"Onveilige WiFi-netwerken moeten dood"
Onversleutelde draadloze netwerken zijn bedacht zonder rekening met de werking van het moderne web te houden en moeten daarom dood. Dat zegt de bekende beveiligingsonderzoeker Michal Zalewski alias lcamtuf. De problemen met open access points gaan veel verder dan op het eerste gezicht duidelijk is. Het gaat dan om zaken als cookie poisoning, plugin same origine policy problemen, cache poisoning, cache retrieval en adresbalk autocompletion poisoning.
Via deze aanvallen kan een aanvaller de inhoud van cookies manipuleren, kwaadaardig verkeer mee laten liften, de browser "backdooren", gevoelige gegevens onderscheppen en slachtoffers naar kwaadaardige websites doorsturen.
SSL
"De enige manier om al deze risico's te elimineren is het uitfaseren van browser-level HTTP ondersteuning, maar dat is onpraktisch en gewoon verkeerd", aldus Zalewski. De onderzoeker denkt niet dat universele SSL de ideale oplossing is. De last zou namelijk moeten liggen bij de partijen die nieuwe standaarden introduceren of nieuwe manieren van gebruik introduceren. "En iets ging hier goed mis. We moeten hard werken om het snel op te lossen en het nooit meer laten gebeuren."
Ook de versleutelde 802.11 standaard is volgens Zalewski niet veel beter. Op WPA2-PSK netwerken met een publiek aangekondigde sleutel, zouden aanvallers door het bekijken van de handshake nog steeds verkeer naar andere clients kunnen decoderen en aanpassen. Verder zou een aanvaller zich als een "betrouwbaar" access point kunnen voordoen. "Deze tekortkomingen zijn enorm frustrerend, maar zijn op te lossen."
De oplossing is in ieder geval niet het verplichten van SSL en HTTP Strict Transport Security (HSTS). "Je krijgt misschien de honderd populairste websites zover, maar dat is nog steeds zinloos. Het uitbannen van slechte WiFi is waarschijnlijk een eenvoudigere en verstandigere oplossing."
En de verantwoordelijkheid natuurlijk ook op mij nemen. Details...
Om te beginnen de gratis te gebruiken wifi in restaurants, bibliotheken kun je bijna niet laten versleutelen, dan neem je de functie van 'leuke service' naar de klant toe weg.
Maar dan nog, wpa2-psk wordt net niet in alle consumenten-wifiproducten gebruikt, maar t scheelt weinig...
Dan maar alle modems/routers verplicht laten vervangen? A la V.K. of Australië er tegen optreden?
En wat Mysterio zegt: je moet ook zelf kunnen blijven denken. Kan nou niet zeggen dat m'n wpa2-psk dagelijks door de buren van 82 en 83 jaar oud of dat gezin met kleine kinderen wordt gekraakt (en die kans op een wardriver, tsja, klein).
Niet iedereen zal zulke buren hebben, maar ook dan volstaat WPA2 nog steeds wel, of je gaat terug naar een kabeltje ;)
Voor internet-bankieren gebruik ik dan wel standaard een kabeltje en niet m'n draadloos.
http://www.security.nl/artikel/32955/1/Miljoenen_Britten_moeten_nieuwe_router_kopen.html
http://security.nl/artikel/30351/1/Politie_opent_jacht_op_draadloze_netwerken.html
edit: gewoon een vpn-client wanneer je een openbare wifi wilt gebruiken, doet British Telecom al jaren en werkt best (zeg ik uit eigen ervaring).
Ik vind het verbazingwekkend hoeveel mensen menen te moeten bepalen dat onveilige wifi "moet" verdwijnen. Waarom zou je die beslissing niet aan de eigenaar van een access point over laten ? Ik kom met grote regelmaat in Estland, en vind het daar een verademing om zonder enkel probleem aan te kunnen loggen op de gratis wifi hotspots die men in de meeste steden aanbiedt. Indien ik veiligheid wil, dan maak ik wel gebruik van een VPN verbinding.
Laat mensen toch vooral zelf bepalen hoe zij hun AP willen configureren, en of zij deze eventueel open willen laten staan voor derden.
Vaak maken open Wifi netwerken voor klanten deel uit van een bedrijfsnetwerk (wel beveiligd via policies maar niet gescheiden qua netwerk).
Nerds moeten niet denken als nerds. Het zijn de gewone mensen waar goede beveiliging begrijpelijk en eenvoudig voor moet worden gemaakt. Dan gaan ze het vanzelf gebruiken.
Lekkere volwassen en professionele titel ook trouwens, werken er 16-jarigen bij de redactie? Boks ouwe!
Daar heb je geheel gelijk in. En wanneer mensen een open AP hebben, dan moet dit het gevolg zijn van een bewuste keuze, en niet van onkunde.
WPS - http://en.wikipedia.org/wiki/Wi-Fi_Protected_Setup
Op een gegeven moment gaan mensen draadloze routers vervangen en dat lost het probleem voor een groot gedeelte op.
Maar als ik dat gebruik heb ik het goed beveiligd.
Als het AP waar ze mee verbinden dan een onbeveiligde rogue AP is met dezelfde SSID als dat van Mc Donalds of AP van het hotel, dan is het al snel linke soep.
Ik denk dat het onhaalbaar is om te verbieden, maar zoveel mogelijk het gebruik beperken van onbeveiligd lijkt me een goed plan.
Als de ISPs dan ook nog een begrijpelijke VPN mogelijkheid gaan aanbieden in het Internetpakket dan zijn we klaar.
Standaard Internetgebruiker (dus niet de techneuten die hier aanwezig zijn) logt in op een AP, maakt daarna een VPN-verbinding met zijn eigen ISP waarna een groen lampje gaat branden o.i.d., en alle verkeer is versleuteld tot op de VPN concentrator van de ISP. Klaaro.
nadeel, en voordeel ,is,vermits correct geconfiged, dat je andere wifi clients dan niet meer kan scannen.
Als het AP waar ze mee verbinden dan een onbeveiligde rogue AP is met dezelfde SSID als dat van Mc Donalds of AP van het hotel, dan is het al snel linke soep.
Ik denk dat het onhaalbaar is om te verbieden, maar zoveel mogelijk het gebruik beperken van onbeveiligd lijkt me een goed plan.
Als de ISPs dan ook nog een begrijpelijke VPN mogelijkheid gaan aanbieden in het Internetpakket dan zijn we klaar.
Standaard Internetgebruiker (dus niet de techneuten die hier aanwezig zijn) logt in op een AP, maakt daarna een VPN-verbinding met zijn eigen ISP waarna een groen lampje gaat branden o.i.d., en alle verkeer is versleuteld tot op de VPN concentrator van de ISP. Klaaro.
Waarom krijg ik hier nou weer een -1 voor. Zet er dan een reactie bij, dan kunnen we tenminste een discussie starten...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
