17.03.2015

6946

Wie sicher ist mein Netzwerk hinter einem WLAN Router? - wie möglichst gut gegen Angreifer absichern?

Hallo,
könnt Ihr mir sagen wie sicher ein Netzwerk hinter einem WLAN Router (FritzBox) ist. Schon klar, es liegt wahrscheinlich an mir selbst wie dieses abgesichert und eingerichtet ist.

Aber:
- Ist es theoretisch möglich dass jemand sich in mein WLAN einhackt?
- Daten einer WLAN Verbindung abfängt (Wireshark, usw.) um so an Passwörter zu gelangen?
- sich anderwertig ins Netzwerk einwählt? (ohne über WLAN darüber zuzugreifen)

Kurz um will ich wissen ob es theoretisch jemanden möglich wäre so auf das Netzwerk über WLAN oder übers Internet zuzugreifen oder sich einzuhacken.
Wenn ja mit wieviel Aufwand ist das für denjenigen verbunden und wie kann ich mich am besten und sinnvollsten schützen?

Im TV war ja mal ein Beitrag dass gerade Apple Geräte alte WLAN Verbindungen speichern und es für Angreifer sehr einfach möglich war ein eigenes WLAN zur Verfügung zu stellen wo sich die Geräte dann ohne dem Wissen des Nutzers darüber einwählen und der Angreifer alle PAsswörter abfangen konnte.
Ist diese Lücke schon geschlossen?

Ich will keine Tipps wie das jemand bewerkstelligen könnte - sondern nur ob es möglich ist und wie ich mich am besten dagegen schützen kann.

Zur Zeit ist eine FritzBox mit neuester Firmware bei mir im Einsatz. Ein sehr langes WLAN Passwort ist vorhanden und als Verschlüsselung WPA2 (CCMP) gewählt.
Kann ich evtl. prüfen ob irgendwelche Ports für Angriffe offen sind, oder wie kann den Zugriff von Fremden so gut wie möglich verhindern, bzw. Angreifern es möglichst scher zu machen sich in mein Netzwerk einzuwählen?

Bitte nicht böse sein dass ich das so laienhaft formuliert habe, aber aus gegeben Anlass möchte ich mein Netzwerkt so gut wie möglich absichern.

Danke für Eure Hilfe und Tipps

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 266597

Url: https://administrator.de/contentid/266597

Ausgedruckt am: 23.11.2024 um 06:11 Uhr

23 Kommentare

Neuester Kommentar

Moin,

theoretisch ist alles möglich und 100%ige Sicherheit gibt es nicht. Jedes Netzwerk ist immer nur so sicher, wie der es verwaltende Admin es auch in seinem Job ist.

Gruß,

Uwe

Und hier noch eine Testmöglichkeit in Sachen Sicherheit.

http://www.heise.de/security/dienste/Netzwerkcheck-2114.html

Danke für den Tipp des Tests bei Heise!!! ...der brachte keine Lücken.

- Ich habe DHCP noch aktiv - hab aber gelesen dass dieses auch eine Angriffsmöglichkeit bietet - werde ich demnach bei Gelegenheit auch deaktiviern und die Geräte einzeln in die FritzBox eintragen um feste IPs zu nutzen die nicht ganz der Standartnorm entsprechen.
- Dann werde ich noch den MAC Filter aktivieren
- die Datei- und Druckfreigaben deaktivieren

...gibts sonst noch Vorschläge um das Netzwerk zu sichern? Kann man in einer Fritzbox das Gast - WLAN aktivieren und das interne WLAN deaktiviert lassen? Irgendwie scheint das Gast WLAN nur zu gehen wenn auch das normale WLAN aktiv ist - dann bringt das ja nichts, da auch das normale WLAN angreifbar wäre.

GIbt es evtl. noch eine günstige Hardwarefirewall die zusätzlich Sinn macht und bei der man nicht allzuviel Fachwissen zur Einrichtung braucht - oder macht so eine Hardware Firewall vor oder nach der FritzBox keinen Sinn?

Danke!

Hallo,

könnt Ihr mir sagen wie sicher ein Netzwerk hinter einem
WLAN Router (FritzBox) ist. Schon klar, es liegt wahrscheinlich
an mir selbst wie dieses abgesichert und eingerichtet ist.

Normaler weise macht der AVM FB Router ja SPI & NAT
und somit ist von der Internetseite kaum etwas möglich,
es sei denn der Router ist,
- falsch konfiguriert
- Das WLAN ist offen und nicht gesichert
- hat geöffnete und nicht gesicherte Ports
- SSH oder Wartungszugang vom Internet her ist erlaubt
- Firmware ist veraltet und alte Bugs so wie Fehler sind noch vorhanden
und können ausgenutzt werden.

Aber:
- Ist es theoretisch möglich dass jemand sich in mein WLAN einhackt?

Ja und auch praktisch.

- Daten einer WLAN Verbindung abfängt (Wireshark, usw.) um so an
Passwörter zu gelangen?

So eher nicht aber das wäre schon eine Möglichkeit auch wenn das so
nicht gemacht wird!

