Topthemen

KRACK-Patches: WPA2-Lücke wird zur Nagelprobe

AndroidPIT fritzbox 7590 fritz repeater 1750e 1928
© nextpit

Router-Hersteller wie AVM oder Netgear, die Community der Open-Source-Router-Firmware OpenWRT, die Modder-Gemeinde hinter Lineage OS und etliche große Software-Schmieden haben zu den #KrackAttacks Stellung bezogen. Wer liefert schon Patches gegen die WPA2-Sicherheitslücke und ist es wirklich schlimm, wenn sie ausbleiben?

Ein großer Teil der WPA2-geschützten WLANs ist knackbar und darüber übertragene Daten sind im Falle von Android 6.0 oder neuer sogar manipulierbar. Dies geht aus dem Paper des belgischen Sicherheitsforschers Mathy Vanhoef hervor.

Jene Angriffe sind größtenteils von theoretischem Interesse und es besteht kein Grund zur Panik, wie Carsten Dobschat von den Mobilegeeks treffend analysiert. KRACK wird in der freien Wildbahn wenig bis gar nicht verwendet. Dennoch müssen alle betroffenen Geräte aktualisiert werden, will man das Vertrauen ihrer Nutzer und Kunden erhalten und das Garantieversprechen einhalten. Außerdem verdienen wir einen offenen und ehrlichen Umgang mit einer solchen Schwachstelle.

Microsoft lieferte einen Windows-Patch am 10. Oktober, Apple bringe ihn in wenigen Wochen. Das schreibt Cnet, das derzeit eine vollständige Liste aller Hersteller mit KRACK-Patch erstellt. Auch in Linux war der Fehler schnell behoben. Die Modder hinter der Android-Variante Lineage OS verkünden stolz, dass sie schneller waren als Google. Nutzer jenes Mods sind ab dem nächsten Update auf der sicheren Seite. Die übrigen Android-Nutzer werden voraussichtlich mit dem Update auf Sicherheitspatch-Ebene November 2017 die betreffenden Lücken schließen können.

Die Reddit-Community bringt Licht ins Dunkel, verlinkt wichtige Quellen und sammelt die Geräte und Hersteller in einer großen Tabelle, in der bereits verfügbare Patches auf einen Blick erkennbar werden. Deutschlands wichtigster Router-Hersteller AVM entwarnt und erklärt, dass die betroffene Norm 802.11r bei Fritzboxen im Access-Point-Modus (als im Normalbetrieb) gar nicht verwendet wird. Repeater hingegen werden zeitnah einen Patch erhalten. Hierauf beschweren sich Reddit-Mitglieder, dass 11r nur einer unter vielen Angriffsvektoren sei und AVM die übrigen nicht übersehen dürfe.

Aber selbst wenn AVM die Router patchen würde, was gemäß seiner bisher vorbildlichen Update-Politik voraussichtlich ohnehin sehr bald geschehen wird, stehen dem kompletten Schutz die weiterhin ungepatchten Android-Smartphones im Wege. Im Falle der Android-Geräte ist die Lage besonders ärgerlich, da Angreifer bei ihnen die Datenverbindung zusätzlich manipulieren können. Wie das funktioniert, erklären die Computerphiles auf YouTube:

Dies ändert jedoch nichts daran, dass KRACK und ihre Ausnutzung eher von theoretischem Interesse sind. Ihr müsst deswegen nicht unbedingt auf Online-Banking verzichten, da dies ohnehin über eine zusätzlich verschlüsselte Verbindung läuft. Ihr müsst auch nicht Euer WLAN-Passwort ändern, da KRACK es ohnehin umgeht. Und Ihr müsst auch nicht alle WLANs abschalten oder von WPA2 auf WEP umstellen, da sich vermutlich kein Hacker in Eurer Nähe aufhält. Dennoch solltet Ihr Eure Geräte updaten, wenn dies möglich ist.

