Anstatt in den Kommentaren fortzufahren, werde ich wohl nur Ihre eigentliche Frage beantworten, die ich verstehe: Warum ist die Verwendung von WPA / WPA2 Personal mit einer öffentlichen SSID und Passphrase nicht sicherer als ein offenes Netzwerk und warum? funktioniert WPA / WPA2 Enterprise im Coffee-Shop-Szenario nicht.

Wenn die Passphrase öffentlich war (wie in diesem Szenario) und WPA / WPA2 personal verwendet wird, kann jeder, der die Passphrase und den SSID-Namen hat, den drahtlosen Verkehr anderer entschlüsseln, solange er kann Erfassen Sie den ersten 4-Wege-Handshake für diesen Client (der beim Herstellen einer Verbindung zum Netzwerk auftritt). Wenn jemand den zukünftigen Datenverkehr eines anderen entschlüsseln möchte, aber den anfänglichen 4-Wege-Handshake seines Clients nicht überwacht hat, kann er einfach einen neuen Handshake zwischen diesem Client und dem AP mithilfe einer gezielten Deauthentifizierung erzwingen. An diesem Punkt können Sie die neuen 4 erfassen -way Handshake und entschlüsseln den gesamten zukünftigen Verkehr. Wenn der angegriffene Client ein VPN, einen SSH-Tunnel, TLS oder einen anderen starken Verschlüsselungsmechanismus über das WLAN verwenden würde, wäre dieser Datenverkehr natürlich so weit geschützt, wie es der von ihm gewählte Mechanismus zulässt.

Der Grund, warum der Datenverkehr entschlüsselt werden kann, besteht darin, dass WPA / WPA2 personal einen paarweisen Hauptschlüssel aus der beim Anmelden verwendeten Passphrase und SSID erstellt. Das PMK wird dann zum Erstellen eines paarweisen Übergangsschlüssels und eines gruppenweisen Zeitschlüssels verwendet Schlüssel, wobei die PTK pro Client eindeutig ist und die GTK für alle derzeit verbundenen Clients gemeinsam genutzt wird (für Broadcast-Verkehr). Diese PTK kann aus der PMK unter Verwendung von Informationen aus dem 4-Wege-Handshake (der im Klartext ausgehandelt wird) abgeleitet werden. Wenn Sie in der Lage sind, den 4-Wege-Handshake zu verfolgen, können Sie die Informationen, die zum Ableiten des PTK dieses Clients verwendet werden, aus dem PMK abrufen, das Sie bereits kennen, da Sie die Passphrase und die SSID kennen (normalerweise durch Ausführen von PBKDF2 (Passphrase, SSID, ssidlen) 4096, 256)).

WPA-Unternehmen funktionieren nicht gut, da jeder eine Möglichkeit zur Authentifizierung benötigt, unabhängig davon, ob Anmeldeinformationen (EAP-PEAP), Zertifikat (EAP-TLS) oder andere (verschiedene andere EAP-Modi) vorhanden sind Das Ziel des Coffeeshops ist es, Personen in der Nähe kostenlosen WLAN-Zugang zu bieten.

Ihnen fehlt die größere Frage: Warum?

Die Verschlüsselung erhöht die Kosten des Coffeeshops erheblich. Es fallen geringe einmalige Kosten an, wenn jemand die Zugangspunkte konfigurieren, Kennwörter zuweisen, verwalten, ändern, Schilder mit der Aufschrift "Das Kennwort dieser Woche lautet C0ffeebuck $" usw. veröffentlichen muss. Außerdem fallen weiterhin hohe Lohnkosten an. Baristas werden für die Zubereitung von Kaffee bezahlt und nicht für den technischen Support des Netzwerks. Dennoch wären sie gezwungen, ihre Zeit damit zu verbringen, Fragen des technischen Supports von frustrierten Kunden zu beantworten, anstatt mehr Kaffee zu verkaufen.

