Z
Zocor
Hallo allemaal, daar zijn we weer. Dit keer wilde ik het hebben over alles wat met de beveiliging van uw draadloze thuis netwerk te maken heeft. Voor velen toch nog steeds een schimmig en gecompliceerd gebied, maar niet lang meer.
Surfen op internet is een privé zaak, we wisselen belangrijke en soms vertrouwelijke informatie uit voor tal van diensten, de meeste mensen willen natuurlijk zeker weten dat hun draadloze netwerk veilig is tegen het binnendringen van anderen dan zij zelf.
De WPS specificatie
WPS (WiFi Protected Setup) is ingevoerd om de ernstige veiligheidsproblemen van WEP (Wired Equivalent Privacy) op te lossen. WPS maakt gebruik van een PIN-code systeem, gericht op het vergroten van bruikbaarheid en veiligheid van draadloze netwerken en access points. Ironisch genoeg is onlangs gebleken dat WPS niet zo waterdicht is als het eerst leek, ondanks dat alle beproefde inbraakbeveiligingen en ontwikkelingen om de veiligheid te verbeteren nog steeds hun werk doen, heeft beveiligingsonderzoeker Stefan Viehbock, onlangs (in december 2011) een fout ontdekt in hoe WPS met PIN-codes omgaat, wat betekent dat aanvallers nog steeds met minimale inspanningen deze PIN-code kunnen achterhalen. In feite heeft hij een toolkit (Reaver genaamd) ontwikkeld om dit aan te tonen.
De fout ligt in het feit dat wanneer een PIN-code wordt geverifieerd deze moet worden verzonden tussen de inschrijver en de registrator (zeg maar de identificatie tussen computers op het netwerk en de router), de registrator rapporteert over het succesvol aankomen van losse stukjes informatie. In plaats van de PIN-code als geheel te verzenden wordt deze in deeltjes verzonden. Dit betekent dat in plaats van de hele reeks van acht tekens van de PIN-code te moeten raden, Reaver toolkit werkt door de tekenreeks in fasen op te bouwen om de volledige PIN-code te achterhalen, door (hypothetisch gezien) als een traditionele kluiskraker, te luisteren naar de 'klik' van ieder individueel pinnetje van het draaischijf mechanisme van de kluisdeur als het op de juiste plaats valt, om daaruit de juiste combinatie te kiezen.
De Reaver toolkit kan door testen van de deeltjes de acht tekens (WPS PIN-code) in een paar uur achterhalen, wat betekent dat het WPS systeem, juist bedacht om de WiFi verbinding veiliger te maken, eigenlijk kwetsbaarder is dan ooit. Deze backdoor die al bestaat sinds WPS werd geïmplementeerd wordt uitgebuit door Reaver, de mogelijkheid tot exploitatie is pas zeer recentelijk ontdekt. Tot nu toe lijken er weinig effectieve middelen te bestaan om de vooruitgang van Reaver te stoppen.
Het uitschakelen van WPS
Sommige routers hebben de mogelijkheid om de de WPS PIN-functie uit te schakelen, dit zal Reaver stoppen, maar toch laat uw router WEP wachtwoorden open voor aanvallen, dat was juist de zwakke plek in de router beveiliging die men met WPS trachtte te stoppen. Ongeacht of het al dan niet kunnen uitschakelen van WPS uw WiFi veiliger kan maken, zullen veel routers deze optie toestaan. Op het merendeel van de WiFi-routers is WPS een verplichte instelling.
Zelfs met WPA2? Ja met WPA2 kun je nog steeds gevaar lopen
Als uw router een vorm van WiFi encryptie ondersteunt die moeilijker te kraken is zoals WPA2, maar uw router is nog standaard ingesteld op WPS, loopt u natuurlijk nog steeds gevaar. Doordat Reaver de WPS PIN-code van een WiFi signaal kan kraken vervalt de noodzaak voor het kraken van WPA2 (of WEP) om illegaal toegang tot uw WiFi netwerk en daarmee uw router te krijgen.
Natuurlijk heeft u altijd de mogelijkheid het draadloze netwerk volledig uit te schakelen, en op basis van een CAT5 kabel met uw router te verbinden, maar deze oplossing lijkt een beetje op het kind met het badwater weg gooien. Ziet u het nog gebeuren een kluwen van kabels naar de verschillende apparaten in huis? Ik in ieder geval niet en ik denk de meesten van u ook niet.
