Kategorien
Hardware & Software

WLAN-Router: Sicherheitslücke im Wi-Fi Protected Setup (WPS) – und wie Sie sich schützen

Ein Designfehler im Wi-Fi Protected Setup – kurz WPS – macht Millionen Router anfällig für Hackerangriffe. Student Stefan Viehböck aus Österreich hat herausgefunden, dass sich das automatische Setup per WPS ganz einfach aushebeln lässt. Bis die Router-Hersteller mit Firmware-Updates die Sicherheitslücke schließen hilft nur eines: das Abschalten der WPS-Funktion im Router.

11.000 Versuche genügen

Darum geht’s: Um das Anschließen von WiFi-Geräten zu vereinfachen, gibt es in vielen Routern die WPS-Funktion (Wi-Fi Protected Setup). Ohne Eingabe ellenlanger Sicherheitsschlüssel reicht die Eingabe einer PIN, um die Verbindung herzustellen. Bei der PIN-Eingabe gibt es zwei Varianten: Entweder kommt eine auf dem Client (z.B. dem WLAN-Stick) aufgedruckte PIN zum Einsatz, oder Sie müssen eine vom Router generierte bzw. auf dem Router aufgedruckte PIN eingeben. Und genau bei dieser letzten PIN-Methode gibt es einen eklatanten Designfehler.

Wie Viehböck in seinem PDF-Dokument „Brute forcing Wi-Fi Protected Setup“ erläutert, lässt sich der PIN-Schutz mit einfachen Mitteln aushebeln. Mit geschickten PIN-Anfragen lässt sich die sonst theoretische Menge von 10^8 Möglichkeiten (100.000.000) auf 10^4 + 10^3 Möglichkeiten (11.0o0) reduzieren. Um alle 11.000 PIN-Varianten durchzuprobieren, braucht es je nach Router zwischen knapp zwei und 92 Tagen.

Betroffen sind fast alle aktuellen Router, da nahezu jeder Hersteller mittlerweile die praktische WPS-Funktion zum schnellen Verbinden von WLAN-Sticks und ähnlichen WLAN-Geräten verwenden.

Um die Gefährlichkeit und Brisanz der Sicherheitslücke zu demonstrieren, arbeitet Viehböck, der das Fach Sichere Informationssysteme an der FH-Hagenberg studiert, derzeit an einem „Brute Force Tool“, das automatisch so lange die PINs eines Routers ausprobiert, bis die Verbindung steht. Das Hackertool wird auf Viehböcks Webseite veröffentlicht.

So stopfen Sie die WPS-Sicherheitslücke bei FritzBox, Speedport & Netgear

Bis die Router-Hersteller Firmwareupdates veröffentlichen und die Sicherheitslücke stopfen, bleibt nur das Abschalten der WPS-Funktion im Router. Zumindest die PIN-Methode sollten Sie deaktivieren; bei der Push-Button-Methode (bei der an den Geräten Tasten gedrückt werden müssen) ist derzeit keine Sicherheitslücke bekannt.

Wie Sie WPS abschalten ist von Hersteller zu Hersteller unterschiedlich. Bei den Fritz!Box-Modelle wie Fon WLAN 7270, Fon WLAN 7240 oder WLAN 3270 finden Sie die Option im Bereich „WLAN | Sicherheit“ bzw. „Erweiterte Einstellungen | WLAN | Sicherheit“.

Bei den Telekom-Speedport-Modellen schalten Sie WPS im Bereich „Konfiguration | Sicherheit | WPS-Betriebsart“ aus bzw. aktivieren ausschließlich die „Pusbutton-Methode“.

Bei Routern des Herstellers Netgear finden Sie die Option meist im Bereich „Advanced Wireless Setting“. Hier müssen Sie die Option „Disable Router’s PIN“ aktivieren, um die PIN-Methode der WPS-Funktion abzuschalten.

Kategorien
Handy & Telefon iPhone Tipp des Tages

iPhone, iPod, iPad: Kritische PDF-Sicherheitlücke in Apple iOS 4 – und wie Sie sie stopfen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Sicherheitslücke in Apples iOS-Betriebssystem für iPhone, iPad und iPod touch entdeckt. Betroffen sich alle Geräte bis einschließlich der aktuellen iOS-Version 4.3.3. Die Lücke: manipulierte PDF-Dokumente reichen aus, um das Handy mit Schadsoftware zu infizieren und Daten auszulesen.