Und KRACK ist eine gute Gelegenheit, zu beobachten, welche Hersteller solche Updates in einem angemessenen Zeitraum liefern. Die großen Software-Schmieden und auch die Open-Source-Gemeinde zeigen sich hier vorbildlich. Die Freifunk-Gemeinde etwa, die mit ihren OpenWRT-Geräten und ihren technisch versierten Nutzern am ehesten ein Angriffsziel wäre, hat schon gepatcht; dasselbe gilt für die LineageOS-Modder. AVM, Telekom und Netgear liefern zeitnah Router-Updates. Die Angriffsfläche wird für potenzielle Nutzer der Lücke also sehr schnell sehr klein und damit uninteressant - wären da nicht die verfluchten Android-Updates, die noch immer bei zu wenigen Nutzern ankommen.

iPhone-15-Serie ohne und mit Vertrag (24 Monate)

  Direkt kaufen Telekom Vodafone o2 1&1
iPhone 15
ab 949 €
bei Amazon
*
MagentaMobil M*
(20 GB / 5G)
59,95 €/Monat
649,90 € einmalig
GigaMobil S*
(24 GB / 5G)
61,99 €/Monat
229,90 € einmalig
o2 Mobile M*
(25 GB + 5 GB / 5G)
64,99 €/Monat
45,98 € einmalig
Allnet-Flat-M+*
(20 GB / 5G)
56,99 €/Monat
39,90 € einmalig
iPhone 15 Plus
ab 1.099 €
bei Amazon
*
MagentaMobil M*
(20 GB / 5G)
59,95 €/Monat
779,90 € einmalig
GigaMobil S*
(24 GB / 5G)
61,99 €/Monat
379,90 € einmalig
o2 Mobile M*
(25 GB + 5 GB / 5G)
69,99 €/Monat
45,98 € einmalig
Allnet-Flat-M+*
(20 GB / 5G)
62,99 €/Monat
39,90 € einmalig
iPhone 15 Pro
ab 1.199 €
bei Amazon
*
MagentaMobil M*
(20 GB / 5G)
59,95 €/Monat
889,90 € einmalig
GigaMobil S*
(24 GB / 5G)
61,99 €/Monat
479,90 € einmalig
o2 Mobile M*
(25 GB + 5 GB / 5G)
79,99 €/Monat
45,98 € einmalig
Allnet-Flat-M+*
(20 GB / 5G)
66,99 €/Monat
39,90 € einmalig
iPhone 15 Pro Max
ab 1.449 €
bei Amazon
*
MagentaMobil M*
(20 GB / 5G)
59,95 €/Monat
1.129,90 € einmalig
GigaMobil S*
(24 GB / 5G)
61,99 €/Monat
729,90 € einmalig
o2 Mobile M*
(25 GB + 5 GB / 5G)
84,99 €/Monat
45,98 € einmalig
Allnet-Flat-M+*
(20 GB / 5G)
74,99 €/Monat
39,90 € einmalig
iPhone-15-Serie im Vergleich bei nextpit | iPhone-15-Serie mit Vertrag: Die besten Angebote
Zu den Kommentaren (22)
Eric Ferrari-Herrmann

Eric Ferrari-Herrmann
Senior Editor

Eric ist seit 2014 bei AndroidPIT. Seine alte Tech-Leidenschaft wird allmählich unterwandert von der Liebe zu mehr Nachhaltigkeit, Privatsphäre und dem Wunsch nach einer Zukunft für alle.

Zeige alle Artikel
Hat Dir der Artikel gefallen? Jetzt teilen!
Empfohlene Artikel
Neueste Artikel
Push-Benachrichtigungen Nächster Artikel
22 Kommentare
Neuen Kommentar schreiben:
Alle Änderungen werden gespeichert. Änderungen werden nicht gespeichert!
Neuen Kommentar schreiben:
Alle Änderungen werden gespeichert. Änderungen werden nicht gespeichert!