De 3 Stikes Out methode
De laatste optie voor routers is een apparaat slot, dit slot grijpt in bij drie opeenvolgende mislukte pogingen om de juiste PIN-code in te geven, en dan (een in te stellen) blokkeer tijd in acht nemen voor er weer een poging gedaan kan worden de juiste PIN in te geven. Dit zal u nog steeds niet volledig beveiligen, maar het zal het WPS kraakproces veel langer laten duren en dus zullen hackers misschien minder geneigd zijn om door te zetten met het kraken van uw WiFi netwerk en in plaats daarvan zich gaan richten op een ander die ze niet na 'x' mislukte pogingen zal blokkeren.
Al met al, Reaver is een nieuwe toolkit die misbruik zal maken van een ernstig lek in de beveiliging van een router die de WPS beveiliging heeft ingeschakeld. Er lijken maar weinig manieren om de risico's direct te vermijden, dus tot er nieuwe antwoorden of updates voor de problemen van draadloze routers worden uitgebracht, is het verstandig om te controleren of in de router admin instellingen WPS volledig kan worden uitgeschakeld, of op zijn minst de router zo is in te stellen dat het de toegang blokkeert voor elk apparaat dat niet voldoet aan het geven van de juiste PIN-code binnen 3 of 4 pogingen.
OK, genoeg gezegd. Ik denk dat het verhaal vooral verteld waarom het nodig is uw draadloze netwerk goed te beveiligen, toch? Dus, hoe beveiligen we ons eigen draadloze netwerk? Hier volgen nog wat tips.
5 Tips om uw draadloze thuisnetwerk te beveiligen:
Tip 1: Maak een sterk router wachtwoord
Als u niet beschikt over een sterk router wachtwoord voor uw draadloze thuisnetwerk, en iemand het per bij toeval raad, dan bent u het haasje. Door toegang tot de router instellingen te krijgen, kan de aanvaller dingen doen die u zich niet kunt voorstellen. Het standaard wachtwoord (admin) mag zeker niet worden gebruikt, het eerste punt is dus dit wachtwoord voor een sterker wachtwoord te vervangen het is wellicht handig te weten dat u niet gebonden bent aan de 8 cijferige PIN, een uitstekende wachtwoord generator is hier te downloaden, deze generator kan de meest complexe wachtwoorden maken en is voor de thuis gebruiker gratis.
Tip 2: Verander je SSID
De SSID is de naam van uw thuisnetwerk. Als u probeert verbinding te maken met uw eigen draadloze thuisnetwerk, dan ziet u een aantal namen van de routers in uw omgeving, dat zijn de SSID namen van routers in de buurt. Maak nooit gebruik van namen, zoals uw adres, uw naam, of bijvoorbeeld het kenteken van uw auto. Alles wat u kan identificeren in uw SSID moet worden vermeden. U moet goed over een SSID-naam na denken, zodat een anonieme aanvaller niet in staat is vast te stellen dat de specifieke SSID-naam bij uw woning hoort.
Tip 3: Schakel netwerk encryptie in
Ieder verzonden en ontvangen data pakketje rond uw netwerk moet versleuteld worden. Dit kan worden geconfigureerd op de router instellingen pagina. Als u uw netwerk niet versleuteld, is er een mogelijkheid dat iemand een 'man in the middel' aanval in uw draadloze thuisnetwerk probeer uit te voeren. Gebruik WPA (Wireless Protected Access) of WPA2, indien mogelijk. Als uw router deze beveiligingsinstellingen niet heeft, kunt u in ieder geval gebruik maken van WEP (Wired Equivalent Privacy), hoewel een WEP sleutel vrij eenvoudig te kraken is, is het altijd nog beter als helemaal geen versleuteling.
Tip 4: Filteren op MAC-adres
Elk elektronisch apparaat wordt geleverd met een uniek MAC-adres. Filteren op MAC-adres kan ervoor zorgen dat alleen het apparaat waarvan u weet dat het verbinding mag maken met uw draadloze thuisnetwerk, verbinding kan maken. Het is echter ook mogelijk een MAC-adres te spoofen (vervalsen) en dus is filteren op MAC-adres slechts een beschermingslaag, maar geen volledige bescherming. U kunt het MAC-adres van uw PC en/of laptop of tablet achterhalen door naar de opdrachtprompt van het bewuste apparaat te gaan en "ipconfig /all" in te typen gevolgd door enter.