1. Es schützt nichts, was für das Café von Wert ist. Dies ist nicht das private Netzwerk des Coffeeshops, das den Zugriff auf Computer, Register und Unternehmensnetzwerke ermöglicht. Dies ist ein separates Netzwerk, das von seinem internen Netzwerk isoliert ist. Wenn Kunden eine Verbindung herstellen können, können sie dem Datenverkehr nicht vertrauen, unabhängig davon, ob er verschlüsselt wurde. Wenn der Shop "Netzwerkzugriff" als Werbewert ansieht, ist er bereits etwas durch die physischen Einschränkungen der WiFi-Signalausbreitung geschützt, und das Signal kann nur für Personen in einer Entfernung von mehr als hundert Metern verwendet werden. Und sobald ein Kunde seinen Kaffee gekauft und Zugang erhalten hat, gibt es keinen WPA2-Mechanismus, der diesen Zugang wegnimmt, nachdem er sein Getränk beendet hat. Könnte es sich ein Geschäft leisten, Passwörter stündlich oder täglich zu ändern, um zu verhindern, dass Personen ihren Zugang missbrauchen? Siehe Nr. 1 oben.

2. Es bietet den Kunden keinen wesentlichen Schutz. Wie würde jemand wissen, dass er sich mit dem realen Netzwerk von Coffeebucks verbindet? Weil das Netzwerk Coffeebucks heißt? Durch die Verschlüsselung wird das Problem der Authentifizierung des Zugriffspunkts nicht gelöst, wenn auf Ihrem Computer keine andere Vertrauensbeziehung besteht. Zurück zu den Kosten: Was würde es ein Café kosten, seinen Kundencomputern eine Authentifizierung über RADIUS-Server zu gewähren?

3. Auch wenn ein Kunde der Verbindung zum Access Point absolut vertrauen kann, befindet er sich immer noch in einem Segment, das mit anderen Kunden geteilt wird, sodass er sich ohnehin im Wesentlichen auf der öffentlichen Seite des Internets befindet. Niemand sollte darauf vertrauen, dass unverschlüsselte Daten ungeschützt über das Internet übertragen werden. Verwenden Sie http oder https, um Ihre Bankgeschäfte von zu Hause aus zu erledigen? Warum bestehen Sie auf https, wenn Sie WPA2 haben? Weil Sie Ihre Daten während der gesamten Reise schützen müssen, nicht nur den einzelnen Sprung zwischen Ihrem Computer und Ihrem Zugangspunkt.

ol>

In meinem Kontext, der asiatisch-pazifischen Region, liegt es zwischen 50 und 50 zwischen gesichertem WPA / WPA2 und ungesichertem . Wenn Sie einen Blick auf wigle.net werfen, können Sie genau herausfinden, aber es ist eine Menge Arbeit, da Sie für tatsächliche Coffeeshops und nicht nur für kommerzielle Zwecke eine Menge Filter usw. durchführen müssen oder persönliche Netzwerke, aber Sie erhalten trotzdem ein gutes Gesamtbild .

Für einen Hacker, der schnüffelt oder Man in the Middle Attacks (MitM) haben die gesicherten Netzwerke ein viel größeres Hindernis - ein Passwort . Dies macht das Schnüffeln nur deshalb weniger effektiv, weil die Anzahl der verbundenen Personen reduziert wird. So haben Sie zu jedem Zeitpunkt weniger Opfer, die aktiv Verkehr durch das Netzwerk schieben und ziehen, der beschnüffelt werden kann. Ein stilles Netzwerk ist ein langweiliges Netzwerk für einen schnüffelnden Angreifer.

Wenn der Angreifer nach dem Kennwort fragt oder es hackt, kann er genauso gut schnüffeln wie in einem offenen ungesicherten Netzwerk. Der entscheidende Punkt hierbei ist, dass Sie nur dann rohes http schnüffeln können, wenn Sie sich im Netzwerk befinden. - zumindest mit herkömmlichen Hacking-Tools und -Hardware. Dies ist die wahrscheinlichste Art und Weise, wie jemand ein Café ausnutzt Szenario.

Einfach ausgedrückt: Sicher und ungesichert unterscheidet sich für einen Paket-Sniffer nur aufgrund des Kennworts. Das tatsächliche Schnüffeln, sobald sich der Angreifer in einem der beiden Netzwerke befindet, ist praktisch identisch.

