Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsDatenleck: WiFi Finder speicherte zwei Millionen WLAN-Passwörter
Und da trägt man dann das Passwort von einen privaten ein?
Ich verstehe den Zusammenhang mit der App auch überhaupt nicht..
Wenn draußen einer mit irgend einer App rumrennt, kann er alles mögliche veranstalten, mein WLAN Passwort wird er trotzdem nie erhalten - wie soll das geschehen?! Also was genau ist jetzt da mit der App gewesen?
Das beantwortet nicht die Frage - du sprachst von Passwörtern. Das Google generell SSIDs scannt bzw. gescannt hat, ist keine Weltneuheit. Speziell was die Geolocation angeht. Und auch das sowas nur Google macht ist nichts neues. Bspw. tätigt die Firefox Andoid App das ebenso - in welchem Umfang weis ich nicht, aber die App collected die WiFi Infos und der User gibst die Info natürlich preis, weil wahrscheinlich einfach nur "ja" getoucht wird...
Unabhängig davon kommst du aber so ohne weiteres ohne Root Access nicht an die Daten auf deinem Android Phone - bei iOS, kein Plan, da wirds wahrscheinlich aber ähnlich laufen. Mit Root Access geht das bei Android zweifelsfrei. Allerdings sollte man schon wissen was man tut.
Egal - von außen an die PSKs mit nem Auto funktioniert deswegen aber trotzdem nicht
Wenn man die Artikel weiter ließt, wurden auch die Passwörter von schlecht gesicherten Netzen gespeichert und allgemein bei vielen Backups auf beispielsweise Android einfach gespeichert, ohne dass der Nutzer es versteht oder Kenntnis davon hat. Das gilt nicht nur für die Passwörter von WLAN, etc. Das gilt generell für alles, da Google alles was es kann speichert und selbst wenn die Daten nicht genutzt werden, werden die erst mal gespeichert, weil man die in Zukunft vielleicht irgendwie nutzen könnte.
Das Selbe gilt für Facebook, selbst wenn man nichts mit Facebook zu tun haben möchte und nie bei denen angemeldet war.
Wenn draußen einer mit irgend einer App rumrennt, kann er alles mögliche veranstalten, mein WLAN Passwort wird er trotzdem nie erhalten - wie soll das geschehen?! Also was genau ist jetzt da mit der App gewesen?
Ich kann mir vorstellen, dass der unbedarfte User entsprechend einfach auf Upload gedrückt hat - und schon war der Zugang im Netz. So ne Funktion soll die App wohl bieten.
Ob die App ohne gerootetes Phone aber an die PSKs kommt, ist zumindest ohne Bugusing oder irgendwelcher privilege escalation Lücken mindestens mal fraglich...
Am Ende bleibt hier eigentlich nur über, dass irgendwo eine Ansammlung von Daten frei im Netz verfügbar ist/war, die dort hätte zumindest in der Form nicht sein sollen. Aber selbst wenn das nicht der Fall wäre - Stichwort Datamining, die App spricht auch "nur" ne API auf irgend nem Webserver an, abseits des hier genannten Dumps der/einer DB, im großen Stiel könnte man ziemlich sicher die selben Infos auch alle aus der API ziehen.
Ergänzung ()
DerPessimist schrieb:
Wenn man die Artikel weiter ließt, wurden auch die Passwörter von schlecht gesicherten Netzen gespeichert und allgemein bei vielen Backups auf beispielsweise Android einfach gespeichert, ohne dass der Nutzer es versteht oder Kenntnis davon hat.
Auch stellt sich mir die Frage, was "schlecht gesicherte Netze" sein sollen? Offene SSIDs haben keine Zugangsdaten, da reicht der Name und gut ist. Alles was in irgend einer Weisen einen PSK oder andere Authentifizierungsmethoden vorraus setzt, lässt sich nicht per vorbeifahrenden Auto abfingern - zumindest nicht in der Form wie die Aussage oben steht. Ich frage doch nicht grundlos nach einem Beleg dafür.
Unabhängig davon ist unbestritten, dass Google und Facebook Datenkranken sind - ändert aber doch nichts an der Frage nach dem Beleg für die Behauptung?