- sich anderwertig ins Netzwerk einwählt? (ohne über WLAN
darüber zuzugreifen)

Wohl eher weniger wenn SPI & NAT eingeschaltet sind und keine
Ports geöffnet sind, ist die WAN-LAN Verbindung schon recht sicher.

Kurz um will ich wissen ob es theoretisch jemanden möglich wäre
so auf das Netzwerk über WLAN

Ja das geht, wenn es auch ca. zwei Wochen dauert, bzw. je nach
Ausstattung.

oder übers Internet zuzugreifen oder sich einzuhacken.

s.o. Das wohl eher weniger.

Wenn ja mit wieviel Aufwand ist das für denjenigen verbunden

??? Core i7 Laptop, mehrere Alpha WLAN USB Adapter,
Software in VM oder nativ installiert. 2 Wochen Zeit um
aufzunehmen und auszuwerten.

wie kann ich mich am besten und sinnvollsten schützen?

LAN:
- keine Ports öffnen
- Nur via VPN von außen einwählen
- Die Fernwartung von außerhalb anschalten
WLAN:
- Nur mit bekannten Klienten verbinden aktivieren
- WPA2 aktivieren
- Kleiner Radiusserver auf RapsBerry PI installieren oder aber einen
MikroTik Router der hat das alles schon mit an Board, beides kostet
je 30 € und man ist dann wirklich auf der richtigen Seite, es ist dann
zwar immer noch möglich nur eben verdammt schwer und für Laien
nicht mehr zu schaffen.

Zur Zeit ist eine FritzBox mit neuester Firmware bei mir im Einsatz.
Ein sehr langes WLAN Passwort ist vorhanden und als Verschlüsselung
WPA2 (CCMP) gewählt.

- Kleiner Radiusserver auf RapsBerry PI installieren oder aber einen
MikroTik Router der hat das alles schon mit an Board, beides kostet
je 30 € und man ist dann wirklich auf der richtigen Seite, es ist dann
zwar immer noch möglich nur eben verdammt schwer und für Laien
nicht mehr zu schaffen.

Kann ich evtl. prüfen ob irgendwelche Ports für Angriffe offen sind,

Ja den Link hat Dir ja schon einer gepostet.

Gruß
Dobby

Hallo,

Zitat von @Seerose:
- Ist es theoretisch möglich dass jemand sich in mein WLAN einhackt?

Ja, und auch Praktisch

- Daten einer WLAN Verbindung abfängt (Wireshark, usw.) um so an Passwörter zu gelangen?

Daten abfangen ja, Passwörter wenn in Klarschrift eher nicht, selbst WPA ist nicht mehr sicher.

- sich anderwertig ins Netzwerk einwählt? (ohne über WLAN darüber zuzugreifen)

Je nach dem welche Möglichkeiten vor Ort sind, Ja.

Kurz um will ich wissen ob es theoretisch jemanden möglich wäre so auf das Netzwerk über WLAN

Damals (2012) kostete es noch USD 200, jetzt 300.000 Wörter 1USD. https://www.cloudcracker.com/ Und ja, der Dienst ist legal.

Wenn ja mit wieviel Aufwand ist das für denjenigen verbunden und wie kann ich mich am besten und sinnvollsten schützen?

Frag Cloudcracker welche Hardware er betreibt.

Im TV war ja mal ein Beitrag dass gerade Apple Geräte alte WLAN Verbindungen speichern

Nicht nur Apple. das mit den Äpfel war nur das demo.

Ist diese Lücke schon geschlossen?

Wenn du ein HotSpot hinstellst der zufälligerweise eine SSID wie dein Nachbar hat .... und du entsprechendes Fachwissen, Geräte sowie Software hast um ...

Gruß,
Peter

Moin,

zumindest im WLAN-Bereich sind deine Maßnahmen unsinnig - denn die gehen erst wenn ich bereits im WLAN bin. Dann finde ich aber auch schnell ne freie IP. Den MAC-Filter kann man genauso einfach überlisten...

Ich geh einfach mal davon aus das du deine box bei dir zuhause sichern möchtest. Daher würde ich beim LAN eher wenig Aufwand reinstecken. Zumindest bei mir is es so das die Leute die in meine Bude kommen auch bei mir bekannt sind - und die werden sicher nicht einfach irgendwas irgendwo am Netzwerk anschließen (die würde ich auch mit dem Netzwerkkabel erdrosseln!). Im WLAN-Bereich ist der leichteste Schutz (falls die Fritzbox das unterstützt): Die Sendeleistung reduzieren. Bestimmte WLAN-APs können das. Und wenn du dein WLAN so einrichtest das die Sendeleistung eh nur für deine Wohnung reicht hast du das WLAN schon sehr stark gesichert. Selbst der beste Hacker kann nicht ins WLAN wenn er einfach kein Signal bekommt ;).

