Warum ist offenes WLAN nicht verschlüsselt?
Aus demselben Grund verwendet WPA-PSK keinen Diffie-Hellman / RSA-Schlüsselaustausch
Adnans erster Punkt ist die genaueste Antwort.
Warum offene WiFi-Netzwerke nicht verschlüsselt sind. Nun, das tun sie einfach nicht.
Es gibt keinen technischen Grund. Es ist wahrscheinlich ein finanzieller und / oder bürokratischer Grund. Das Ändern der vorhandenen Infrastruktur ist nicht einfach.
Woher wissen wir, dass "JFK Airport AP" wirklich der Zugangspunkt des JFK-Flughafens ist?
Beachten Sie, dass es einen Unterschied zwischen Authentifizierung und Verschlüsselung gibt . Das beschriebene Problem ist ein Authentifizierungsproblem, das unabhängig davon besteht, ob wir eine Wi-Fi-Verbindung verschlüsseln oder nicht. Mit anderen Worten: Die Tatsache, dass RSA keine Authentifizierung bereitstellt, hängt in keiner Weise mit der Frage zusammen, warum RSA nicht in offenen Wi-Fi-Netzwerken implementiert wird. Das Authentifizierungsproblem kann auch mit einer äußerst einfachen Methode gelöst werden, die im folgenden Beispiel beschrieben wird:
Unser zukünftiger, verschlüsselungsfähiger WLAN-Router verwendet Diffie-Hellman / RSA. Der Router verfügt über eine kleine LED-Anzeige, die seinen öffentlichen Schlüssel oder möglicherweise einen einfachen Hash des öffentlichen Schlüssels anzeigt. Der Zugangspunkt heißt "MyHouse".
Ich möchte mein Telefon mit "MyHouse" verbinden, aber es gibt einen anderen AP mit genau demselben Namen. Ich muss nur auf den Monitor meines Routers schauen und vergleichen Sie die Zeichenfolge mit der auf meinem Telefon angezeigten Zeichenfolge. Auf diese Weise wird eine einfache Authentifizierung erreicht. Flughäfen und öffentliche Orte können ähnliche Techniken anwenden, indem sie den öffentlichen Schlüssel / Hash auf großen Bildschirmen oder auf einigen kostengünstigen Aufklebern anzeigen.
Randnotiz: Die LED ist nur ein Beispiel, es stehen viele andere Methoden zur Verfügung.
Können einige Router so konfiguriert werden, dass sie den öffentlichen Zugriff ermöglichen Noch kein Passwort,> die Benutzerverbindungen verschlüsseln, um Angriffe im Firesheep-Stil zu verhindern?
Ja, das kann konfiguriert werden, aber nicht auf Router-Ebene. Und derjenige, der eine Verbindung herstellt, müsste einige zusätzliche Schritte ausführen.
Lösung 1. HTTPS-Webproxy
Eine äußerst einfache Technik, die man sofort anwenden kann, ist das Durchsuchen des Web mit einem HTTPS-verschlüsselten Webproxy wie HideMyAss. Auf diese Weise wird eine Kryptografie mit öffentlichem Schlüssel verwendet, die jedoch über der TCP-Schicht erfolgt.
Lösung 2. Ein LAN-VPN-Server oder ein SSH-Tunnelserver
Ein ähnlicher Ansatz kann im lokalen Netzwerk verwendet werden, ohne von externen Standorten abhängig zu sein: Verwenden Sie einen lokalen VPN-Server / SSH-Tunnel-Server. Die Daten würden folgendermaßen fließen:
Netzwerkgerät (z. B. mein Telefon)> AP> Netzwerkgerät (VPN / SSH-Tunnelserver)> AP> Internet. (# flow1)
Der VPN / SSH-Tunnel fungiert als Erweiterung des AP. Wenn wir diese mental einkapseln, erhalten wir:
Netzwerkgerät ( Mein Telefon)> Verschlüsselter AP> Ziel. (# flow2)
Lösung 2. Wichtige Hinweise!
-
Sie MÜSSEN Verwenden Sie eine Kabelverbindung zwischen dem VPN / SSH-Tunnel und dem APif mithilfe der LAN-Lösung. Weitere Informationen finden Sie am Ende meiner Antwort.
-
Wenn Sie dies praktisch implementieren möchten, können Sie dies tun Verwenden Sie einen winzigen Computer mit geringem Stromverbrauch, z. B. einen RaspberryPi, als SSH-Tunnelserver. Versuchen Sie es und ich sehe keine merkliche Latenz.
Lösung 3. Normaler VPN / SSH-Tunnelserver
Man könnte ein VPN verwenden, das sich nicht im LAN befindet, dann erhalten wir:
Netzwerk Gerät (Mein Telefon)> AP> VPN> Ziel. (# flow3)
In allen drei Fällen werden die Daten vollständig mit TLS / SSL / verschlüsselt, mit dem Ihr VPN / SSH verschlüsselt ist.
Bei Verwendung der LAN-VPN / SSH-Lösung muss der Server verkabelt sein , andernfalls wird der vom VPN / SSH-Server vom Client zum Ziel weitergeleitete Datenverkehr unverschlüsselt gesendet an den AP.
Weitere Informationen zur LAN-Lösung
Wenn Sie eine drahtlose Verbindung in einem offenen WLAN mit einer LAN-VPN / SSH-Tunnelserverlösung verwenden, fließt der Datenverkehr auf diese Weise. Dies ist eine Erweiterung von "flow1", bei der dem Fluss hinzugefügt wird, ob die Daten verschlüsselt sind oder nicht:
Netzwerkgerät> verschlüsselte Daten > AP> verschlüsselte Daten VPN / SSH-Server> unverschlüsselte Daten > AP> Internet
Aus diesem Grund müssen wir ein Kabel verwenden Auf diese Weise werden die unverschlüsselten Daten zwischen dem VPN / SSH-Server und dem AP niemals über die Luft gesendet.