEP gäbe es mittlerweile eine ziemlich einfache Anleitung im Internet?

Ich frage, weil wir unsere FBF in einem Mehrfamilienhaus betreiben und ich vermeiden möchte, daß sich da jemand Zugriff verschafft.

 

[betateilchen]

Das ist alles eine Art "Glaubenskrieg"

Ich weiß zumindest, daß ich in einer Gegend wohne, wo ich nicht von bösartigen Leuten umgeben bin, die den ganzen Tag nix anderes zu tun haben, als mein WLAN zu hacken :roll:

 

[exim]

Die Möglichkeit zum Knacken von WEP ist auf jeden Fall gegeben: Wenn genügend Traffic über das WLAN geht entstehen auch genügend Pakete, welche der Angreifer mitloggen und analysieren kann. Und bei WEP ist das tödlich, egal ob 128Bit-Key oder nicht. Aber es kommt noch besser - den nötigen Traffic kann ein Angreifer auch selbst generieren. Für WEP und Angriffe guckst Du unter http://www.linux-magazin.de/Artikel/ausgabe/2003/12/036_kismet/kismet.html (Artikel ist von 2003) und da insbesondere "Häufige Wiederholung" und "Schneller knacken dank schwacher IVs". Man hat Vorkehrungen getroffen, so dass bei neueren Geräten die schwachen Initialisierungsvektoren vermieden werden (WEP-Plus) sollen, aber prinzipiell ist WEP ohne großen Aufwand knackbar, wenn die Schlüssel nicht regelmässig geändert werden.
Du solltest auf jeden Fall ein paar Grundlagen beachten wie am AP die Unterdrückung der SSID und auch das Einrichten einer MAC-Access-Liste am AP, damit man zumindest nicht so leicht auf den AP kommt. Diese beiden Vorkehrungen kann man als Angreifer zwar auch umgehen (Sniffer für die SSID und Sniffer+ARP/MAC-Spoofing für MACs) doch dazu muß der Angreifer schon zumindest halbwegs wissen was er da tut. Und ob nun WEP oder nicht kommt darauf an, was Du über WLAN machen willst. Zumindest solltest Du im Hinterkopf behalten, dass es möglich ist, den Schlüssel zu knacken und anschließend Deinen WLAN-Traffic abzuhören. Und das nicht nur theoretisch sondern praktisch!

 

[betateilchen]

Das ist zwar prinzipell alles richtig - aber:

1. Sind wir von der ursrpünglichen Frage schon ganz schön weit weg
2. erübrigt sich doch die Diskussion im praktischen Teil sowieso, da das Notebook kein WPA kann
3. Ist jede Art von Datenübertragung "irgendwie" zu knacken. Es ist nur eine Frage der zur Verfügung stehenden Zeit und der Verfahren

Meine WLAN Clients identifizieren sich übrigens per Zertifikat. Leider gibt es noch keine WLAN VoIP Phones, die das unterstützen. Deshalb laufen bei mir 2 APs - einer für PCs und einer für WLAN VoIP.

 

[TinTin]

@Dodson65

Sofern es Dir angezeigt scheint und der Laptop Deiner Frau einen PCMCI Slot hat, kannst Du ja eine WLAN Karte die WPA unterstützt nachrüsten.

Alternativ käme evtl. auch ein USB Stick wie der ASUS WL-167G in Frage, wobei abzuklären wäre, ob der an dem Laptop tatsächlich läuft.

Gruß,
Tin

 

[exim]

[*]Ist jede Art von Datenübertragung "irgendwie" zu knacken. Es ist nur eine Frage der zur Verfügung stehenden Zeit und der Verfahren

Das mag sein, doch hier geht es nicht um eine theoretische Verallgemeinerung sondern um eine Betrachtung WEP/WPA und praktikable (!) Möglichkeiten, WEP auseinanderzunehmen. Denn wenn das Notebook schon kein WPA beherrscht, dann sollte man als WEP-Anwender schon wissen, was passieren *kann* (nicht *muß*). Man kann auch für eigene Zwecke einen alten ungepatchten httpd nehmen und auf Port 54321 legen und hoffen, dass den niemand findet und 'nen Exploit ansetzt. Man kann auch WEP nutzen und hoffen, dass niemand "Blut leckt". Das geht auch alles gut und zwar genau so lange, bis sich doch mal jemand findet und "Interesse" zeigt. Soll heissen: Klar kann man das so nutzen, doch wenn man das macht sollte man sich über die Gefahren und möglichen Konsequenzen im Klaren sein. Wenn man die für "ok" befindet dann steht WEP oder eben dem ungepatchten httpd auf Port sonstwas nix im Wege. Verstehst worauf ich hinaus will?