Ich würde ggf. noch bei der SSID ansetzen. Zum einen nicht die Default-SSIDs - da man ggf. daraus einfach eine Information über den verwendeten Router/AP bekommt und den Angriff deutlich gezielter fahren kann. Weiterhin würde ich die SSID gar nicht per Broadcast rausjagen. Dies ist natürlich auch kein "Schutz" im eigentlichen Sinne. Aber für die meisten Deppen die da so auf der Strasse rumlaufen reicht es - solang die kein WLAN sehen wissen die nich mal das da was wäre...

Ich danke Euch für die vielen Tipps und die Hilfe.
Leider habe ich aus der Nachbarschaft einen Hinwweis bekommen dass sich jemand in mein Netzwerk einhacken will. Jemand der bereits bekannt ist und durchaus über ambitionierte Kenntnisse verfügen dürfte. mein WLAN in der Leistung zu verreingern dass derjenige das WLAN nicht mehr empfangen kann ist auf Grund der kurzen Distanz leider nicht möglich. WLAN schalten wir jetzt aber über Nacht und wenn nicht genutzt sicherheitshalber immer aus.
Allerdings möchte ich mich doch möglichst gut absichern und Danke Euch für die Hilfe!

@108012

Normaler weise macht der AVM FB Router ja SPI & NAT
und somit ist von der Internetseite kaum etwas möglich,

Hat eine Fritzbox 7270 oder 7390 SPI & NAT Firewall? Ich finde nur Infos dass eine NAT Firewall integriert ist. Wie finde ich heraus ob auch SPI dabei ist?

> - Ist es theoretisch möglich dass jemand sich in mein WLAN einhackt?
Ja und auch praktisch.
??? Core i7 Laptop, mehrere Alpha WLAN USB Adapter,
Software in VM oder nativ installiert. 2 Wochen Zeit um
aufzunehmen und auszuwerten.

Danke Dobby und Pjordorf für die idente Antwort!
Wie muss ich mir das vorstellen - wird da durch tausendfaches Probieren das Passwort versucht zu lösen oder wird da eher durch mitschneiden das exakte Passwort haerusgefunden?
Sprich:
Wird ein Knacken durch ein extrem langes Passwort dann erschwert oder sogar unmöglich - oder hat das damit nichts zu tun?

> - sich anderwertig ins Netzwerk einwählt? (ohne über WLAN
> darüber zuzugreifen)
Wohl eher weniger wenn SPI & NAT eingeschaltet sind und keine
Ports geöffnet sind, ist die WAN-LAN Verbindung schon recht sicher.

Die Fritzbox hängt ganz normal am DSL Anschluß - sind per DSL Angriffe dann schon mal eher unwahrscheinlich wenn der obige Test per Heise keine Fehler zeigt?

Könnt Ihr mir dazu mehr Infos geben, was so ein Radiusserver genau macht und bewirkt? Ist dieser schwierig einzurichten und kommt dieser dann vor (zw. DSL Eingang und Fritzbox) oder nach die FritzBox?
Welcher Mikrotik Router kommt da in Frage und auf was soll ich dabei achten?

Zitat von @Pjordorf:
> Im TV war ja mal ein Beitrag dass gerade Apple Geräte alte WLAN Verbindungen speichern
Nicht nur Apple. das mit den Äpfel war nur das demo.

> Ist diese Lücke schon geschlossen?
Wenn du ein HotSpot hinstellst der zufälligerweise eine SSID wie dein Nachbar hat .... und du entsprechendes Fachwissen,
Geräte sowie Software hast um ...

Die SSID ist ja der Name des WLANs - diese bekommt man ja leicht heraus - auch wenn man die SSID auf "unsichtbar" stellt kann diese angeblich leicht ausfindig gemacht werden.

Zitat von @maretz:
zumindest im WLAN-Bereich sind deine Maßnahmen unsinnig - denn die gehen erst wenn ich bereits im WLAN bin. Dann finde ich
aber auch schnell ne freie IP. Den MAC-Filter kann man genauso einfach überlisten...

OK, ich dachte wenn ich die Option "nur bekannte Geräte zulassen" aktiviere, dann ist das eine sicherere Sache und fremde Geräte könnten sich erst gar nicht im WLAN anmelden, da dies selbst mit PW nicht möglich wäre. ...bringt das also nichts?

Und noch ne (dumme) Frage:
Kann jemand ohne sich bereits ins WLAN gehackt zu haben auf die Startseite (Loginseite) der Fritzbox zu kommen ...um dort das Passwort zu knacken zu versuchen? Also ob auch für die Fritzbox selbst beim Login ein sehr langes Passwort gewählt werden soll?

Sollte ich WLAN Verbindungen von Handys usw. zur Fritzbox per VPN einrichten? Bringt das noch Sicherheit um Daten (Onlinebanking, Passwörter, ...) per WLAN abgreifen zu können noch zu erschweren?

Meist ist es andersrum: Anhand des von der GL zur Verfügung gestellten Budgets ! Und das happert meistens. Sicherheit muss, darf aber nichts kosten. Kennen wir doch alle......