Zumal meines Wissens nach aktuell kein Leak oder bekannter Zugriff auf irgendwelche WLAN-Schlüssel durch Cloudbackups bei Google selbst stattgefunden hat. Was nicht heist, das es sowas nicht gibt oder nie gab. Aber wer behauptet, das wäre so, müsste das doch belegen können??
Wieso speichert man heute noch die Passwörter? Passwörter werden, nicht erst seit heute, mind. gehasht + gesalzen. Dieser Hash wird dann gespeichert und nicht die Passwörter selbst.
Wann wird der Staat endlich empfindliche Strafen gegen solche Fahrlässigkeit verhängen?
Wieso speichert man heute noch die Passwörter? Passwörter werden, nicht erst seit heute, mind. gehasht + gesalzen. Dieser Hash wird dann gespeichert und nicht die Passwörter selbst.
Wann wird der Staat endlich empfindliche Strafen gegen solche Fahrlässigkeit verhängen?
Einfach mal darüber nachdenken, dann kommt man selbst darauf, warum man die Passwörter in Klarschrift braucht...soviele Antworten von Leuten, die nur die Überschrift gelesen haben...bin ich im Chip Forum gelandet?
@ripa
Man braucht als Maschine ganz sicher keine Passwörter im Klartext.
In wichtigen Datenbanken , haben die Daten gefälligst verschlüsselt zu sein, schutz vor missbrauch der Daten und so!
Das Leck, und viele andere, zeigen auf in was für einer Wahnwitzigen (Digitalen-) welt wir Leben tuen.
Das Wpa2/3 nicht sicher sind ist ja bekannt, aber wozu die müche machen das PW zu erraten wenn man einfach in die Datenbank X nachschauen kann, da steht es dann auch gleich im Klartext das dechiffrieren ist also garnicht erst erforderlich.
Das ganze ist ja so brisant, ebend weil du alle die Infos du brauchst um in die Netzwerke per Wlan einzudringen, direkt in eienr Datenbank, in Klartext hast. Das nimmt einem Enorm viel arbeit ab.
Sehr schlecht für den besitze des Netzwerk, sehr gut für diejenigen die einen zugang suchen etc..
Ja oder? Um sich mit dem WLAN zu verbinden muss ich doch einmal per Klartext ankommen, mit einem Hash wird das WLAN mich abweisen. Allerdings hätte die Datenbank des App-Betreibers nicht so offen stehen dürfen. Ein Smartphone und Apple/Google speichern die WLAN-Schlüssel der Nutzer ja auch "versteckt".
@Jesterfox
Naja als Hash unbrauchbar, sicher nicht. Dank immer schnelleren Grafikkarten könn(t)en Millarden Hash´s/sec
errechnet werden, da ist es relativ egal wie du das sicherst, Passwörter lassen sich immer knacken, nur ne frage der Zeit bzw. Rechenpower.
Wobei die Zeit das Ultimative Sicherheitsargument darstellt. Umsomehr zeit/aufwand für das Knacken des PW drauf gehen würde umso besser ist, da kommt es natürlich auch auf die jeweiligen algorithmen an!
@Wilhelm14
WLAN Passwörter werden nicht im Klartext übertragen, das ganze ist einwenich Komplexer (nicht das ich da aus dem 1x1 erklären könnte), dazu gibt es aber genug Material.
Tut man sich mit WLAN sicherheit beschäftigen, so lernt man zwangsweise etwas darüber.
Doch, siehe den Kommentar von Wilhelm14. Oder willst du für jedes Login in ein WLan das Passwort erst aus dem Hash per Bruteforce in einem Rechenzentrum zurückrechnen lassen? Die App selber benötigt das Passwort im Klartext.
Was aber eben z.B. möglich gewesen wäre ist die Datenbank zu verschlüsseln und den Schlüssel auf einem anderen Server abzulegen. Die App wird ja sicher nicht direkt mit der DB reden sondern über einen Webservice, der könnte sich dann den Schlüssel von der anderen Stelle holen. So wäre die DB alleine für Fremde wertlos.
@Jesterfox
Die App(der Maschinencode) braucht das nicht in Klartext, oder denkst du das WLAN-Passwort in KLARTEXT an den Acces point übertragen wird?