Ich halte die Investition in eine WPA-taugliche PCMCIA-Karte für sehr sinnvoll wenn denn das Notebook nen freien PCMCIA-Slot besitzt. Und man die Treiber installieren kann, von wegen Firmen-Notebook.

 

[Dodson65]

... Und man die Treiber installieren kann, von wegen Firmen-Notebook.

Und genau hier ist das Problem. Ich habe mittlerweile herausbekommen, daß es zwar einen Patch für WinXP gibt, mit dem WPA nachgerüstet wird. Leider ist der aber nicht im SP2 enthalten und müßte nachinstalliert werden. Dies ist aber auf einem im Produktiveinsatz befindlichen Firmennotebook nicht möglich

Und genau deswegen meinen Frage bzgl. WEP bzw. WPA.

Das WEP deutlich unsicherer ist, habe ich durch eigene Recherchen herausgefunden. Zwar arbeite ich schon lange Jahre als professioneller Software-Entwickler, aber da ich in der Materie WLAN noch ein ziemlicher Newbie bin, versuche ich momentan, daß Risiko -soweit möglich- abzuschätzen.

Und da sind mir Eure Hinweise natrülich wertvoll und willkommen - auch, wenn wir gerade etwas vom ursprünglichen Thema abweichen

 

[DDD]

Und genau hier ist das Problem. Ich habe mittlerweile herausbekommen, daß es zwar einen Patch für WinXP gibt, mit dem WPA nachgerüstet wird. Leider ist der aber nicht im SP2 enthalten und müßte nachinstalliert werden. Dies ist aber auf einem im Produktiveinsatz befindlichen

Sehr schade, vielleicht lässt sich das ja doch irgendwie machen, wenn man mal ganz nett die Support Abteilung anspricht und die Thematik erläutert.
Technisch gesehen ist es bestimmt kein großes Problem.

 

[Dodson65]

So einfach, wie Du meinst, ist das leider nicht.
Größere Firmen haben da ihre ganz eigene Meinung zu Themen wie "Ich hab' da mal eben selbst 'was installiert" oder "Ich surfe über WLAN". Und ich kann diese Haltung durchaus verstehen. Außerdem bin ich höllisch vorsichtig damit, etwas auf einem Firmenrechner zu installieren. Stelle Dir mal vor, der läuft anschließend nicht mehr oder macht Probleme ... das kann sehr sehr teuer werden!

 

[DDD]

Es war ja nur ein Vorschlag. Ich weis schon wie das in großen Firmen ist, bin ja selber in einer tätig.
Es kommt halt oftmals auch auf den Ton an wie man was sagt oder um was bittet. Und natürlich geschieht die ganze Aktion auf Gefahr des Kunden und nicht des Technikers, das sollte ja klar sein. Der wird sich hüten und dadrauf noch Support geben.
Wie gesagt, war nur ein Vorschlag, muss man ja nicht machen

 

[TWELVE]

Also ich seh das so: WEP sollte wegen der vielbeschriebenen Schwäche nicht mehr verwendet werden.Im Gegensatz zu vielen Hypes, die bloße Verunsicherung der Leute verursachen, ist dies bei WEP real.Ich konnte meinen eigenen Key innerhalb von 30min. knacken.Die Zeit ist nur abhängig von der Anzahl der übertragenen Pakete sowie einem Zufallsfaktor.
Allerdings fließen in vielen WLANs nicht genügend Pakete ( nur surfen etc.), um dies in einer vernünftigen Zeit zu schaffen.Mit Laptop vor der Türe kann das ganz schön langweilig werden..)

WEP läßt sich keinesfalls mit WPA vergleichen, da WPA regelmäßig einen neuen Schlüssel aushandelt sowie die schwachen IVs von WEP nicht mehr verwendet werden.Wenn man die sog. Key Lifetime klein genug stellt ( z.B. 60 sec.), ist das "bombensicher", da man in dieser zeit gar nicht genügend Pakete empfangen kann, um den Schlüssel zu "erraten".Ich sach ja auch immer, sag niemals nie, aber mit WEP kann man das nun wirklich nicht vergleichen.


Grüße

TWELVE