Wie Hotel W-Lan sicher nutzen?

[Ask-me]

Hallo,
da ich relativ viel Zeit in Hotels verbringe und auf das W-Lan dort angewiesen bin, würde ich gerne von euch wissen, wie man das Hotel W-Lan sicherer machen kann?

Das W-Lan wird in der Regel am MacBook und am Android Handy genutzt. Eine einfache und kostengünstige Lösung (<100€) wären wünschenswert. Idealerweise so "sicher", dass man Online Banking betreiben könnte.

Hat da jemand eine Idee?

Viele Grüße
Ask-me

 

[Donnidonis]

Per VPN nach Hause (z.B. in der Firtzbox integriert). Das reicht aus.

 

[Ja_Ge]

Wenn du eine neuere Fritzbox und vernünftige Bandbreite zuhause hast WireGuard. Dann ist die Kommunikation verschlüsselt udn geht über dein Zuhause.

 

[NJay]

Seitdem es HTTPS gibt kannst du auch im Hotel problemlos Online-Banking machen.

Ansonsten richte dir einen VPN zu deinem Heimrouter ein, falls dieser das kann, dann hast du einen weiteren Layer Sicherheit.

 

[BFF]

Du kannst ds Hotel WLAN nicht sicher machen. 😉

Https ist eigentlich mittlerweile Standard.
Aber wenn Fritzbox zuhause mach per VPN da drüber, falls es Dich ruhiger macht.

Ein Reiserouter würde Dich vom Hotel WLAN unabhängig machen.

 

[Drewkev]

wie man das Hotel W-Lan sicherer machen kann?

Da gibt es viele Möglichkeiten, nur wirst du diese nicht anwenden können.

Was du allerdings machen kannst ist eine VPN-Verbindung, am besten nach Hause per bspw. WireGuard, herzustellen.

 

[Ja_Ge]

Seitdem es HTTPS gibt kannst du auch im Hotel problemlos Online-Banking machen.

Nein, Man-in-the-Middle funktioniert auch mit HTTPS.

 

[Redundanz]

indem du ein sauberes vpn zu dir nach hause aufbaust. anders geht es nicht "sicher". schon gar nicht wenn es auch um online banking geht. da wärst du im vergleich sogar noch sicherer unterwegs wenn du das über deinen mobilen-datentarif machst.

die potentielle schwachstelle ist ja die hotel-wifi-infrastruktur, nicht irgendwelche anderen clients. du vertraust, dass der jeweilige admin in den hotels:

1.) kein bad actor ist
2.) sein netzwerk insofern im griff hat, als dass kein unberechtigter dritter zugang zur konfigurationsebene hat

abgesehen davon solltest du dich grundsätzlich auch immer vergewissern im richtigen wifi zu sein. es gibt ja inzwischen (gerade auf flughäfen) sogenannte rogue access points die einem dann vorgaukeln das public wifi zu sein. da muss man schon genau die entsprechenden essids anschaun und sich im zweifel bei offizieller stelle vergewissern.

 

[Masamune2]

Idealerweise so "sicher", dass man Online Banking betreiben könnte.

Kannst du. Das sicher zu machen ist nämlich nicht deine Aufgabe sondern die der Bank. Die nutzt für den Zugriff auf das Online Banking HTTPS und damit eine verschlüsselte Verbindung.
Das einzige was du noch tun musst ist darauf zu achten das keine Zertifikatsfehlermeldung beim Zugriff auf die Seite erscheint. In den aller meisten Fällen dürfte das aber schon dein Browser für dich erledigen, denn dank HSTS verweigert er den Zugriff auf die Seite wenn das Zertifikat plötzlich ein anderes ist.

 

[Donnidonis]

Nein, Man-in-the-Middle funktioniert auch mit HTTPS.

Ja, dafür muss man aber aktiv das Zertifikat des Angreifenden akzeptieren. Wenn es erstmal soweit ist, ist eh alles egal.

Daher: Online Banking aus dem Hotel ist kein Problem, wenn du nicht selbst das Scheunentor aufmachst.

 

[Ja_Ge]

Kannst du. Das sicher zu machen ist nämlich nicht deine Aufgabe sondern die der Bank. Die nutzt für den Zugriff auf das Online Banking HTTPS und damit eine verschlüsselte Verbindung.

Wenn der böswillige Betreiber des öffentlichen WLANs es gut macht landest du nicht mal direkt bei deiner Bank, sondern auf einer entsprechenden Zwischenseite, optisch gleich und mit wunderbar gültigem HTTPS Zertifikat.

