Wifi veiligheid
| Project: WiFi veiligheid | |
|---|---|
| |
| Status | voltooid |
| Betrokkenen |  CrazyA  CrazyA Rol: deelnemer Deskundig met: AVR, Arduino, Blender, Elektronica, GL-Inet, LPD8806, POV-Ray, RaspberryPi Werkt aan: Geen projecten :( |
| Projectoverzicht – Project toevoegen | |
Hoe makkelijk is WEP te kraken, en WPA dan? Is internetbankieren op een draadloos netwerk eigenlijk wel veilig?
Contents
Waarom?
Er is bij het bestuur van Frack een mailtje binnengekomen met de vraag of wij deze Master-student van de RUG kunnen helpen met informatie over de veiligheid van draadloos internet. Daarnaast ook de vraag wat de gevolgen zijn voor bijvoorbeeld internetbankieren.
Standpunt Frack
Het is belangrijk om te weten dat een hackerspace niet bestaat om (al dan niet op commando) in te breken in netwerken, sterker nog, wij zijn tegen illegale activiteiten. Waar we wel voor zijn is nieuwsgierigheid en een eerlijke weergave van feiten.
Opdelen probleemstelling/vraagstuk
voorzetje
- 1. Hoe veilig is WEP
- 2. Hoe veilig is WPA / WPA2
- 3. Toegang tot het netwerk, en dan?
- 4. Hoe veilig is SSL (HTTPS)
- 5. Hoe veilig is internetbankieren in Nederland
1. Hoe veilig is WEP
Van http://nl.wikipedia.org/wiki/Wired_Equivalent_Privacy
| “ | Wired Equivalent Privacy, of WEP is een door de IEEE 802.11 gespecificeerde methode om berichten die via een draadloze verbinding (wifi) worden verstuurd te versleutelen en maakt gebruik van de RC4-encryptie van RSA Security. De versleuteling vindt plaats tussen de twee NICs; de versleuteling geldt dus alleen voor zover de data "in de lucht hangt". Nadat de data ontvangen is, is het niet meer gecodeerd. Om gebruik te maken van WEP moeten de participerende NICs WEP aanzetten en een gelijke sleutel ingevoerd krijgen. | ” |
Van WEP is al tijden lang bekend dat het niet veilig is. Er zit een gapend gat in het ontwerp. Er zijn maar een paar minuten nodig (met beetje voorbereiding slechts seconden) om de sleutel te achterhalen en toegang te krijgen tot het netwerk en de internetverbinding van het slachtoffer. Dit heeft alles te maken met de veel te korte initialization vector die gebruikt word, deze is maar 24-bits. Er is statistisch 50% kans, dat dezelfde IV na 5000 pakketjes alweer langs komt. Dit gecombineerd met de mogelijkheid van het injecteren van datapakketjes om een berg verkeer te genereren levert een zeer onveilige situatie.
2. Hoe veilig is WPA / WPA2
Van http://nl.wikipedia.org/wiki/Wi-Fi_Protected_Access
| “ | Wi-Fi Protected Access (WPA) is een systeem om veilige draadloze netwerken (wifi) op te zetten en is ontwikkeld nadat onderzoekers een aantal zwakke plekken in WEP (Wired Equivalent Privacy) hadden gevonden. WPA is gebaseerd op een deel van de 802.11i-standaard van IEEE en bedoeld als tussenoplossing voor de problemen met WEP terwijl de nieuwe draadloze veiligheidsstandaard (802.11i) werd ontwikkeld. Certificatie van producten met WPA is begonnen in april 2003; de volledige 802.11i werd geratificeerd in juni 2004. | ” |
Voor het hacken van WPA/WPA2 zijn andere technieken nodig dan voor WEP, de zwakheden in de initialization vectors zijn aangepakt. Het is mogelijk om met dictionaries en een soort rainbow tables een groot deel van de meest voorkomende passes te achterhalen.
