2009/5/2 Erik P. Roderwald
Hallo zusammen,
On Freitag 01 Mai 2009, Felix Lemke wrote:
Wenn der "Angreifer" deine MAC hat bekommt er abhängig von deinem Router auch eine IP. Manche Router schmeißen den ersten Nutzer der MAC raus und lassen den neuen rein. Manche ignorieren die zweite Anfrage mit eine MAC, die sich schon im Netz befindet. Manche Router lassen einfach mehrfach die selbe MAC rein. Ich hatte es auch schon, dass der Router sich komplett aufhängt und neu gestartet werden muss.
Das ist der zweite Grund, warum ich das Einschränken auf bestimmte MACs nicht empfehle. Nehmen wir mal an, jemand will das Netz wirklich angreifen, weil er Daten stehlen will.
Ich versuche einfach mal ins Netz zu kommen und werte die Antworten aus. Jetzt finde ich heraus, dass das Netz mit MAC-Eischränkung arbeitet. Was tue ich also? Ich scanne das Netz nach den erlaubten MACs. Das dauert wirklich nur wenige Sekunden. Eigentlich genau so lange bis das erste Paket abgegriffen wurde. Ich brauche ja nur eine MAC.
Habe ich eine gültige MAC gefunden, dann geht der Angriff los und ich feuere Passwörter auf den AP. Was nun passiert ist nie gut. Entweder schmeißt er den ersten raus und lässt den zweiten erst einmal rein oder ignoriert die erneute Anfrage. Die erste Lösung wäre sogar die bessere. Die andere Seite könnte ja Probleme mit der Verbindung haben und deshalb einen erneuten Verbindungsversuch unternehmen. Meine Seite meint zwar, dass die Verbindung noch steht. Die andere Seite signalisiert aber durch den erneuten Versuch, dass dem nicht so ist. Also schmeiße ich vorsichtshalber die alte Verbindung weg und gehe auf die neue ein.
Wie dem auch sei. Das Netz wird instabil und ich habe Ärger. Schlimmer wird es allerdings, wenn es dem Angreifer dann noch gelingt, das Netz wirklich zu knacken. Nun ist er drin (auf Ebene des Ethernets) und es folgt ein DHCP-Request. Das ist fatal. Welche IP bekommt der Angreifer? Er hat dieselbe MAC wie ein im Netz befindlicher Rechner. Also bekommt er auch die IP, die zu dieser MAC gehört.
Was passiert beim DHCP-Request? Als erstes macht der fragende Rechner einen broadcast "Ist hier irgendwo ein DHCP-Server?" Darauf antwortet der Server "Jo, das bin ich." Nun sendet der fragende Rechner einen DHCP-Request, in dem er seine MAC mitteilt und um die ihm fehlenden Daten bittet. Der DHCP-Server schaut nun als erstes nach, ob diese MAC in den Tabellen für die statische und die dynamisch Vergabe auftaucht. Taucht sie dort auf, ist also entweder eine feste IP für diese MAC eingerichtet oder die lease time für eine dynamisch vergebene noch nicht abgelaufen, dann teilt der DHCP dem Client die IP zu, die zu der MAC gehört.
Jetzt haben wir also zweimal dieselbe MAC und dieselbe IP im Netz. Puh, nicht gut. Was nun mit dem Netz passiert, ist einigermaßen Zufall. Auf jeden Fall wird es instabil und es kann passieren, dass Daten, die eigentlich für den legalen Client bestimmt waren, auf der Adresse des Angreifers landen. Letzteres ist der Glücksfall für den Angreifer.
Das einzige, was wirklich Sicherheit bewirkt, ist das verschlüsseln mit mindestens WPA und ein 63 Zeichen langer zufällig erzeugter Schlüssel. Zufällig erzeugt heißt, dass man ihn mit Software erzeugt hat. Da da gibt es eine Menge Software im Netz. Eine ganz einfache ist diese hier:
-snip- random.sh
#!/bin/sh
dd if=/dev/random count=1 bs=256 2>/dev/null |openssl base64 | tr -d '\n' | cut -b-$1 -snip-
Aufruf: random.sh Anzahl_der_gewünschten_Zeichen
Die zweite Sicherheitsmaßnahme, die ich immer empfehle, ist das Herabsetzen der Sendeleistung. Sehr oft komme ich mit 60% oder weniger der vollen Sendeleistung aus, um das zu erreichen, was ich will. Ich kann überall in meiner Wohnung mit guter bis sehr guter Qualität surfen. Also muss die Wolke ja nicht bis auf die andere Straßenseite ausgedehnt werden. Hat man aber auf der anderen Straßenseite keinen Empfang, kann man auch nicht einbrechen.
Das mit der Sendeleistung ist nutzlos. Wenn ich will, nehme ich einfach eine Antenne mit hoeherem Gewinn und schwupps, schon bin ich in deinem Netz drin. Mit der richtigen Antenne kann man z.B. Bluetooth in mehr als 1 km Entfernung noch prima ablauschen. Und die Sendeleistung bei Bluetooth ist nur so etwa 10% von WLAN. kk -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org