Die PDF-Sicherheitslücke ermöglicht es potenziellen Angreifern mithilfe eines manipulierten PDF-Dokuments Zugriff mit Administratorrechten auf das iPhone, das iPad oder den iPod touch zu erhalten. Im schlimmsten Fall könnten vertrauliche Informationen wie Passwörter, Online-Bankingdaten, Termine, E-Mails, SMS und Kontaktdaten ausgelesen werden. Auch der Zugriff aud die Kamera oder das Abhören von Telefongespräche ist damit möglich. Die aktuelle Pressemitteilung zur iOS-Schwachstelle finden Sie auf den Webseiten des BSI:

https://www.bsi.bund.de/ContentBSI/Presse/Pressemitteilungen/Presse2011/Schwachstelle-im-Apple-Betriebssystem-iOS-06072011.html

 

So schützen Sie sich

Damit potenzielle Angreifer die Sicherheitslücke nicht nutzen können, empfiehlt das BSI, bis auf Weiteres auf das Öffnen von PDF-Dokumenten aus unbekannten oder unsicheren Quellen zu verzichten. Das betrifft auch PDF-Dateien, die in Webseiten eingebettet sind oder als E-Mail-Anhang eintreffen. Zudem sollten Sie in der Trefferliste der Suchmaschinen nicht auf PDF-Dokumente klicken.

Die Sicherheitslücke stopfen

Sicherlich wird eines der nächsten iOS-Updates die Sicherheitslücke stopfen. Wer nicht so lange warten möchte, kann nur eines machen: das iPhone jailbreaken und den „PDF-Patcher“ 2 installieren. So geht’s:

1. Führen Sie auf der Seite http://jailbreakme.com einen Jailbreak durch.

2. Starten Sie Cydia, und laden Sie das Paket „PDF Patcher 2“.

Damit ist die PDF-Lücke im iPhone, iPad und iPod touch geschlossen. Beachten Sie jedoch, dass Sie mit dem Jailbreak das iPhone massiv verändern. Wer das nicht möchte, sollte auf das offizielle Update von Apple warten und so lange PDF-Dateien meiden.

Update: iOS-Update 4.3.4 stopft Sicherheitslücke

Mit dem iOS-Update auf Version 4.3.4 hat Apple die PDF-Sicherheitslücke wieder geschlossen. Falls auf Ihrem iPhone eine ältere iOS-Version installiert ist, führen Sie einfach ein Update auf die aktuelles iOS-Version aus.

Kategorien
Android Handy & Telefon Tipp des Tages

Google Android Datenleck schließen: Sicherheitsloch stopfen und persönliche Daten schützen

Nach Apple und Facebook hat es jetzt auch Google erwischt: Forscher der Universität Ulm haben in Googles Handybetriebssystem Android ein eklatantes Datenleck entdeckt. Betroffen sind die Android-Versionen 2.1 bis 2.3.3. Android-Nutzer sollten die gespeicherten öffentlichen WLANs und Kennwörter prüfen.

Darum geht’s: Sobald Sie sich mit Ihrem Android-Smartphone in ein öffentliches WLAN-Netz einwählen (etwa am Flughafen oder im Restaurant), erhalten Hacker ohne großen technischen Aufwand Zugriff auf sämtliche Kontaktdaten, Kalendereinträge und Picasa-Fotos.

Das funktioniert, da beim Synchronisieren mit den Google-Servern ein Authentifizierungs-Token ausgetauscht wird, der wie ein Zweitschlüssel zum Google-Account funktioniert. Der Zweitschlüssel wird unverschlüsselt übertagen; jeder im öffentlichen WLAN kann den Schlüssel abfangen. Der Authentifizierungs-Token ist etwa zwei Wochen gültig und erlaubt einen uneingeschränkten Zugang zu den persönlichen Google-Daten.

Das können Sie tun

Gestopft wurde die Sicherheitslücke erst mit der Android-Version 2.3.4. Die Krux an der Sache: „Alte“ Android-Handys werden aber kaum aktualisiert, da die Handy-Provider Updates nur zögerlich freigeben und zum Download anbieten.

Wer nicht auf das Update seines Providers warten möchte, kann selbst aktiv werden und sich schützen. Und zwar folgendermaßen:

1. Stellen Sie zuerst sicher, dass sich das Android-Smartphone nicht automatisch in bereits besuchte WLANs einwählt. Dazu über „Einstellungen | WLAN-Einstellungen“ die Liste der bekannten WLANs einblenden und die gespeicherten offenen WLANs (erkennbar am fehlenden Vorhängeschloss) löschen.

2. Danach ändern Sie Ihr Google-Passwort, damit alle bisher vergebenen Authentifizierungs-Token ihre Gültigkeit verlieren.

Damit sind Sie zumindest so lange geschützt, bis Sie sich wieder in ein öffentliches WLAN-Netz einwählen und mit dem neuen Kennwort wieder mit den Google-Servern synchronisieren. Wer auf Nummer sicher gehen möchte, sollte danach die obigen Schritte wiederholen.