3. Toegang tot het netwerk, en dan?
Nadat een slechterik toegang heeft tot het netwerk, zijn er tal van andere gevaren. Van verkeer sniffen en man-in-the-middle-attacks tot infecteren van alle machines in het netwerk met spyware/malware om nog veel meer schade aan te richten en informatie te vergaren.
4. Hoe veilig is SSL (HTTPS)
Als iemand in staat is om het netwerkverkeer op te vangen, tussen de computer van een slachtoffer en het accesspoint zijn er een aantal gegevens die leesbaar over lijn gaan. Bij het gebruik van SSL is dit verkeer al versleuteld voor het de computer uit komt, met behulp van certificaten. Het afluisteren van het versleutelde verkeer laat weinig zinnigs zien zonder de juiste key. Keys kraken duurt serieus lang en wisselen vaak genoeg om in de praktijk onkraakbaar te zijn. Dit gaat natuurlijk niet op als de certificaten, waar de sleutels aan verbonden zijn, vals zijn zoals bij Diginotar gebeurd is.
5. Hoe veilig is internetbankieren in Nederland
...
Het artikel
Wi-Fi, whisky en wachtwoorden Door Derwin van der Schoot
Intro: ‘Ik heb niets te verbergen, dus ook niets te vrezen’, is een opmerking die je vaak hoort als het om internetprivacy gaat. Het is naïef om dit te denken. Voor je het weet hebben hackers je wachtwoorden in handen. En meer.
Netwerkkabels, routers en een bonte verzameling aan draden en stekkerdozen vormen de achtergrond waartegen de leden van hackerspace Frack uit Leeuwarden hun vrije uurtjes doorbrengen. De hackerspace is een ruimte in een kantoorpand waar ‘hobbyhackers’ samenkomen om hun interesse in techniek en ICT met anderen te delen. ‘Hacken is creatief omgaan met dingen die er al zijn. Alsof je van een oud gordijn een nieuwe jurk maakt’, aldus Jildou Gerritsma, voorzitter van Frack.
Internetcriminaliteit is een groeiend probleem. Uit een steekproef van de Consumentenbond in 2010 bleek dat meer dan een kwart van de draadloze netwerken niet of onvoldoende beveiligd is. Digitale struikrovers slaan intussen steeds vaker hun slag. Volgens de Nederlandse Vereniging van Banken is de schade door fraude via internetbankieren in 2011 gestegen van 10 miljoen euro naar 35 miljoen euro. Zelfs voor mensen die niets te verbergen hebben of niet aan internetbankieren doen, is het verstandig om de beveiliging te verbeteren. Hackers kunnen namelijk meer zien dan je doorhebt, blijkt al snel tijdens een bezoek aan Frack.
De leden van Frack zien hacken puur als hobby, maar ze kunnen wel laten zien hoe eenvoudig het is om draadloze netwerken te hacken. Om dit te demonstreren hebben ze een speciaal netwerk opgezet. Volgens de steekproef van de Consumentenbond is 16 procent van de draadloze netwerken nog voorzien van de inmiddels verouderde Wired Equivalent Privacy-beveiliging (WEP). Hierbij zijn verzonden data alleen gecodeerd als het ‘in de lucht hangt’ en niet meer als de data ontvangen is. ‘WEP is binnen twee tot drie minuten te kraken’, vertelt Peter Huiskens.
Als je op internet zit worden er datapakketten verzonden van en naar je computer. Huiskens: ‘Bij WEP-beveiliging wordt er met ieder verzonden datapakket een klein stukje van de beveiligingscode meegestuurd ter authentificatie.’ Als je genoeg van die pakketten onderschept met behulp van speciale software, kun je de code berekenen. ‘Ik heb er ongeveer veertigduizend nodig. Als je aan het downloaden bent, kan ik binnen twee tot drie minuten de sleutel van het netwerk berekenen en daarmee precies volgen welke sites je bezoekt.