  • C. F. 79
    C. F.
    • Admin
    22.10.2017 Link zum Kommentar


  • 25
    joe 20.10.2017 Link zum Kommentar

    ich grab mein 6310 wieder aus....
    - Bluetooth angreifbar... abschalten
    - Wlan angreifbar.....abschalten
    - NFC.....uiuiuiui
    -Mobil im Web ? Webengine sicher ?

    wofür dann noch ein Smartphone


    ;-)


  • 23
    Martin Schmidt 18.10.2017 Link zum Kommentar

    Ich bezweifle, nach Presselage, das ein "Update" einen echten Nutzen bringt.


    • 41
      Karsten K. 20.10.2017 Link zum Kommentar

      Ich bezweifele, dass Du Recht hast. Ein Update sollte diesen Angriffspunkt beseitigen.


  • Thomas R. 37
    Thomas R. 18.10.2017 Link zum Kommentar

    Bitte, bitte, fallt nicht auf diesen KRACK-Hype hinein. Das alles ist start übertrieben. WPA2 ist nach wie vor sehr sicher. Die Bedingungen für solche KRACK-Angriffe sind nicht wirklich eher unrealistisch.

    Für mich scheint es fast so, als wollte irgend jemand (wer kann das wohl sein?), dass sich die User bewusst irgendwelche Patches holen. Wer weiß was dann in diese Patches bewusst eingebaut wurde.

    Vergesst diese Panikmache! Ich komme aus der Welt der IT, und weiß wovon ich spreche!


    • Takeda 53
      Takeda 18.10.2017 Link zum Kommentar

      Sehr sicher 😉 naja ich schweige da mal lieber. Alles ist möglich und nichts ist zu 100% sicher. Gerade du der ja aus der Welt es IT kommt müsste es wissen.


      • 52
        Gelöschter Account 19.10.2017 Link zum Kommentar

        "Sehr sicher" bedeutet ja auch nicht 100 %. Und natürlich ist WPA2 sehr sicher, wenn der Nutzer eben auch seine Hausaufgaben macht.


      • Takeda 53
        Takeda 19.10.2017 Link zum Kommentar

        Sagen wir sicher, sehr sicher würde ich da nicht sagen.


    • 56
      Gelöschter Account 19.10.2017 Link zum Kommentar

      "KRACK-Angriffe sind nicht wirklich eher unrealistisch" - doppelte Verneinung?! Also sind sie realistisch, oder was willst du uns sagen?
      Und was soll das mit dem Hype? Es ist eine Sicherheitslücke - nicht mehr und nicht weniger. Keiner wird aufgerufen, neue Geräte zu kaufen, einen Handstand zu machen oder 5 Vater-Unser zu beten. Es bleibt ja am Ende nichts andere übrig, als auf ein Update der Endgeräte zu warten.

      Karsten K.


  • Elsi 26
    Elsi 18.10.2017 Link zum Kommentar

    Liebes AP Team, hat sich schon mal jemand vin euch die Bedingungen für einen erfolgreichen krack Angriff durchgelesen? Ich glaube nicht. Da sind soviele unrealistische "wenn's" drin, dass das ganze nahezu unrealisierbar ist.

    Es ist Panikmache, nix weiter.

    DieselJoe F.


    • 52
      Gelöschter Account 18.10.2017 Link zum Kommentar

      So sieht's mal aus. Aber für die sogenannte Tech-Presse sind solche vermeintlichen Lücken immer ein Feiertag wie Weihnachten und Ostern zusammen. Das bringt viele Leser, weil man sich bei so etwas schnell verunsichern lässt. Dass diese Lücke schon Ewigkeiten besteht und vermutlich noch nie ausgenutzt wurde, ist da nebensächlich.

      Gelöschter Account


      • 69
        Michael K. 18.10.2017 Link zum Kommentar

        Ja, allerdings jetzt ist sie bekannt, und könnte Hacker dazu verleiten, sie auszunutzen.


      • 52
        Gelöschter Account 18.10.2017 Link zum Kommentar

        Ach was, Hacker brauchen sich nur offene WLANs zu suchen oder einfache Passwörter ausprobieren. Solch ungesicherten Netzwerke gibt es immer noch massig genug.