Wollte gerade sagen das ein Hidden SSID überhaupt nichts bringt. Für Otto-Normal wohl, aber bei denen musst Du auch nichts verstecken da die auch so nichts damit anfangen können

Den Broadcast zu verstecken bringt nur der Psyche des Administrators was, sonst nichts.

nSSIDer, NetStumbler, oder Kismet finden ALLE SSID's und zwar sehr einfach

m TV war ja mal ein Beitrag dass gerade Apple Geräte alte WLAN Verbindungen speichern und es für Angreifer sehr einfach möglich war ein eigenes WLAN zur Verfügung zu stellen

Das waren bestimmt die Schwachmatiker von RTL oder Sat1 Unterschichten TV !

Mit Windows ist das übrigens von viel viel einfacher möglich:
Guckst du hier:
Netzwerk Management Server mit Raspberry Pi
Ohh...sorry du wolltest ja keine Tips...

Deine recht oberflächliche Frage ist nicht einfach zu beantworten. Generell sind statische Passwörter bei WLAN immer ein Risiko.
Auch der WPS Knopf ist ein erhebliches Risiko, denn den kann jeder Besucher drücken und bekommt so sofort Zugang.
WPS gehört also wenn Sicherheit dann sofart deaktiviert.
Ein statisches Passwort sollte mindesten 16 Stellen haben und entsprechend aussehen.
Noch besser ist du arbeitest mit Radius oder Zertifikaten, dann kannst du zu 99,9% sicher sein das dein WLAN ziemlich sicher ist.
Sichere 802.1x WLAN-Benutzer Authentisierung über Radius
Gäste sofern man sie überhaupt über private Netze reinholen will, gehören getrennt ausgesperrt mit entsprechenden Filterlisten für den Zugang:
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)

Das Grundproblem ist immer der Faktor Mensch !

Moin,

mir ist bewusst das eine SSID zu verstecken nicht soviel bringt (und schon gar nicht die einzige Option sein sollte!). Aber: Man sollte auch mal überlegen was man schützen möchte. Ganz einfach: Hast du bei deinem Auto Panzerglas und 30cm Stahltüren drin? Nicht? Fühlst du dich in deinem Auto denn nicht unsicher - "das Biest" hat es schließlich auch...

Wenn wir hier über ein privates Netzwerk reden dann sind zu 90% schon mal höchstens "Angriffe" von Leuten zu erwarten die höchstens Grundkenntnisse haben. Die werden entsprechend "sichtbare" Wlans nehmen die möglichst noch drauf hoffen lassen das Default-Passwörter verwendet wurden (z.B. indem die AP-Kennung verrät welcher Hersteller dabei ist und man hofft das z.B. das Default-PW bei nem Hersteller xyz auch xyz ist). DIESE Leute werden ein verstecktes Netz nicht angreiffen - schleicht weil sie nicht wissen das es da ist.

Dann kommt es auch darauf an wo ich mich aufhalte. Bin ich z.B. in der oberen Etage eines Wolkenkratzers ist die Chance das jemand mit einem entsprechenden Scanner vorbeiläuft schon deutlich geringer als wenn ich genau über nem McDonalds, Starbucks o.ä. wohne.

Von daher muss man bei sowas einfach schauen wie viel Aufwand man betreiben möchte. Beim Auto fährst du vermutlich auch nicht "das Biest" von Onkel Obama - da die Chance das jemand auf dich schiesst doch deutlich geringer ist (und noch geringer das derjenige mittlere bis schwere Waffen dabei hat). Dein Bestreben wird wohl eher sein das du sparsam fahren kannst, das du einen evtl. normalen Unfall halbwegs gut überstehst usw. Und derselbe Ansatz sollte auch mal für private Netzwerke dienen. Klar - ich kann da auch ne dedizierte Firewall reinpacken, ich kann mir privat ne DMZ aufbauen, restriktive Regeln einbauen usw... Oder ich überlege einfach wieviel Schutz nötig ist - und mein WLAN wirst du z.B. ausserhalb meiner Wohnung ggf. noch direkt vor der Haustür sehen. DA reicht dann ne "Basis-Sicherung" - stehst du mit dem Laptop vor meiner Tür rum und ich komm um die Ecke dann gibts ne rein manuelle Firewall...

Wenn wir hier über ein privates Netzwerk reden dann sind zu 90% schon mal höchstens "Angriffe" von Leuten zu erwarten die höchstens Grundkenntnisse haben.

Was macht dich da denn so sicher ?

DIESE Leute werden ein verstecktes Netz nicht angreiffen - schleicht weil sie nicht wissen das es da ist.

Das ist Blödsinn und fahrlässig, denn auch Blutige Laien werde für sowas einen WLAN Sniffer verwenden mit dene sie sofort auch die WLANs sehen dessen SSID Beaconing abgeschaltet ist.
InSSIDer nicht mehr kostenlos
Anhand der BSSID Adresse erkennt auch ein Anfänger mit Bastelkenntnissen sofort den Hersteller und damit die Schwachstellen.
So zu denken ist also ein bischen zu blauäugig und auch fahrlässig.

ist die Chance das jemand mit einem entsprechenden Scanner vorbeiläuft schon deutlich geringer

Ach so...und das es handliche Richtantennen gibt die die Reichweite mal eben verzehnfachen lässt du dabei vollkommen außer Betracht, oder ? Blauäugig !