Den das Stimmt nicht, desweiteren nutz App eigentich die Funktionen des OS & Router bzgl. Netzwerk.
( https://de.wikipedia.org/wiki/IEEE_802.1X )
Diese App sammelt die Daten und schreibt sie in die Datenbank , die Beschreibung der App besagt "Der WiFi Finder greift direkt auf die crowdsourced Datenbank aus hundertausenden von SpeedSpots zu. ", spricht alle Informationen bzgl. des WLAN werden in die Datenbank geschrieben auf die jeder zugriff hatte.
Da muss jemand beim Programieren gepennt haben, den normalerweise würde man ja die Datenbank auf die das Programm zugreift vorher ausreichend sichern...
Bzgl :
Oder willst du für jedes Login in ein WLan das Passwort erst aus dem Hash per Bruteforce in einem Rechenzentrum zurückrechnen lassen?
Wobei manche sachen auf dieser Seite Bzgl. Sicherheit veraltet sind. Den WPA/2/3 sind nicht sicher, man kann es dem Angreifer erschweren ins Netzwerk zu kommen , hat er seine Hausaufgaben gemacht, so ist es ihm ein leichtes das Pw zu Knacken/abzufangen oder sich als schon Athentifiziertes Gerät ausgeben.
An den Accesspoint sicher nicht... aber wenn ich mich "händisch" verbinde gebe ich das Passwort (aka PSK) ja auch im Klartext ein, die API vom OS wird das wohl daher im Klartext erwarten (und wenn man sich die Beschreibung zum PSK durchliest dass dieser als Schlüssel für symmetrische Verschlüsselung genutzt wird muss er sogar im Klartext vorliegen)
Das es ein Fehler war die Datenbank nicht entsprechend zu sichern steht ja außer Frage.
😅 ; Ja DU musst das Passwort in Klartext vor dir Liegen haben, und eingebeben,
danach sollten die Daten aber eigentlich verschlüsselt/passwort/geschütz abgelegt sein in der Datenbank/Programm/OS.
@Jesterfox
Beschäftige dich bitte mit Programmieren / Netzwerk / Standards bzgl. Wlan, habe jetzt keine lust das ganze Thema hier durchzukauen (tut mir leid falls das harsch rüberkommt).
Im klartext wird es erwartet aber nicht verarbeitet , hinzukommt das es ein komplexes Thema aus mehr als nur einem Thema ist, das ganze würde ausarten an Kommentaren, das ist glaube ich nicht gern gesehen und auch nicht gantz Inhaltich zum Thema des Eigentlichen kommentares bzgl. der Nachricht.
Der PSK muss auch für die Verwendung "im Klartext" vorliegen. Eine Speicherung in verschlüsselter Form kann helfen das ganze zu sichern, ja. (Allerdings ist das ganze auch nicht absolut sicher, weil man an den Schlüssel dafür kommen könnte.) Ein Hash vom PSK bringt dir aber absolut rein gar nichts.
Ja DU musst das Passwort in Klartext vor dir Liegen haben, und eingebeben,
danach sollten die Daten aber eigentlich verschlüsselt/passwort/geschütz abgelegt sein in der Datenbank/Programm/OS.
Na eben. 🍻 In diesem Konstrukt und der Verarbeitungskette ist doch die Datenbank der "Free Wifis", die App, die die Schlüssel aus der Datenbank bezieht, die App, die sich mit dem Schlüssel beim WLAN einbucht (oder dem Betriebssystem übergibt, welches sich einbucht). Kurzzeitig muss der PSK im Klartext auftauchen. Die Datenbank hätte wie ein Passwortmanager verschlüsselt sein müssen und nur die App kennt den Schlüssel. Die Datenbank war halt offen.
PS: So ganz schlimm finde ich den Vorfall eigentlich auch nicht. Sinn so einer "Community" ist doch WLAN für jeden zugänglich zu machen. Wenn ich mein WLAN anderen zur Verfügung stellen möchte und dazu es der App verrate, dann soll der PSK doch bekannt und offen sein.
😅 ; Ja DU musst das Passwort in Klartext vor dir Liegen haben, und eingebeben,