MAC Adressen aus verschlüsseltem WLAN abgreifen

[Luminatus]

Hallo Leute,

ich hab ein ganz simples Problem: Wie der Titel schon sagt würde ich gerne MAC-Adressen aus einem WPA(2)-verschlüsselten Netzwerk abfangen. Dabei meine ich nicht die MAC-Adresse des AP, die sich ganz einfach über die Advertisements bestimmen lässt sondern die MAC Adressen der Teilnehmer. Theoretisch müsste man dafür nur Pakete abfangen die in diesem WLAN verschickt werden, da die MAC Adressen unverschlüsselt sind. Nun aber die Frage: Mit welcher Hardware bzw. welcher Software lässt sich das anstellen?

Zur Verfügung habe ich: Ein Android Smartphone, einen Windows Computer, einen Raspberry PI 3.

Ich freu mich schon auf eure Tipps.

Gruß!

 

[Vindoriel]

Geht es um Umgehung eines MAC-Filters?

 

[outers]

https://wiki.wireshark.org/Wi-Fi

 

[seyfhor]

Mein Kontakt bei der NSA sagt, daß das ganz gut geht. Er meint er hat dir das Programm dazu schon auf deinem PC installiert.

 

[iBuddy]

Ich weise mal vorsorglich auf §§ 202 a, b und c StGB hin!

 

[Lawnmower]

Wenn der AP halbwegs was taugt, gibts da bestimmt auch ein Log (Access-Log, DHCP Log) wo man sieht welche Clients verbunden sind und dort steht i.d.R. die MAC Adresse der Teilnehmer.
Falls nur die IP Adresse bekannt ist, dann kann man die MAC Adresse mit Ping auf die IP gefolgt von einem anschliessenden arp - a ermitteln.
Das geht natürlich alles nur wenn man auch im WLAN bzw LAN ist und keine entsprechendenen Gegenmassnahmen konfiguriert wurden (z.B. dass sich WLAN Clients untereinander nicht sehen).

 

[Der.Shorty]

Und ich gebe mal Auskunft im Rahmen der Informationsfreiheit. Für etwaige Schäden ist nur der Verursacher haftbar zu machen.

Kali Linux kann das, mit den Aircrack-Tools an Board.
Genau kenne ich die Befehle nicht, aber du kannst dir dort von einer BSSID die verbundenen Clients anzeigen lassen bzw. ablesen
Dabei spielt es keine Rolle ob es unverschlüsselt, WEP oder WPA2 ist. Die Clients siehst du immer.

Sieht dann so aus:

[CH  3 ][ Elapsed: 28 s ][ 2014-01-05 14:00                                         

 BSSID              PWR  Beacons    #Data, #/s  CH  MB   ENC  CIPHER AUTH ESSID

 00:04:0E:6B:00:B5  -48       37        0    0  13  54   WPA  TKIP   PSK  brechtnet                                                                                                                                                         
 00:25:9C:CF:89:14  -57       53        3    0   9  54e  WPA2 TKIP   PSK  FRITZ!Box Fon WLAN                                                                                                                                                

 BSSID              STATION            PWR   Rate    Lost    Frames  Probe                                                                                                                                                                  

 00:25:9C:CF:89:14  00:1D:E0:94:8A:E1  -12   36e-36e     0        3

BSSID bezeichnet den AccessPoint und Station den Client.

 

[Luminatus]

Geht es um Umgehung eines MAC-Filters?

Nein

https://wiki.wireshark.org/Wi-Fi

Leider scheint "monitor mode" bei mir unter Windows mit meiner WLAN Karte nicht zu funktionieren. Eventuell müsste ich das mal auf Linux testen.

Ich weise mal vorsorglich auf §§ 202 a, b und c StGB hin!

Danke, es geht aber nur um die MAC-Adressen, die wohl kaum unter das Briefgehemnis fallen.

Wenn der AP halbwegs was taugt, gibts da bestimmt auch ein Log (Access-Log, DHCP Log) wo man sieht welche Clients verbunden sind und dort steht i.d.R. die MAC Adresse der Teilnehmer.
Falls nur die IP Adresse bekannt ist, dann kann man die MAC Adresse mit Ping auf die IP gefolgt von einem anschliessenden arp - a ermitteln.
Das geht natürlich alles nur wenn man auch im WLAN bzw LAN ist und keine entsprechendenen Gegenmassnahmen konfiguriert wurden (z.B. dass sich WLAN Clients untereinander nicht sehen).

Es gibt weder Zugang zum AP noch bin ich im selben Netz.

Und ich gebe mal Auskunft im Rahmen der Informationsfreiheit. Für etwaige Schäden ist nur der Verursacher haftbar zu machen.

Kali Linux kann das, mit den Aircrack-Tools an Board.

aircrack-ng kann ich auch auf jedem anderen Linux installieren, richtig?
EDIT Funktioniert wunderbar, danke!