Wenn du dir nur ein einziges Mal die Mühe gemacht hättest einen Wireshark an deinem Internet Port laufen zu lassen oder deine WLAN Umgebung so zu betrachen würdest auch du nicht mehr so reden.
OK, hinterm Deich oder auf der einsamen Alm ist das sicher anders, das ist aber nicht die Regel.
Das einzige womit du ansatzweise Recht hast ist der Wert dessen was man schützen will. Lohnt das nicht und ist einem das egal lohnt auch sicher der Aufwand nicht oder man ist interlektuell gar nicht in der Lage das zu beurteilen oder entsprechende technische Maßnahmen zu ergreifen.
Wenn einem das aber was wert ist sollte man besser anders denken.
Du kaufst beim Auto ja auch ABS und ESP und Anschnallgurte als Minimalausstattung ! Darum geht es doch. Nicht das Panzerglas.

DA reicht dann ne "Basis-Sicherung" - stehst du mit dem Laptop vor meiner Tür rum

Ziehst Du kurz, funken "wir" eben lang!

Von daher muss man bei sowas einfach schauen wie viel Aufwand man betreiben möchte.

Also ich möchte nicht Ihr das jeder "Ar...." von den Nachbarskindern meiner Tochter nach dem duschen
beim Umziehen durch Ihre Webcam auf dem Monitor zuschaut! Von daher sollte man alles was an
Sicherheitsfunktionen zur Verfügung steht

und ich komm um die Ecke dann gibts ne rein manuelle Firewall...

Das mag sein, aber wenn das Foto bzw. das Video Deiner Tochter
erst einmal in der Schule rum ist und auf jedem Smartphone verteilt
ist dann ist das auch nicht soooooo, der Hit, denn dann bringt es eben
auch nichts dem Typen dafür die Zähne auszuschlagen und das Jochbein
zu brechen!

DA reicht dann ne "Basis-Sicherung" -

Ist ja schon richtig nur Sicherheit ist eben auch immer etwas was aus mehreren Teilen
besteht und wenn man alles einem zur Verfügung stehende nutzt, ist es auch schon
wieder sicherer als vorher.

Allen Webcams eine kleine Socke überziehen (gerollt) oder ein Pflaster draufkleben (iMAC)
Wenn die Webcam, das Ziel einer Attacke war oder ist, denn hat man es Ihnen damit schon
für nur ein ganz kleines Geld versaut!!!
- WLAN aus für 14 Tage
Und danach erst die SSID verstecken macht schon mehr Sinn
- "Nur mit bekannten Klienten verbinden", für das WLAN Aktivieren (Experten Modus)
- Geräten immer wieder die selbe IP Adresse vergeben aktivieren
- SSID wählen die keinen Rückschluss auf Dich gibt, wie "Seerosenteich" sondern
lieber etwas benutzen was auch gut und gerne auf andere Leute in der Nachbarschaft
hindeuten könnte, z.B. meyerwlan, müllernetz, schulzesnet, usw....
- Logfiles aufzeichnen und per Email an sich selber versenden!
- Ein langes WLAN Passwort wählen max. 63 Zeichen (bei AVM FBs)
- WPA2 CCM benutzen
- WLANs aus der Umgebung anzeigen lassen und einen anderen Kanal auswählen
- Einen kleinen RaspBerry PI für 30 € kaufen und einen Radiusserver aufsetzen!!!!
Das aber auch keinem erzählen!!!

Notfalls WLAN ausmachen und via Kabel surfen und gut ist es.

Oder ich überlege einfach wieviel Schutz nötig ist -

Der Raspberry PI kostet 30 € und mit @aquis Anleitung ist
das auch schnell erledigt einfach abtippen.

Gruß
Dobby

P.S.

Du kaufst beim Auto ja auch ABS und ESP und Anschnallgurte
als Minimalausstattung !

Und man benutzt vor allen Dingen dann auch alle Sachen zusammen
und nicht nur den Anschnallgurt alleine.

Darum geht es doch. Nicht das Panzerglas.

Aber wenn wir alle uns aussuchen dürften, in welchem Auto wir
fahren wollen, würden sehr viele auch lieber so ein gesichertes
Auto bevorzugen, zumindest wenn man einen Unfall hat, würde
jeder gerne lieber in so einem Auto sitzen wollen, denn es ist sicherer!

Vielen Dank an alle!

Bei mir gehts wie eingangs schon beschrieben um einen konkreten Hinweis dass ein WLAN bei mir evtl. unsicher ist und ich wohne lieder so dass der WLAN umkreis von mir theoretisch für jeden empfangen werden kann und nicht am Land oder im 10. Stock.
Also danke an die die sich um konkrete Vorschläge zum Absichern meines WLAN Gedanken machen und hier so viele Tipps geben.

Zitat von @108012:
- Einen kleinen RaspBerry PI für 30 € kaufen und einen Radiusserver aufsetzen!!!!

