News WPA2: Schwachstelle in WLAN-Verschlüsselung lässt mitlesen

[KarlKarolinger]

Hat eh eigene SIM somit brauchst auch kein WLAN im Normalfall.
Zur Datenübertragung gehts auch meist mit USB Kabel.

Bluetooth is ja auch schon nicht mehr sicher.
GSM kann anscheinend sowieso jeder Depp mitlesen.
UMTS ist auch nicht viel sicherer.

Das klingt so als sagst Du zuerst, es sei wegen der Verbindung über SIM sicherer als im WLAN und dann, dass alle SIM-Verbindungen noch einfacher zu knacken sind, als ein WLAN.

Wäre es nach der Logik nicht sicherer, das Smartphone im WLAN zu verwenden, weil die Daten dann wenigstens nicht durch sämtliche Nachbarhäuser und Straßen im Umkreis von einem oder mehr Kilometer geschickt werden und die aktuelle Lücke wohl nicht so gravierend ist?

 

[Benji18]

Aruba und Ubiquiti haben bereits hotfix FWs für ihre Aps bereitgestellt.

 

[leipziger1979]

ohne dass die Angreifer das WLAN-Passwort selbst kennen müssen. Dieses bleibt nämlich auch trotz der Lücke weiterhin geschützt.

Dann ist das erste Bild aber unglücklich gewählt!

Client und Access Point tauschen dabei einen Session-Key aus, den Forschern gelingt es jedoch, einen bereits benutzten Schlüssel erneut zum Einsatz kommen zu lassen, die sogenannte „Key Reinstallation“.

Das bedeutet ja eigentlich wenn eine Seite gepatcht ist ist das Problem gelöst?
Denn zum Handshake gehören ja beide, und wenn einer das wiederverwenden verweigert ist der Angriff wirkungslos.

 

[retho]

Deshalb habe ich schon seit Jahren auf LAN umgestellt.

Viel Vergnügen wenn all die Tablett-Benützer mit Kabel durch die Wohnung schlarpen.

 

[bisy]

Microsoft hat das Problem bei win7, 8.1 und 10 auch schon bereits behoben http://winfuture.de/news,100131.html

 

[updater14]

Windows und iOS sind eingeschränkt betroffen

Windows ist angeblich gar nicht betroffen...

Windows ist bereits sicher
Im Juli 2017 wurden die größeren Hersteller darüber benachrichtigt und Microsoft hat den Fehler im Windows-System bereits behoben. Das Unternehmen hat ein Statement veröffentlicht und darin erklärt, dass man ein Sicherheitsupdate bereits veröffentlicht hat. Kunden, die das Update installiert oder automatische Updates aktiviert haben, sind vor der Lücke geschützt. Windows ist also sicher, ganz im Gegensatz zu anderen Systemen.

Quelle: @Windowsarea

 

[Stuntmp02]

In Privatgaushalten sehe ich hier kein größeres Problem, weil W8/W10 sowieso im Hintergrund automatisch Updates installiert und die aktuelleren Router ebenfalls vom Provider automatisch per Zwangsupdate aktualisiert werden. Diese Lücken treffen viel härter Firmen, welche im Regelfall(!) wenn überhaupt nur äußerst unregelmäßig die Clients aktualisieren, weil niemand Lust hat, bei mehreren tausend PCs mach jedem Update verantwortlich zu sein für die 3 Geräte, welche durch den Patchday Probleme bekommem...

 

[TrueAzrael]

@sir Einstein
Richtig. Das iPhone5 aus dem Jahre 2012 hat kein iOS 11 bekommen. Somit bekommt es auch nicht iOS 11.1.

Das iPhone von 2007 übrigens auch nicht. Vermutlich bekommt mein SE k750i auch kein Update.

Mein PC von 1994 bekommt aber vermutlich noch ein Update (auch wenn da gar kein WLAN drin ist), wo sind wir da nur falsch abgebogen?

 

[silent2k]

Aruba und Ubiquiti haben bereits hotfix FWs für ihre Aps bereitgestellt.

Weisst Du zufällig mit welcher Firmware Version diese Lücke gefixt wurde?

 

[Benji18]

bei Ubiquiti Firmware Update 3.9.3.7537 für die APs, aktuell muss man noch manuell updaten, aber die FW wird bald an die Controller verteilt dann kannst du es beqeum über den Controller machen.

bei Aruba

All listed vulnerabilities have been fixed in the following ArubaOS patch releases,
which are available for download immediately from support.arubanetworks.com:
-- 6.3.1.25
-- 6.4.4.16
-- 6.5.1.9
-- 6.5.3.3
-- 6.5.4.2
-- 8.1.0.4

All listed vulnerabilities have been fixed in the following InstantOS patch
releases, which are available for download immediately:
-- 4.2.4.9
-- 4.3.1.6
-- 6.5.3.3
-- 6.5.4.2

These vulnerabilities have been fixed in Clarity Engine 1.0.0.1.

These vulnerabilities have been fixed in the following Aruba 501 Client
Bridge software versions:
-- V1.0.1.3-HP501-B0012
-- V2.0.0.1-Aruba501-B0013
Aruba 501 Client Bridge software is available through the HPE My Networking
Portal site.

 

[engine]

aha und bis iphone 5 also ab sofort unsicher, da ios 10.3.3 und non further support ...