Ergänzung (18. Juni 2023)

Ja, dafür muss man aber aktiv das Zertifikat des Angreifenden akzeptieren. Wenn es erstmal soweit ist, ist eh alles egal.

Daher: Online Banking aus dem Hotel ist kein Problem, wenn du nicht selbst das Scheunentor aufmachst.

Der Angreifende kann ein öffentlich gültiges Zertifikat einer renommierten Zertifizierungsstelle benutzen. Wenn der Client der CA dank passendem Zertifikat im Zertifikatsspeicher vertraut braucht man da nix aktiv akzeptieren.

 

[Donnidonis]

und mit wunderbar gültigem HTTPS Zertifikat.

Da würde mich interessieren, wo kommt das Zertifikat denn her? Denn es ist ja an den FQDN gebunden, damit kannst du nicht auf der Website deiner Bank landen, sondern nur einer "Ähnlichen", oder nicht?

 

[Ask-me]

Ist die Einrichtung von WireGuard kompliziert? Bräuchte es, wie bereits erwähnt, für Android und macOS.

Reicht da eine 7590 aus? Oder ist die dafür wieder zu alt?

 

[GerKel]

Absolute Sicherheit gibt es natürlich nicht, aber:

• ein eigener kleiner Router, der so konfiguriert ist, dass er das 'Hotel-WLAN' als 'WWAN' behandelt und ein eigenes WLAN hinter einer Firewall aufzieht. So etwas lässt sich sehr einfach und preiswert z.B. mit einem Maginon WLR755AC (ab 5,-€ bei KA) machen, auf dem OpenWRT aufgespielt wurde.
• dazu noch ein beliebiger Single-Board-Computer wie ein RaspberryPi (kann ruhig ein uralter der 1. Generation oder ein ZeroPi_I sein) oder ein Odroid, auf dem Pi-Hole mit eigenem, rekursiven DNS-Resolver (unbound) läuft. Lässt sich mit z.B. Diet-Pi OS mit wenigen Klicks komplett einrichten!

Mit der Kombination ist jedes WLAN so 'sicher' wie das daheim - ganz ohne VPN-Tunnel.

 

[Abe81]

Hat eigentlich schon jemand VPN erwähnt?

 

[Ja_Ge]

Da würde mich interessieren, wo kommt das Zertifikat denn her? Denn es ist ja an den FQDN gebunden, damit kannst du nicht auf der Website deiner Bank landen, sondern nur einer "Ähnlichen", oder nicht?

Genau so funktionieren 90% aller „Wir haben ein Problem auf Ihrem Konto festgestellt“ Emails. Du gehst auf eine andere Seite die die Zielseite kopiert. Mit dem Unterschied dass der User nicht auf eine dubiose Email klickt sondern aktiv www.sparkasse.de eingibt, und der böse Hotelier dann das DNS verbiegt.

EDIT: Sparkasse ist natürlich nur ein Beispiel.

 

[BFF]

Ja. @Abe81

 

[Ja_Ge]

Ist die Einrichtung von WireGuard kompliziert? Bräuchte es, wie bereits erwähnt, für Android und macOS.

Reicht da eine 7590 aus? Oder ist die dafür wieder zu alt?

https://avm.de/service/vpn/wireguard-vpn-zur-fritzbox-am-computer-einrichten/

Ist recht einfach.

 

[0x8100]

und der böse Hotelier dann das DNS verbiegt.

und wo bekommt der ein gültiges zertifikat für seine gefakte seite unter anderer ip her?

 

[Donnidonis]

Genau so funktionieren 90% aller „Wir haben ein Problem auf Ihrem Konto festgestellt“ Emails.

Die leiten auf eine Ähnliche Seite um, mit etwas anderer Domain. Nach deinem Beispiel:

• Ich rufe www.sparkasse.de auf
• Du leitest mich auf deine lokale Website um (Kopie der Sparkasse) mit einem deiner HTTPS Zertifikate
• Der Browser wird meckern, weil du eben keine www.sparkasse.de Zertifikat erstellen kannst

Außer ich übersehe etwas, aber da lasse ich mich gerne belehren

Bei MITM ist es noch gravierender, da muss definitiv das MITM Zertifikat akzeptiert werden vorab.

@0x8100 Da bin ich auch mal gespannt. Klar kann er die Seite umleiten, aber eben nicht für den FQDN ein gültiges Zertifikat erstellen lassen. Denn wenn doch, ist die "offizielle "CA schneller weg, wie sie gucken kann.