        Diese Lücke hier brauchen die dafür gar nicht.


    • Eric Ferrari-Herrmann 44
      Eric Ferrari-Herrmann 19.10.2017 Link zum Kommentar

      Das habe ich doch geschrieben. Warum lesen so wenige den Text bevor sie kommentieren?


  • 90
    Gelöschter Account 18.10.2017 Link zum Kommentar

    > Und Ihr müsst auch nicht alle WLANs abschalten oder von WPA2 auf WEP umstellen

    Auf KEINEN FALL auf WEP oder WPA umstellen!!!
    Lieber mit dem Risiko von WPA2 leben. Das ist WESENTLICH GERINGER als die Risiken durch WEP und WPA.

    Michael PKarsten K.Gelöschter AccountMichael K.


  • 56
    Gelöschter Account 18.10.2017 Link zum Kommentar

    Wer nun meint, die Hersteller würden die Lücke schnell schließen, der hat entweder a) ein top-aktuelles Smartphone der Oberklasse, b) eine entsprechende Custom-ROM, c) erinnert sich nicht daran, dass bei vielen Smartphones die Stagefright-Problematik bis dato nicht ausgestanden ist.

    Karsten K.


  • Falco 27
    Falco 18.10.2017 Link zum Kommentar

    Danke für die Info.


  • C. F. 79
    C. F.
    • Admin
    18.10.2017 Link zum Kommentar

    "Der Sicherheitsforscher Mathy Vanhoef hat unter dem Namen Krack (Key Re-Use Attack) eine Reihe von Angriffen auf mit WPA2 verschlüsselte WLAN-Netzwerke demonstriert. Dabei hat er nicht die Grundlagen des Protokolls gebrochen, die zentralen Sicherheitsbeweise gelten nach wie vor. Auch wenn praktische Angriffe möglich sind, warnt der Autor selbst vor Panik. Kein Nutzer sollte aufhören WPA2 zu nutzen, auch wenn das Gerät noch nicht gepatcht ist "

    Quelle: https://www.golem.de/news/wlan-wpa-2-ist-kaputt-aber-nicht-gebrochen-1710-130636.html

    Gelöschter AccountJoe F.Dirk Kleie


    • Eric Ferrari-Herrmann 44
      Eric Ferrari-Herrmann 18.10.2017 Link zum Kommentar

      Ja und? Ich sage oben in fast jedem Absatz, dass Panik unangebracht ist. Und den Passus mit "Ihr müsst auch nicht alle WLANs abschalten oder von WPA2 auf WEP umstellen" findet man auch hier.


      • 90
        Gelöschter Account 18.10.2017 Link zum Kommentar

        Besser als "Ihr müsst auch nicht alle WLANs abschalten oder von WPA2 auf WEP umstellen" wäre, "auf keinen Fall auf WEP oder WPA umstellen"


      • 52
        Gelöschter Account 18.10.2017 Link zum Kommentar

        Stimmt, die unangebrachte Panik hast du, Eric, ja schon vorgestern mit deinem "Auch dein WLAN ist jetzt unsicher"-Artikel verbreitet.

        Ihr habt bei APIT aber ohnehin immer die komische Angewohnheit, widersprüchliche Artikel zu erstellen.

        Holger KroppMichael PGelöschter Accountm7934C. F.N3misis


      • Holger Kropp 34
        Holger Kropp 19.10.2017 Link zum Kommentar

        Davon lebt doch die Gossip Welt. Ja ich bezeichne auch Apit als Gossip. Panikmachende Ueberschriften, widerspruechliche Artikel etc. das gehørt dazu wenn man viele Leser haben møxhte und so viel Reklame wie møglich schalten kann.

        So ist das und so wird das immer sein. Aufregen? Nø nicht mehr. Wenn Apit die Einzigen wæren die so vorgehen dann ja aber macht jeder so dem Geld wichtiger als Inhalt ist.

Neuen Kommentar schreiben:
Alle Änderungen werden gespeichert. Änderungen werden nicht gespeichert!
VG Wort Zählerpixel