Angreifer bevorzugen jedoch wahrscheinlich ungesicherte Netzwerke, nur weil wahrscheinlich mehr Ziele verbunden sind. Es sei denn natürlich, sie haben ein bestimmtes Ziel vor Augen. Ich würde mir vorstellen, dass sich jemand hinter einem WPA-2-Passwort wohler fühlt, wenn er Inhalte besucht, kommuniziert und überträgt, die weitaus privater oder wertvoller sind. Wenn sich jedoch nur drei Personen in diesem Netzwerk befinden und Sie nach Kreditkarten oder Ähnlichem suchen, erhalten Sie nur drei Karten. In einem offenen Netzwerk mitten in der Stadt gibt es unendlich viele neue Kunden, die möglicherweise Transaktionen durchführen oder Passwörter drahtlos an andere Websites oder Apps weitergeben.

Einige Cafés führen beispielsweise Middleware ein. Das ist in den meisten Fällen effektiv eine Schnüffelplattform. Sie können Datenverkehr auf die Whitelist / Blacklist setzen, Protokolle erstellen, DNS-Weiterleitungen zu Zielseiten durchführen ... was immer sie wollen, es ist ihr Netzwerk. Abhängig davon, wie diese eingerichtet sind, können sie verhindern, dass andere zufällige Personen Sniffing-Angriffe über das Netzwerk ausführen, indem sie jedem Benutzer isolierte Verbindungen geben. Allerdings habe ich diese in freier Wildbahn selten gesehen. Das typische Netzwerk ist vollständig schnüffelig. Sie können mit jeder Netzwerkanalysator-App für Ihr Telefon überprüfen, ob Sie sich in einem schnüffelbaren Netzwerk befinden. Wenn zufällige IP-Adressen angezeigt werden, sind Sie nicht isoliert und Sie und alle anderen sind anfällig für einen MitM-Angriff.

Die Ausnahmen sind Benutzer, die verschlüsselte Kanäle verwenden oder https-Verbindungen für ihren Datenverkehr erzwingen. Diese sind weniger schnüffelnd. Während VPNs oder Dinge wie Tor relativ sicher und allgemein vor diesen Angriffen geschützt sind . https ist ebenfalls nicht ganz sicher. Bei einem Angriff kann sslstrip verwendet werden, um die Anforderungen auf http im Klartext herunterzustufen und für einige Websites eigene Zertifikate auszustellen. Alternativ könnten sie den gesamten https-Verkehr DOS ausführen und die Benutzer dazu zwingen, den verschlüsselten Verkehr einfach aufzugeben. Dies würde auf den meisten Websites funktionieren, mit Ausnahme derjenigen, die nur gesicherten Verkehr unterstützen, wie z. B. Banken

Dinge, um sich zu sichern (keine vollständige Liste)

• Verwenden Sie ein privates seriöses VPN ($) oder TOR (kostenlos).
• Wenn Sie E-Mail verwenden, verwenden Sie PGP oder eine andere sichere Verbindung.
• Verwenden Sie SFTP oder SSH, nicht FTP, wenn Sie eine Website aktualisieren oder Dateien verschieben.
• Stellen Sie niemals eine Verbindung her In einem Netzwerk ohne sicheres Kennwort auf Ihrem Computer
• , in dem eine Firewall, Intrusion Detection und Antivirus installiert sind, bieten die meisten Unternehmen großzügige freie Zeiträume für ihre vollständige Software an. Ich denke, Norton gibt im Moment 30 Tage Zeit.
• Verwenden Sie nach Möglichkeit nicht Ihr persönliches Login, wenn Sie eine Verbindung herstellen, sondern starten Sie möglicherweise eine Live-CD oder einen USB-Stick. Dadurch wird Ihre Gefährdung durch netzwerkbasierte Angriffe minimiert Diese Angreifer möchten mehr als nur Ihren schnüffelnden Webverkehr - diese Angreifer suchen nach einer dauerhaften Remoteverbindung mit Ihrem Computer.