Über den Radiusserver werd ich mich mal inforieren - vielleicht kann mir hier ja jemand der das Ding und dessen Funktion kennt etwas genauer und dennoch verständlich erklären wie ich mir das vorstellen muss? Wird der nach dem WLAN Router geschalten oder davor, usw.? Danke!

Das aber auch keinem erzählen!!!

...ist da dann auch wieder eine Lücke oder was könnte jemand mit der Information anfangen dass ein Rasiusserver über einen RaspBerry PI eingesetzt ist?

Der Raspberry PI kostet 30 € und mit @aquis Anleitung ist
das auch schnell erledigt einfach abtippen.

Wo finde ich diese Anleitung? RaspBerry PIs gibts ja verschieden, welcher würde da reichen und am wenigsten Strom verbrauchen?

P.S.: Noch eine Frage:
wenn ich in der FritzBox "alle neuen Geräte zulassen" (das nur die eingetragenen Geräte akzeptiert werden) und "Geräte dürfen untereinanfer kommunizieren" deaktiviere. Kann dann jemand überhaupt auf das Netzwerk zugreifen wenn er das Passwort der WLAN Verbindung knacken würde? Oder ist das schon eine erhebliche Steigerung in der Sicherheit?

vielleicht kann mir hier ja jemand der das Ding und dessen Funktion kennt etwas genauer und dennoch verständlich erklären wie ich mir das vorstellen muss?

Kein Thema ! Guckst du hier:
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch
und
Sichere 802.1x WLAN-Benutzer Authentisierung über Radius
und auch
Netzwerk Management Server mit Raspberry Pi

was könnte jemand mit der Information anfangen dass ein Rasiusserver über einen RaspBerry PI eingesetzt ist?

Gar nix, denn da ist alles verschlüsselt !

Wo finde ich diese Anleitung?

Siehe oben...

PIs gibts ja verschieden,

Nicht wirklich. Du brauchst logischerweise den mit dem LAN Port. Ob du den alten Single Core oder den Quad Core nimmst ist eigentlich egal. Da der Preisunterschied mit einem Euro minimal ist solltest du gleich den neuen Quadcore nehmen:
http://www.reichelt.de/index.html?ACTION=3;ARTICLE=152728;SEARCH=RASPBE ...

Kann dann jemand überhaupt auf das Netzwerk zugreifen wenn er das Passwort der WLAN Verbindung knacken würde?

Ja, denn diese Funktionen haben mit dem Zugriff auf das WLAN selber nicht das geringste zu tun !
alle neuen Geräte zulassen = Schaltet nur den MAC Filter an und Mac Filter kann auch ein Laie mit einem Mausklick umgehen
Geräte dürfen untereinanfer kommunizieren = Das die WLAB Clients die ja dann schon im Netz sind NICHT untereinander über das WLAN Zugreifen können sondern nur auf das LAN angeschlossenen Netz.
Beides hat mit dem Zugang also nichts oder nur bedingt zu tun und nützt rein gar nix.

Hallo,

Wird der nach dem WLAN Router geschalten oder davor, usw.?

Dahinter! Also der kann einfach an den AVM FB Router angeschlossen werden!
Dieser "vergibt" (eigentlich machst Du das) dann Zertifikate also Eintrittskarten
für Dein Netzwerk und wer keine hat, der kommt auch nicht rein!

...ist da dann auch wieder eine Lücke oder was könnte jemand mit der Information anfangen

Ja genau so ist es!

wenn ich in der FritzBox "alle neuen Geräte zulassen" (das nur die eingetragenen
Geräte akzeptiert werden)

Das ist leider falsch!!! Denn Du solltest auswählen; "Nur mit bekannten Geräten Verbindung
zulassen!" D.h. der Router lässt nur alle Geräte zu, die er schon kennt und mit denen
schon einmal eine Verbindung bestanden hat!

> und "Geräte dürfen untereinanfer kommunizieren" deaktiviere.
Das ist auch falsch, denn das sollen die Geräte ja nicht!
Sollte jemand einmal in Dein WLAN rein kommen, kann er nicht auf die anderen Geräte
anderen im WLAN zugreifen und das ist ja auch so gewollt.

Man sollte natürlich zuerst alle WLAN Klienten löschen und sich dann mit den
WLAN Klienten neu anmelden und dann die Option wählen bekannten Klienten
immer wieder die gleiche IP zuweisen und dann erst nur mit bekannten Klienten
verbinden und Klienten dürfen nicht untereinander kommunizieren.

Kann dann jemand überhaupt auf das Netzwerk zugreifen wenn er das Passwort der
WLAN Verbindung knacken würde?

Aber natürlich, voll und ganz sogar!
- Man scannt die Umgebung
- Findet das die WLAN SSID "Seerose"
- Merkt sich den Kanal
- und dann verbindet man sich mit Deinem WLAN mittels dieser Daten
SSID, Kanal und Passwort

Oder ist das schon eine erhebliche Steigerung in der Sicherheit?

Sicherheit greift immer an mehreren Punkten und das ist auch sicherlich gut so.