Windows ist angeblich gar nicht betroffen...
Quelle: @Windowsarea

und auch dort

... Apple bislang ohne Statement

Apple-Nutzer sind bislang nicht im Klaren, ob ihre Geräte vor der Sicherheitslücke geschützt sind oder nicht. Apple hat bis zu diesem Zeitpunkt kein Statement veröffentlicht, ob iOS und macOS weiterhin gefährdet sind oder nicht. ...

Jetzt sind wir an dem Punkt, das kanns ja wohl nicht sein, ob iOS10 ein Sicherheitsupdate hat/bekommt oder nicht, da bin ich mal gespannt .
Sonst muss ich doch iOS11 installieren.
Kommt Apple eigentlich gelegen, aber eigentlich müsste iOS 10.3.3 gepatcht sein, denn es erschien am 19. Juli 2017 und MS hat es vermutlich und anscheinend geschafft zu patchen.

 

[silent2k]

@Benji18

Danke Dir!

Ich hatte gestern im Controller manuell nach Firmware Updates gesucht - er hat auch eins gefunden und installiert. Dann schaue ich nachher mal ob es genau diese Nummer ist.

 

[Ruff_Ryders88]

hat aber gedauert bis auch ihr mal darüber berichtet habt.

 

[Markus700]

In Privatgaushalten sehe ich hier kein größeres Problem, weil W8/W10 sowieso im Hintergrund automatisch Updates installiert und die aktuelleren Router ebenfalls vom Provider automatisch per Zwangsupdate aktualisiert werden. Diese Lücken treffen viel härter Firmen, welche im Regelfall(!) wenn überhaupt nur äußerst unregelmäßig die Clients aktualisieren, weil niemand Lust hat, bei mehreren tausend PCs mach jedem Update verantwortlich zu sein für die 3 Geräte, welche durch den Patchday Probleme bekommem...

Es muss entweder Client oder der AP gepatched werden. Ein sicherer Endpunkt reicht. Steht so auf der Website des Finders. Privathaushalte patchen also vorrangig Clients und der Router irgendwann automatisch. Firmen sollten vor allem ihren AP patchen.

Ansonsten ist Panik unangebracht. Wenn man sich nahe am AP befindet ist MitM sehr schwer. Dann muss man auch gerade in dem Moment wichtige Daten übertragen die nicht TLS verschlüsselt sind. Schadcode einzufügen sollte auch nicht so einfach sein. Zusätzliches MitM bei TLS fällt heutzutage schnell auf.

 

[engine]

Ruff_Ryders88.

Über ComputerBase

ComputerBase ist ein unabhängiges Tech-Magazin mit News und Tests zu Smartphones, Tablets, PC-Hardware, Software und IT. Eine große technikaffine Community hilft im Forum.

Software und IT und vielleicht Sicherheit steht eher ganz hinten.
Oder täusche ich mich da? 1 Tag Verspätung sei verziehen.

Ergänzung (17. Oktober 2017)

Es muss entweder Client oder der AP gepatched werden. Ein sicherer Endpunkt reicht. ...

https://arstechnica.com/information...l-leaves-wi-fi-traffic-open-to-eavesdropping/

Der Forscher sagte weiter, dass die Schwachstelle es Angreifern ermöglicht, sowohl gefährdete Zugangspunkte als auch gefährdete Computer, Smartphones und andere Arten von Verbindungsclients anzusteuern, wenn auch mit unterschiedlichen Schwierigkeitsgraden und Effektivität. Es wird davon ausgegangen, dass weder Windows noch iOS für die schwersten Angriffe anfällig sind. Linux und Android scheinen anfälliger zu sein, da Angreifer die Netzwerkentschlüsselung auf Clients in wenigen Sekunden mit geringem Aufwand erzwingen können.

... Vanhoef sagte, dass Clients gepatcht werden können, um Angriffe selbst dann zu verhindern, wenn sie mit anfälligen Zugangspunkten verbunden sind. ...

Also, ein Patchen des Clients ist am wichtigsten!

 

[c0mputerMensch]

Deshalb habe ich schon seit Jahren auf LAN umgestellt.

Und dein Smartphone hast du wie nochmal per LAN angeschlossen?

Das Problem wurde auch in iOS 11.1 Beta3 schon gefixt.

 

[ldasta]

Ich bin gespannt wann und und für welche Geräte AVM Updates bereitstellt.

 

[Markus700]

Ruff_Ryders88.

Also, ein Patchen des Clients ist am wichtigsten!

Danke für die Bestätigung. Jedoch muss man hier unterscheiden welche art von Client (mobil / stationär, etc). Du denkst vermutlich an den Laptop oder das Telefon. Da stimme ich dir zu. Stichwort Risikoanalyse

 

[Kazuja]

Guten Morgen,

was ist wenn ich jetzt vom IPhone mit aktuellen IOS über eine Bank App mit WLan zur Online Bank gehe.
Wie schaut es dann mit der Sicherheit aus?

Grüße Kazuja

 

[Markus700]

Guten Morgen,

was ist wenn ich jetzt vom IPhone mit aktuellen IOS über eine Bank App mit WLan zur Online Bank gehe.
Wie schaut es dann mit der Sicherheit aus?

Grüße Kazuja

Auch die App sollte, wenn sie von einer seriösen Bank stammt, HTTPS nutzen.