Nadat Huiskens heeft aangetoond hoe eenvoudig het is om WEP-sleutels te kraken, laat hij zien hoe een Wi-Fi Protected Access (WPA of WPA2)-beveiliging wordt gekraakt. Deze manier van beveiliging is ingevoerd nadat de zwakke plekken in WEP-protectie waren aangetoond. Huiskens: ‘WPA2 is alleen te hacken als het wachtwoord slecht of voorspelbaar is. Bovendien heb je een zogenaamde handshake nodig. Dat is een teken van herkenning tussen de router en de computer of laptop. Je krijgt dat teken wanneer iemand inlogt op zijn computer.’
Je moet in de buurt van een netwerk zijn om WPA2 te kunnen kraken. Als een hacker aan de overkant van de straat staat, kan hij die handshake nog wel bemachtigen, maar veel verder weg niet meer. In zijn demonstratie maakt Huiskens verder gebruik van een hashfile, een lijst met honderdduizenden veel voorkomende wachtwoorden. De hacker gebruikt vervolgens een programma om al die wachtwoorden te testen op het netwerk. Binnen enkele minuten wordt ook het WPA2-netwerk gekraakt als blijkt dat het voor Huiskens onbekende wachtwoord in de hashfile staat.
Huiskens laat zien hoe hij via het draadloze netwerk een laptop hackt. Wachtwoorden en gebruikersnamen op normaal beveiligde websites zoals het internetforum Fok.nl worden snel zichtbaar op zijn scherm. In principe kan Huiskens via het draadloze netwerk niet direct aan de inloggegevens voor internetbankieren komen. ‘Direct internetbankieren hacken via onbeveiligde netwerken is bijna onmogelijk. Via virussen zoals de namaak ING-site kan dit wel. Zo’n virus stuurt dan je inloggegevens door aan derden’, aldus Huiskens. Dit gebeurde in augustus 2011, toen ING, Dexia, Fortis en KBC werden getroffen door een virus waarbij een pop-up de stijl van de bank bijna perfect imiteerde. Klanten kregen hierbij zelfs een TAN-code toegestuurd per sms.
‘Ik kan wel alles zien wat er op minder beveiligde websites gebeurt’, zegt Huiskens. Dat lijkt geen groot probleem, maar veel mensen gebruiken op verschillende sites dezelfde wachtwoorden. Met de informatie die mensen achterlaten op andere websites zijn ook inloggegevens voor strenger beveiligde websites te achterhalen. ‘Als ik iemands internetverkeer een paar dagen zou volgen, zou ik zijn online identiteit kunnen overnemen. Vaak is een naam en bankrekeningnummer al genoeg voor een hoop ellende. Dan kun je bijvoorbeeld dingen bestellen door een machtiging te geven en de producten op een ander adres laten bezorgen. Of als het sofinummer bemachtigd is, de belastingteruggave op een andere rekening laten storten.’
Whiskyisookheellekker Tips van Frack: verander het wachtwoord van je router in iets langs en onvoorspelbaars. Ook je wachtwoorden op websites moeten sterk zijn en divers. Gebruik niet voor elke website hetzelfde wachtwoord en verander deze eens in de zoveel tijd. Een goed wachtwoord is niet per sé moeilijk voor jezelf. Eigenlijk is het perfecte wachtwoord een lange combinatie van onverwachte woorden. ‘Whiskyisookheellekker is een sterk wachtwoord’, zegt Huiskens. ‘Veel mensen gebruiken een geboortedatum, namen van kinderen of korte combinaties van letters en cijfers.’ Zulke dingen kunnen kwaadwillende hackers in een bestand zetten en aan de hand daarvan je wachtwoord kraken. Het kan ook helpen om van internetbrowser te veranderen. Tijdens de demonstratie geven Google Chrome en Mozilla Firefox waarschuwingen dat er iets niet klopt. Deze browsers hadden door dat het internetverkeer werd omgeleid naar de hacker. Internet Explorer gaf geen waarschuwingen.