In all diesen Situationen ist es jedoch am einfachsten und sichersten, die 3G- oder 4G-Datenverbindung (nicht 2G) Ihres Mobiltelefons über ein Kabel NICHT als persönlichen Hotspot zu verwenden, ohne zu technisch zu werden. Dies liegt daran, dass Sie eine Verbindung zu Mobilfunkmasten und nicht zu zufälligen nicht vertrauenswürdigen WLAN-Zugangspunkten herstellen. Natürlich könnten Sie auch dadurch abgefangen werden, die Regierung hat viel Spaß mit IMSI-Catchern - aber diese Technologien sind weniger verbreitet, für alltägliche Hacker nicht leicht verfügbar und einfach schwerer zu verbergen als die Technologie, die zum Aufspüren eines normalen WLAN-Netzwerks erforderlich ist (Ein Himbeer-Pi, der in allem verborgen ist, kann das.) Auch ein Angreifer kann dies auf jedem Laptop, Android und sogar auf iPhone mit Jailbreak tun. Auch wenn Sie eine Wifi-Ananas sehen (google it), vermeiden Sie auf jeden Fall Wifi! lol

auf Nummer sicher gehen :)

Für kommerzielle Anbieter, Hotspots und große Unternehmen besteht die bevorzugte Lösung häufig darin, ein offenes und unverschlüsseltes, aber vollständig isoliertes drahtloses Netzwerk zu haben. Die Benutzer haben zunächst weder Zugang zum Internet noch zu lokalen Netzwerkressourcen. Kommerzielle Anbieter leiten normalerweise den gesamten Webverkehr an ein Captive-Portal weiter, das die Zahlung und / oder Autorisierung ermöglicht. Eine andere Lösung besteht darin, dass die Benutzer über VPN eine sichere Verbindung zu einem privilegierten Netzwerk herstellen müssen.

Von: http://en.wikipedia.org/wiki/Wireless_security#RF_shielding

Ich konnte noch nie ein wirklich isoliertes Netzwerk verwenden. Vielleicht mache ich es falsch, vielleicht ist es meine Hardware. Ich bin auch keineswegs im Bereich Networking zertifiziert und auch kein Profi. Ich könnte mich also völlig irren.

Stimmt es Ihrer Erfahrung nach, dass die meisten Coffeeshops, Hotels und Flughäfen normalerweise eine offene Verbindung verwenden, oder sind geschützte Netzwerke derzeit üblicher?

Immer wenn ich an einen Ort gehe und einen drahtlosen Zugangspunkt sehe, schaue ich nach der Marke. Normalerweise handelt es sich um ein Cisco Aironet-Gerät für Decken- / Wandmontage, das von einem ISP als Hotspot für seine Kunden eingerichtet wurde. Die meisten der Zugangspunkte, die ich gesehen habe, sind offen.

Zweite Frage: Nehmen Sie ein Café mit einem offenen Netzwerk an. Der gesamte Datenverkehr ist extrem einfach zu schnüffeln. Stellen Sie sich nun vor, das Unternehmen aktualisiert es auf ein WPA2 / AES-gesichertes Netzwerk. Ist das Netzwerk wirklich so sicher?

Lassen Sie mich auf die Antwort auf die Frage " WLAN-Verbindung pro verbundenem Benutzer verschlüsseln" verweisen.

Um diese Antwort zusammenzufassen (stimmen Sie den Fragen und Antworten nach dem Lesen zu), nein. Alles, was eine Person tun muss, ist hereinzukommen und einen Keks zu kaufen (billiger als Kaffee). Sobald der Benutzer einen Schlüssel hat, kann er wie der freundlichste Hund der Welt schnüffeln.

In diesem Sinne handelt es sich also um ein entsperrtes verschlüsseltes Netzwerk, das äquivalent zu ist ein offenes Netzwerk? Welche Art von Angriffen könnte ein Hacker auf ein WPA2-gesichertes Netzwerk ausführen?

Wenn Sie den Schlüssel verteilen, kann dies auch für stationäre / gezielte Angriffe der Fall sein gleich. Durch das Verschlüsseln des drahtlosen Netzwerks wird Ihr Hochgeschwindigkeits-Kriegstreiber einfach am Zugriff gehindert (wer macht das heutzutage?).

Könnten Sie einen Mann im mittleren Angriff so einfach wie in einem offenen Netzwerk ausführen? ? Ist es möglich, einen Rogue-AP mit der SSID und dem Schlüssel zu erstellen, die mit demselben Verschlüsselungsstandard wie im offenen Netzwerk angekündigt werden?

Ich vermute, die Antwort ist ein großes Ja.

Die möglichen Angriffe auf das Netzwerk hängen wahrscheinlich von der Hardware im Access Point ab. Einige APs sind mit drahtlosen Intrusion Prevention-Systemen ausgestattet, die versuchen, einige der grundlegenden / häufigen Angriffe zu verhindern.