Weitere Infos zum Android-Datenleck:

Forschungsergebnisse der Universität Ulm

Blogbeitrag von Professor Dan Wallach (Rice University Houston), der den Stein ins Rollen brachte

Prozentuale Verteilung der Android-Versionen 1.5 bis 3.0

Kategorien
Internet & Medien

Facebook Freunde finden: Datenleck der Freunde-finden-Funktion stopfen

Facebook macht das Vernetzen mit Freunden einfach. Wer nicht selbst nach den Namen alter Freunde und Bekannte suchen möchte, kann die Arbeit auch Facebook überlassen. Auf Wunsch durchforstet Facebook für Sie automatisch Ihre E-Mail-Kontakte nach möglichen Freunden. Eigentlich recht praktisch. Wenn man damit nicht eine eklatante Sicherheitslücke öffnen würde.

Auf der Startseite bietet Facebook mit dem Link „Freunde finden“ oder „Finde deine Freunde“ einen (auf den ersten Blick) praktischen Freunde-Suchdienst an. Auf der folgenden Seite müssen Sie nur die Zugangsdaten zu Ihrem E-Mail-Konto eingeben – und den Rest erledigt Facebook. Das Soziale Netzwerk durchforstet für Sie Ihre E-Mail-Kontakte und findet tatsächlich auf Anhieb eine Menge Kontakte, die ebenfalls bei Facebook sind. Neue Freunde sind so schnell gefunden. Hört sich eigentlich gut an.

Die Krux an der Sache: Mit der Funktion „Freunde finden“ geben Sie Facebook praktisch den Schlüssel zu Ihrem Mail-Postfach. Facebook kann sich dort in Ruhe umschauen und Daten sowie Kontakte sammeln. Warum das so viele machen, ist Datenschützern ein Rätsel. Die Herausgabe der E-Mail-Zugangsdaten ist ungefähr so, als würden Sie einem wildfremden Menschen den Schlüssel zu Ihrem Haus und Ihrem Briefkasten geben. Im realen Leben macht das niemand – bei Facebook machen es Tausende.

Zwar verspricht Facebook, vertraulich mit den Daten umzugehen. Die Realität sieht anders aus. Wie ein aktueller Fall: die Frankfurter Sonntagszeitung entdeckte, dass es dank der Freunde-finden-Funktion problemlos möglich ist, die E-Mail-Kontakte von Nichtmitgliedern auszuforschen – ohne das Passwort zu kennen. Erstmals bekannt wurde das Facebook-Datenleck durch den Technologie-Blog TechCrunch.

So funktioniert das Datenleck bei Facebook:

– Jemand meldet sich bei Facebook neu an und verwendet hierfür eine fremde E-Mail-Adresse.

– Noch bevor Facebook den Bestätigungslink verschickt, um die E-Mail-Adresse zu überprüfen, unterbreitet Facebook (anhand der eingegebenen Mail-Adresse) Vorschläge für Freunde. Es erscheinen alle Kontakte, die mit dieser E-Mail-Adresse verknüpft sind.

Die Daten, wer mit der (fremden) Mail-Adresse befreundet ist oder sein könnte, bezieht Facebook aus dem Datenbestand der „Freunde finden“-Funktion. Jeder, der seine Mail-Zugangsdaten preisgibt, verrät damit auch, mit wem er per Mail in Kontakt steht.

Finger weg von „Freunde finden“

Daher unser dringender Rat: Lassen Sie die Finger von der Freunde-finden-Funktion von Facebook. Sobald Facebook Zugriff auf Ihr E-Mail-Postfach bei Google Mail, Yahoo, Web.de oder Hotmail hat, werden die E-Mail-Adressen des Adressbuchs gespeichert und mit dem Facebook-User verknüpft, der den Zugriff auf das Konto zugelassen hat.

Mit dem Datenleck hat Facebook bewiesen, dass das Thema Datenschutz nicht besonders groß geschrieben wird. Suchen Sie Ihre Freunde lieber von Hand. Das dauert zwar länger – verrät aber nicht auf einen Schlag, mit wem Sie per Mail in Verbindung stehen.

Das können Sie dagegen tun: Kontakte entfernen

Unser Tipp: Wer die Freunde-finden-Funktion bereits genutzt und seine Mail-Zugangsdaten preisgegeben hat, kann die bereits importierten Kontakte wieder entfernen. Allerdings hat Facebook diese Funktion tief im System versteckt. Hier der Direktlink zur Funktion „Importierte Kontakte entfernen“:

http://www.facebook.com/contact_importer/remove_uploads.php

Per Klick auf „Entfernen“ werden alle importierten Kontakte, die aus dem E-Mail-Postfach stammen, gelöscht und nicht mehr für Freundschaftsvorschläge verwendet.