Nur ich denke Du solltest Dir unbedingt einmal jemanden besorgen,
der davon wirklich etwas versteht und auch Ahnung hat!!!! Sonst bohrst Du Dir
da nur noch mehr Löcher rein vor lauter Angst und/oder Unkenntnis und dann
muss man Dein WLAN/LAN gar nicht mehr "hacken" sondern sich nur noch
anmelden!

Wichtig ist auch das man alles zusammen benutzt, denn dann wird es immer ein Stück
schwerer in ein Netzwerk einzubrechen! Daher geht man auch immer von 100 % Unsicherheit
aus und mit jedem Punkt erhöht man die Sicherheit mehr oder weniger und entfernt sich dann
immer mehr von der Unsicherheit hin zur Sicherheit!!!

Hier noch einmal wie ich das alles umsetzen würde:
Allen Webcams eine kleine Socke überziehen (gerollt) oder ein Pflaster draufkleben (iMAC)
Wenn die Webcam, das Ziel einer Attacke war oder ist, denn hat man es Ihnen damit schon
für nur ein ganz kleines Geld versaut!!!

- WLAN aus für 14 Tage
Und danach erst die SSID verstecken macht schon mehr Sinn

- "Nur mit bekannten Klienten verbinden", für das WLAN Aktivieren (Experten Modus)
- Geräten immer wieder die selbe IP Adresse vergeben aktivieren
- SSID wählen die keinen Rückschluss auf Dich gibt, wie "Seerosenteich" sondern
lieber etwas benutzen was auch gut und gerne auf andere Leute in der Nachbarschaft
hindeuten könnte, z.B. meyerwlan, müllernetz, schulzesnet, usw....

- Logfiles aufzeichnen und per Email an sich selber versenden!
- Ein langes WLAN Passwort wählen max. 63 Zeichen (bei AVM FBs)
- WPA2 CCM benutzen und kein TKIP
- WLANs aus der Umgebung anzeigen lassen und einen anderen Kanal auswählen
- Einen kleinen RaspBerry PI für 30 € kaufen und einen Radiusserver aufsetzen!!!!
Das aber auch keinem erzählen!!! Zertifikate auf Deinen WLAN Klienten installieren.

RaspBerry PI 2 Starter Bundle

Gruß
Dobby

Danke nochmals für die tolle Hilfe hier!

noch was zum Rasperry PI.
a)
Dieser wird mittels LAN Kabel an einen freien Port der Fritzbox angeschlossen - sehe ich das richtig? Dann steht mir auf der Fritzbox also ein LAN Port weniger zur Verfügung.
b)
Wenn der Rassperry PI an der Fritzbox hängt vergibt dieser nur diese Zertifikate an die Fritzbox und die WLAN Verbindungen werden nach wie vor über die Fritzbox aufgebaut.
c)
Ich habe gelesen dass es WLAN Adapter für den Rasperry PI gibt - kann man da über den Rasperry PI evtl. ein Gast WLAN einrichten das von meinem Netzwerk getrennt ist? (Gast WLAN ist zur Zeit auf der Fritzbox nicht möglich, da diese Fritzbox an einer 2. hängt und sich nicht eigenständig einwählt - daher ist das Gast WLAN in dieser Fritzbox ausgegraut).
d)
Kann man den Rasperry PI dann gleichzeitig zu dem Radiusserver noch für andere Sachen nutzen oder ist der Rasperry PI dann wenn er als Radiusserver eingesetzt auf diesen beschränkt und kann nicht gleichzeitig auch noch was anders machen?

Sorry für meine Anfängerfragen, aber Rasperry PI ist jetzt was ganz neues für mich.

a.)
Ja, aber ein kleiner 6 Euro 5 Port Switch kann das ja bequem wieder ausgleichen

http://www.reichelt.de/Hubs-Switch/EDI-ES-3305P/3/index.html?&ACTIO ...
b.)
Ja, es sei denn du steckst noch einen kleinen USB WLAN Adapter:
http://www.reichelt.de/EDIMAX-EW-7811UN/3/index.html?&ACTION=3& ...
und installierst auf dem auch noch einen Software Accesspoint:
Netzwerk Management Server mit Raspberry Pi
Dann kann der RasPi auch als Accesspoint arbeiten.
Normal aber hat der ja nur den LAN Port und macht rein nur die Authentisierung für dein WLAN über die FB !
Er ist aber ein Tausensassa der natürlich noch mehr kann.
c.)
Ja, das geht...siehe Punkt b.)
d.)
Ja natürlich ! Guckst du hier:
Netzwerk Management Server mit Raspberry Pi
Er kann gleichzeitig Windows Server, Cloud Server, Drucker Server usw. usw. sein. Die Anwendungen sind tausendfach.

Danke, jetz bin ich da schon ein ganzes Stück weiter und wenn der Radiusserver mal läuft dann mache ich mir auch keine Sorgen mehr.