 

[Piktogramm]

Danke, es geht aber nur um die MAC-Adressen, die wohl kaum unter das Briefgehemnis fallen.

Relevant sind vor allem §202b und §202c StgB. Die Macadressen sind Bestandteil der Kommunikation, nicht für dich gedacht und du verschaffst dir dennoch unerlaubt Zugriff. Damit ist der Sachverhalt recht klar.

 

[razzy]

je nachdem, was du für einen AccessPoint hast, kannst du dich per SSH (ich nenne jetzt mal das Beispiel einen Autonomer Cisco AP) verbinden und die MAC-Adressen Tabelle der verbundenen Clients wie aus einem Switch auslesen, fertig.

Bei Cisco wäre das "show dot11 associations".

 

[iBuddy]

Es gibt weder Zugang zum AP noch bin ich im selben Netz.

Dafür bist du mitten im 202 b StGB, wie ja Piktogramm auch schon erwähnt hat.

 

[Der.Shorty]

aircrack-ng kann ich auch auf jedem anderen Linux installieren, richtig?
EDIT Funktioniert wunderbar, danke!

Immer wieder gerne. und schön artig damit umgehen!

 

[Luminatus]

Relevant sind vor allem §202b und §202c StgB. Die Macadressen sind Bestandteil der Kommunikation, nicht für dich gedacht und du verschaffst dir dennoch unerlaubt Zugriff. Damit ist der Sachverhalt recht klar.

Dafür bist du mitten im 202 b StGB, wie ja Piktogramm auch schon erwähnt hat.

Richtig, MAC Adressen sind Bestandteil der Kommunikation. Allerdings sind sie der "öffentliche" Bestandteil der Kommunikation, denn JEDES (auf dem selben Kanal liegende) WLAN Interface liest diese Adressen um zu überprüfen ob die Nachricht für das Interface bestimmt ist. Damit fallen sie sicherlich nicht mehr unter diesen Paragraphen.

 

[Piktogramm]

@Luminatus

Deine Rechtsauffassung geht entgegen der Auffassung der mir bekannten Rechtsanwälte, rechts Professoren und Hacker. Die Regel ist da eigentlich recht einfach, solang man keine explizite Freigabe vom Betreiber des Netzwerkes hat sollte man tunlichst alles unterlassen was Informationen über/aus dem Netzwerk abschöpft. Wird man aufgrund einer irgendwie gearteten Schutzmaßnahme (und sei es ein ranziger Macfilter) explizit ausgeschlossen sollte man ebenso komplett die Finger davon lassen. Alles andere kann als relevant nach §202 StGB gewertet werden.
Begründung ist hierbei, dass selbst das mitschneiden öffentlicher Bestandteile als vorbereitende Handlung gewertet werden kann. Die Absicht Schaden anzurichten ist zwar ebenso eine Bedingung, über die Trennschärfe dieser Bedingung wird aber gestritten. Da die Absicht des Gesetzgebers aber klar erkennbar ist, unbefugte Zugangsversuche von Dritten zu unterbinden, gehöre ich zu der Fraktion, die dieser Bedingung sehr wenig Kraft zuschreibt. Schlicht und ergreifend, da die Handlung als solche ja schon beweist, dass man sich auf Zugangsversuche vorbereitet. Für akademische Zwecke könnte man je ganausogut ein eigenes Netzwerk verwenden und Pentests lässt man sich sowieso vorher freigeben.

 

[Der.Shorty]

@Luminatus

Deine Rechtsauffassung geht entgegen der Auffassung der mir bekannten Rechtsanwälte, rechts Professoren und Hacker. Die Regel ist da eigentlich recht einfach [...]

Ja ne is klar... Und du bist...? Ein befreundeter Fleischereifachangestellter?

Ist ja schön, das du deine Meinung hast. Trotzdem verkehrt.
Eigentlich wollt ich mich nicht dazu äußern, aber ich tu es trotzdem mal, ohne breit irgendwelche Paragraphen und Kommentare zu reiten:
MAC-Adressen ablesen und für sich im stillen Kämmerchen aufbewahren, ist in keinem Falle illegal. Das Verwenden dieser abgefischten MAC-Adressen für seine Geräte ist illegal (so genanntes Spoofing).

Das was du hier machst, weiter spinnen, was hätte könnte etc pp, ist ja nicht wirklich fair.
Wärst du Cop, würdest bei jedem der mit ner Axt aus nem Baumarkt kommt, die Handschellen klicken lassen, gelle?
Ach nochwas: Solange es kein Urteil bzw. Beweise gibt, gilt man als Unschuldig. Alles andere wäre ein Indizienprozess, und somit wieso fragwürdig.

