HotSpot Shield wirklich sicher?

[iPhoneFreak16]

Hallo Leute
ich traue grundsätzlich keinem freien WLAN und gehe daher nur per Datenstick ins Netz. In DE kein Problem, dank Flat. Aber im Ausland nur per Stick zu surfen geht ordentlich ins Geld, wenn man wie ich auch mal seine Überwachungscam Online Checkt. Daher meine Frage zu HotSpot Shield: Ich weiß, dass es den Verkehr wohl Anonymisiert und verschlüsselt. Aber Schützt es auch davor, dass mein Rechner von jemandem in diesem Netzwerk gehackt wird?

 

[ToniMacaroni]

Dass der Rechner von wem anders gehackt wird...davor schützt die Windows eigene Firewall.

Geschützt bist du auch ohne VPN, wenn die Verbindung SSL gesichert ist.

 

[rg88]

ähm? inwiefern soll dein Rechner "gehackt" werden? Natürliches Misstrauen ist ja nicht falsch, aber grundlegende Kenntnisse wenn fehlen ist das genau so schlimm. Vor was hast du Angst, was hast du vor und was bist du bereit dafür zu bezahlen?

Ergänzung (28. März 2016)

Geschützt bist du auch ohne VPN, wenn die Verbindung SSL gesichert ist.

Ähm ja. Wenn man naiv ist und noch nie was von Man-in-the-Middle-Attacken gehört hat.

 

[ToniMacaroni]

man-in-the-middle Angriffe werden durch SSL effektiv verhindert.

 

[Lar337]

SSL sieht eine Authentifizierung des Servers mittels Zertifikat vor. Da ist nichts mit dem Mann in der Mitte.

Welche Seiten du besuchst, ist allerdings trotzdem noch für jedermann einsehbar.

 

[rg88]

@Lars: Das hab ich durchaus schon gesehen. Syss Live-Hacking auf der Systems in München. Der Schreiber hat das sehr eindrucksvoll mit einer SSL-verschlüsselten Bank-Website gezeigt. Mitm-Attacken sind, wenn man über den Hotspot verfügt, durchaus machbar.

 

[Lar337]

Wenn das so einfach wäre, wäre das eine gigantische Sicherheitslücke in https mit TLS.

Im Grunde ist die einzige Aufgabe von https eben genau das zu verhindern. Wenn es das nicht kann, könnte man es direkt abschaffen.

 

[rg88]

Alles eine Frage des Aufwands den man hineinsteckt
Wie meinst du, dass diverse Sicherheits-Suiten arbeiten? Die schieben dir auch ein Zertifikat unter (eigentlich das selbe Prinzip wie Mitm) um den verschlüsselten Verkehr mitlesen zu können.
Hatten wir in letzer Zeit ja häufiger hier, wenn Firefox oder Chrome plötzlich schärfer hinschauen und keine SSL-Seiten mehr aufrufbar sind, wegen Zertifikatsfehlern in Verbindung mit KIS

 

[Creati]

Ums nochmal kurz zu fassen: im Ausland kannst Du über offene WLANs gehen, wenn Du ein VPN verwendest und dem Serverbetreiber entsprechend vertraust. Und gegen "Angriffe" aus dem VPN-Netz sollte wie schon gesagt wurde die Windows-Firewall reichen.

 

[ToniMacaroni]

@rg88
Das passiert aber auf dem eigenen Rechner, das ist garnicht zu vergleichen. Wenn das wirklich ausgehebelt wäre, würde ich das nicht hier von dir im Thread erfahren, sondern morgen erste Seite Tageszeitung.

 

[Lar337]

Klar, wenn sich jemand an deinen PC setzt und ein Zertifikat einer gefälschten CA installiert, hat er damit die Möglichkeit sich als jede Webseite auszugeben (außer die hat ihr Zertifikat irgendwie gepinnt).