Nur nochmals zu meinem Verständnis.
Ein Eindringen über das WLAN erfolgt
a)
hauptsächlich durch knacken des Passwortes was mittels millionenfachen Versuchen um so das WLAN Passwort quasi "zu erraten"
b)
das größte Risiko stellen gespeicherte Free WLAN Verbindungen von Hotspots ohne Passwort dar, da diese jemand auslesen und sozusagen "vorgaukeln" kann und so erzwingt dass sich Geräte nicht übers eigene WLAN sondern das des Angreifers verbinden (Beiträge hierzu gibts ja genug).
c)
Frage - werden auch die Daten einer WLAN Verbindung zw. dem Gerät und dem Router von Angreifern abgegriffen um Passwörter zu erhalten - oder ist dies auf Grund eines langen und guten WLAN Schlüssels eher unwarscheinlich?
Daher auch die Frage ob man von Handys eine VPN Verbindung zum Router aufbauen soll - oder macht soetwas keinen Sinn?
d)
gibts noch andere Wege wie sich jeamand in ein WLAN NEtzwerk einhacken könnte ...also auf was ich neben den ganzen Tipps hier noch beachten müsste?

Vielen Dank! ^^

a.)
Jein, es reicht auch wenn man das WLAN Passwort irgendwie mitbekommt oder wenn man mal zu Besuch ist und den WPS Knopf am AP drückt.
Das kann man dann mitsniffern und dann den kompletten Traffic entschlüsseln. Es gibt also nocht mehr Optionen.
Ein Grund auch warum man WPS zwingend deaktivieren sollte.
b.)
Nicht nur Free WLAN sondern jegliche anderen je verbundenen WLAN Netze auch.
c.)
Ja wenn ein Angreifer das darauf anlegt. Die checken aber erst wo noch alte WEP und WPA Netze sind die es sich anzugreifen lohnt bzw. wo es schnell geht.
d.)
Ja die gibt es natürlich aber das sind dann mehr oder weniger exotische Dinge die aber gemacht werden wenn der Aufwand dafür lohnt.

Vielen vielen Dank!!!!

zu c) hätte ich noch eine Frage.
Also dem abgreifen von Daten zwischen Handy und WLAN Router. Wenn die Verbindung WPA2 verschlüsselt ist, können dann Daten(pakete) von jemand fremden auch ohne dem WLAN Schlüssel abgefangen und auch angesehen werden (um an Passwörter und Logindaten zu kommen) - oder ist dies erst nach geknacktem WLAN Passwort möglich?

Ist es nützlich/sinnvoll eine VPN Verbindung zw. Handy und WLAN Router einzurichten - oder bringt das nichts?

können dann Daten(pakete) von jemand fremden auch ohne dem WLAN Schlüssel abgefangen

Wenn du dir nur mal 10 Minuten Zeit genommen hättest und dir den freien Wireshark Sniffer auf deinen Rechner geladen hättest
https://www.wireshark.org
und den mal auf dein WLAN Interface gestellt hättest, dann hättest du diese Frage nicht stellen müssen...!
Alles was zur Administration der WLAN Infrastruktur übermittelt wird ist im WLAN immer frei. Wenn du eine aktive WPA2 Session zw. 2 Clients hast ist die natürlich verschlüsselt. Du kannst sie aber mitcapturen und wenn du irgendwann mal an den Schlüssel kommst auch entschlüsseln.
Nur mit dem Mitsniffern des Traffics bei WPA2 verschlüsselten Sessions kannst das Passwort nicht extrahieren...jedenfalls bis dato nicht.
WPA2 gilt bei einem Passwort mit mehr als 16 Stellen und kein Banalwassport als hinreichend sicher.

Ist es nützlich/sinnvoll eine VPN Verbindung zw. Handy und WLAN Router einzurichten

Bei einem eigenen WLAN was WPA2 mit AES/CCMP (kein TKIP !) gesichert ist und ein starkes Passwort hat was geheim ist ist das hinreichend sicher. Da wäre es Blödsinn ein VPN zu nutzen zusätzlich. Das ist so wenn du zum Gürtel noch den Hosenträger brauchst.
Bist du aber in einem Hotel WLAN oder öffentlichen Hotspot sollte ein VPN Pflicht sein !

Also dem abgreifen von Daten zwischen Handy und WLAN Router.
Wenn die Verbindung WPA2 verschlüsselt ist, können dann Daten(pakete)
von jemand fremden auch ohne dem WLAN Schlüssel abgefangen und

Abgefangen und aufgezeichnet werden aber noch nicht eingesehen werden!

auch angesehen werden

Erst nach dem man das WLAN Passwort hat.

(um an Passwörter und Logindaten zu kommen) - oder ist dies erst nach
geknacktem WLAN Passwort möglich?

Erst danach.

Ist es nützlich/sinnvoll eine VPN Verbindung zw. Handy und WLAN Router
einzurichten - oder bringt das nichts?

Nicht zu Hause aber unterwegs, siehe Erklärung @aqui.

gibts noch andere Wege wie sich jeamand in ein WLAN NEtzwerk einhacken könnte ..

Sag mal habt Ihr alle über die Osterferien eine Aufgabe zum Lösen bekommen?

Gruß
Dobby

Frage Sicherheit

Mehr von Seerose

Kein Zugriff auf NAS mehr möglich (Der angegebene Netzwerkname nicht verfügbar)Seerose - 36 Kommentare