Aber wie kann ich sicher bleiben?

Ich denke, jemand hat einmal gesagt, dass das größte Geschenk, das eine Person jemals einem anderen Menschen machen könnte, die End-to-End-Verschlüsselung ist.

Es liegt im Wesentlichen beim Kunden, zusätzliche Vorsichtsmaßnahmen wie einen SSH-Tunnel oder ein VPN zu treffen. Wenn ein Zugriff erforderlich ist, ist auch ein sicherer Endpunkt erforderlich, was für die meisten Benutzer von PCs äußerst unpraktisch ist.

Die meisten Orte, die kostenloses WLAN anbieten, kümmern sich nicht um die Sicherheit und möchten den Kunden die Verbindung so einfach wie möglich machen. Da Benutzer eines solchen offenen WLANs im Großen und Ganzen auch nicht auf Sicherheit achten, besteht für sie kein großer Druck, diese Mentalität zu ändern.

Es ist jedoch nicht wirklich so schwierig, ein solches Netzwerk zu sichern wie andere Hier wurden Vorschläge gemacht.

Folgendes würde ich tun, wenn es mein Café wäre:

Stellen Sie zunächst sicher, dass der AP über den AP-Isolationsmodus verfügt "aktiviert, wodurch die meisten netzwerkbasierten Angriffe verhindert werden, da zugeordnete Endpunkte keinen einfachen Zugriff auf Datenverkehr haben, der zu / von anderen Endpunkten geleitet wird. (Over-the-Air-Angriffe sind schwieriger durchzuführen.)

Entwickeln Sie eine Erweiterung des Point-of-Sale-Systems, die entweder eine zufällige Zeichenfolge verwendet oder einen Hash einiger dynamischer Daten verwendet und A) an diese weiterleitet Ein mit dem AP verbundener RADIUS-Server und B) drucken ihn auf die Quittung. Dies wäre der dynamische Zugriffsschlüssel und die WPA-Passphrase des Kunden. (Der zweite Vorteil ist, dass dies Freeloadern ein Ende setzen würde: kein Kauf = kein Zugriff. Stellen Sie den Zugriff auf eine Zeitüberschreitung nach einer gewissen Zeit ein, z. B. 2 Stunden.)

Wenn die dynamische Verbindung zum RADIUS besteht Der Server ist zu kompliziert. Erstellen Sie einfach eine Liste mit zufälligen Schlüsseln für den Tag und laden Sie sie jeden Morgen mit in das POS-System hoch.

Verwenden Sie optional ein SSL-Captive-Portal als zweite Ebene, mit der der eingegebene Schlüssel überprüft wird Einige andere überprüfbare dynamische Daten, z. B. auf dem Kaufbeleg.

Die einzige unbeantwortete Frage wäre, wie ein nicht autorisierter AP umgangen werden kann, der sich als echter AP tarnt und Passphrasen sammelt. Aber ich denke nicht, dass der Schlüsselaustausch dafür anfällig ist, weil alles, was ausgetauscht wird, Hashes sind.

Selbst mit WPA2 / AES kann jemand das Passwort sehen, oder wenn dies nicht möglich ist, gibt es eine einfache Möglichkeit: -

1. Sehen Sie einige Leute, die täglich vorbeikommen.
2. Holen Sie sich Backdoors oder Rootkits für sie. Es würde Geschicklichkeit erfordern, aber alles in derselben Netzwerk- / Dateifreigabe kann gehackt werden.
3. Gehen Sie hinein, stellen Sie eine Verbindung zu Ihrem Internet her, holen Sie sich den Schlüssel und voila.
ol>

As so einfach ist das. Daher hilft keine Sicherheitsmaßnahme, außer die Verwendung von WPA-Enterprise mit Paketfiltern (in anderen Sprachen Zensur (ware)), ohne Sicherheitslücke (was jedoch niemals möglich ist) und kostenlose Online-Bereitstellung (webbasiert). Firewall und Rootkit + Backdoor + RAT (etc.) Entferner für andere Benutzer, wieder ohne Sicherheitslücken (wie ich bereits sagte).

Sicherheit ist nur eine Illusion. Solange ein Computer ausgeführt werden kann, kann er gehackt werden (wenn nicht in einem Netzwerk, dann durch Hardware).