 

[Piktogramm]

https://dejure.org/gesetze/StGB/202c.html

Was du als weiterspinnen bezeichnest ist in Form §202c StGB festgehalten. Die vorbereitende Tat als Solches kann strafbar sein, wobei die Bedingung hierzu nach meinem Wissensstand von Rechtsgelehrten als unscharf angesehen werden. Ein Urteil welches hier eine rote Linie zieht gibt es noch nicht. Entsprechend habe ich auch klar geschrieben, dass es bisher eher Meinungen gibt, ab wann §202c StGB erfüllt ist. Es kann durchaus sein, dass Richter zur Auffassung kommen, dass das Abfangen von Paketen um die Mac-Adresse auszuwerten erlaubt ist oder nicht.
Ich kenne jedoch Niemanden aus dem Rechtsbereich, der das Abfangen und Auswerten von Paketen in einem Netzwerk von dem man per Verschlüsselung explizit ausgeschlossen ist NICHT als relevant nach §202c StGB werten würde. Denn diese Handlung kann recht eindeutig als vorbereitend interpretiert werden.

Das ich mich auf Fachleute beziehe in meinem Dunstkreis beziehe impliziert nicht, dass ich die nette Dame hinter der Fleichertheke bin

 

[Raijin]

Welchen harmlosen Grund sollte es geben, aus einem fremden verschlüsselten Netzwerk MAC Adressen auszulesen? Mir fällt keiner ein. Da ist es nicht verwunderlich, dass man von potentiell illegalen Handlungen ausgeht.

Ich halte es für äußerst fragwürdig, hier im Forum Hilfestellung zu geben. Google spuckt dazu genug aus. Da muss man hier nicht - im worst case - Anleitungen zum Datendiebstahl o.ä. geben... Das verstößt gegen die Forenregeln.

Und bevor jetzt wieder ein Axt-Beispiel kommt: Für Äxte gibt es Dutzende legale und unkritische Einsatzzwecke, zB Gartenarbeit. Für das Ausspionieren von fremden MACs aus einem fremden WLAN, auf das man keinen Zugriff hat, fällt mir absolut nichts Unverdächtiges ein, lasse mich aber gerne eines besseren belehren

 

[Luminatus]

Nachdem hier offensichtlich eine hitzige Diskussion über meine Motive und deren strafrechtliche Relevanz entstanden ist, komme ich wohl nicht umher, meine Motive zu konkretisieren, wenn ich mir hier keine Anschuldigungen gefallen lassen will.

Stark vereinfacht: Ich administriere ein Netzwerk, das die Bewohner eines Hauses untereinander verbindet. Dieses Netzwerk duldet allerdings keine Erweiterung durch WLAN Accesspoints. Nun ist es nicht ganz einfach dieses Verbot durchzusetzen, da die einzige Informationsquelle die Logs des zentralen Switches sind, die unter anderem ARP Pakete aufzeichnen und damit eine Zuordnung MAC-Adresse <-> Port (und damit Nutzer) zulassen.
Nun gibt es zwei Szenarien:
1. Mit dem AP wird ein neues Netzwerk aufgebaut, dann fungiert der AP als Router und die MAC-Adresse, mit der der Router an den Switch sendet, lässt sich evtl. aus der MAC-Adresse des WLAN Interface des AP ableiten (erfahrunsgemäß unterscheiden sie sich nur in der letzten Ziffer). Hier gibt es kein Problem, da die MAC-Adresse des AP einfach aus Advertisements auslesbar ist.
2. Der AP arbeitet nur auf Layer 2. Dann kommt meine Frage ins Spiel, da ich auf diese Art und Weise die MAC-Adresse des Clients finde und in den Switch Logs nachschlagen kann.

Ich hoffe, ich konnte euch beruhigen und bedanke mich nochmals für die schnellen Antworten!

 

[Der.Shorty]

@Luminatus, mach dir nichts draus.
Die Leute hier haben einfach zu viele Filme geguckt, und daher kommen diese abstrusen Ideen.

Ich denke keiner von den Hobby Anwälten hier hat auch nur annähernd Erfahrung.
Auch wurde vergessen das es hier in der Bundesrepublik Judikative und Legislative gibt; Zwei verschiedene Organe und unabhänig.
...Aber was erzähl ich den Juristen hier...

 

[Raijin]

Solche Diskussionen sind aber absehbar. Verschlüsselt, fremd, kein Zugriff und trotzdem will man Dinge auslesen. Es wundert mich nicht, dass hier sofort mit Paragraphen um sich geworfen wird. Wenn man einen Thread zu so einem Thema erstellt, empfiehlt es sich, vorab schon den Sinn und Zweck zu enthüllen - sofern er denn unkritisch ist - um etwaige Diskussionen um Legalität im Keim zu ersticken. Eventuell ergeben sich daraus ja auch ganz andere Lösungsansätze..

Nachprüfen kann natürlich niemand ob die Erklärung wahr ist oder nicht, aber wenn von vornherein keinerlei Erklärung geliefert wird, stellt man sich automatisch die Frage warum nicht - evtl. weil man es mißbrauchen will?