 

[rg88]

Dann würd ich euch beiden mal raten euch mit SSL Hijacking und SSLStrip auseinander zu setzen

Hier mal eine von vielen Erklärungen zu dem Thema:
http://www.windowsecurity.com/artic...ding-Man-in-the-Middle-Attacks-ARP-Part4.html

 

[Creati]

Das Verfahren von SSLStrip scheint aber schnell aufzufallen. Wenn man sowas wie Calomel SSL Validation installiert hat, fällt einem noch deutlicher auf, wenn auf einmal ein Login kein HTTPS mehr hat, sondern nur über HTTP geht. Dass das auffällt, dürfte natürlich nur bei den Fachleuten sein. Der Ottonormalanwender bekommt sowas nicht mit.
ToniMacaroni trifft eher die Aussage, dass es kein Szenario gibt, wo eine Maninthemiddle-Attacke überhaupt nicht auffällt bzw. erkennbar ist. Eine Attacke nach SSLStrip kann bei sehr genauem Hinschauen auffallen. Eine Attacke auf SSL ist nach meinem Verständnis komplett unsichtbar nur möglich, wenn ich irgendwo Zertifikate erbeutet habe (beispielsweise von StartSSL), womit ich mir selbst valide SSL-Zertifikate ausstellen kann. Oder wenn ich lokal am Rechner ein entsprechendes Zertifikat von mir hinterlegen kann.
Sind Dir (rg88) noch andere Attacken bekannt, welche komplett unentdeckt ablaufen können, auch wenn der Betreiber SSL generell immer erzwingt?

 

[rg88]

Eine andere komplett unentdeckte Möglichkeit ist mir aktuell nicht bekannt, außer natürlich eine CA oder Zertifikat unterschieben, bzw eine schwache CA ausnutzen wie die Sicherheitslücken bei Lenovo-Zertifikaten.
SSL ist nicht geknackt, aber lässt sich durchaus aushebeln und mal ehrlich: Wie du schon sagtest: dem Ottonormalanwender fällt das nicht auf und den meisten Experten aus Gewohnheit auch nicht. Es würde auffallen wenn die Adresszeile rot wird, wegen einem fehlerhaften Zertifikat aber nicht wenn man nicht explizit drauf achtet und alles grün bzw weiß bleibt.

Mir gings jetzt auch viel mehr darum diesen "SSL ist unangreifbar, sonst hätte ich das sicherlich auf Seite 1 der BamS gelesen"-Mythos zu widerlegen. Das Bewusstsein sollte schon da sein, dass man einem Internetzugang den man nicht selbst kontrolliert auch nur bedingt vertrauen sollte.

 

[Lar337]

Das Problem erüblicht sich in einem offenen WLAN aber insofern, dass http noch immer der Standard ist und man somit schon davon ausgeht, dass die Daten problemlos mitlesbar sind.
Außer eben, es ist eine https Verbindung. Und somit sind wir wieder bei der Aussage vom Anfang. Solange https genutzt wird, ist weder ein Mittelmannangriff noch ein Mitlesen der Daten möglich. Und die Nutzung von https erkennt man in der Browserzeile und nicht daran, ob meine Bankseite wie meine Bankseite aussieht.

 

[Creati]

Es ist aber genauso verkehrt von kompletter Sicherheit auszugehen, nur weil einem https angezeigt wird:
https://resecure.io/blog/man-in-the-middle-die-3-gefaehrlichsten-ssl-attacken
Der Serverbetreiber muss SSL auch richtig implementiert haben. Nur wenn es richtig implementiert wird vom Betreiber, ist ein Mitlesen der Daten nicht möglich.

Das Problem erüblicht sich in einem offenen WLAN aber insofern, dass http noch immer der Standard ist und man somit schon davon ausgeht, dass die Daten problemlos mitlesbar sind.

In einem offenen WLAN erübrigt sich das Problem nicht. SSL wird ja nicht nur beim HTTPS verwendet. Imaps ist ja genauso betroffen: https://blog.heckel.xyz/2013/08/04/use-sslsplit-to-transparently-sniff-tls-ssl-connections/