Tip 5: Verminder het draadloos thuisnetwerk signaal
Tenzij u verblijft in een herenhuis of grote eengezinswoning, heeft u geen super krachtig netwerksignaal nodig, tenzij u zo edelmoedig wilt zijn mensen om u heen een gratis draadloze netwerkverbinding te verschaffen. Hoewel u niet dienovereenkomstig de grootte van uw huis de signaalsterkte hoeft te verminderen, kunt in ieder geval wel iets doen aan de signaalsterkte. Routers worden tegenwoordig geleverd met een krachtige signaal sterkte en als u gewoon in een studio of appartement verblijft, kunt u de signaalsterkte waarschijnlijk verminderen door het veranderen van de instelling van bijvoorbeeld 802.11g naar 802.11b, waarbij 802.11b tenminste een signaalsterkte onderdrukking van 30db (-1000 X) heeft t.o.v. de 802.11g standaard.
Tot slot nog een laatste woord
U wilt waarschijnlijk niet eindigen als hierboven omschreven. Ik raad u dan ook sterk aan bovenstaande tips serieus te nemen als u uw draadloze thuis netwerk veilig wilt kunnen (blijven) gebruiken.
Een filmpje zegt meer dan duizend woorden, de consumentenbond heeft er ook al eens aandacht aan besteed in een filmpje. Voor veel praktijkgerichte mensen is het zien van een dergelijk filmpje vaak erg verhelderend, hierboven kan het soms veel te theoretisch zijn en verwarrend over komen voor de leek. Bij deze dus nog eens een filmpje met wat uitleg, doe er je voordeel mee.
Robert J. Klop, freelance docent micro-elektronica TU Delft
Blog @ https://www.zocorsweb.nl
Surfen op internet is een privé zaak, we wisselen belangrijke en soms vertrouwelijke informatie uit voor tal van diensten, de meeste mensen willen natuurlijk zeker weten dat hun draadloze netwerk veilig is tegen het binnendringen van anderen dan zij zelf.
De WPS specificatie
WPS (WiFi Protected Setup) is ingevoerd om de ernstige veiligheidsproblemen van WEP (Wired Equivalent Privacy) op te lossen. WPS maakt gebruik van een PIN-code systeem, gericht op het vergroten van bruikbaarheid en veiligheid van draadloze netwerken en access points. Ironisch genoeg is onlangs gebleken dat WPS niet zo waterdicht is als het eerst leek, ondanks dat alle beproefde inbraakbeveiligingen en ontwikkelingen om de veiligheid te verbeteren nog steeds hun werk doen, heeft beveiligingsonderzoeker Stefan Viehbock, onlangs (in december 2011) een fout ontdekt in hoe WPS met PIN-codes omgaat, wat betekent dat aanvallers nog steeds met minimale inspanningen deze PIN-code kunnen achterhalen. In feite heeft hij een toolkit (Reaver genaamd) ontwikkeld om dit aan te tonen.
De fout ligt in het feit dat wanneer een PIN-code wordt geverifieerd deze moet worden verzonden tussen de inschrijver en de registrator (zeg maar de identificatie tussen computers op het netwerk en de router), de registrator rapporteert over het succesvol aankomen van losse stukjes informatie. In plaats van de PIN-code als geheel te verzenden wordt deze in deeltjes verzonden. Dit betekent dat in plaats van de hele reeks van acht tekens van de PIN-code te moeten raden, Reaver toolkit werkt door de tekenreeks in fasen op te bouwen om de volledige PIN-code te achterhalen, door (hypothetisch gezien) als een traditionele kluiskraker, te luisteren naar de 'klik' van ieder individueel pinnetje van het draaischijf mechanisme van de kluisdeur als het op de juiste plaats valt, om daaruit de juiste combinatie te kiezen.
De Reaver toolkit kan door testen van de deeltjes de acht tekens (WPS PIN-code) in een paar uur achterhalen, wat betekent dat het WPS systeem, juist bedacht om de WiFi verbinding veiliger te maken, eigenlijk kwetsbaarder is dan ooit. Deze backdoor die al bestaat sinds WPS werd geïmplementeerd wordt uitgebuit door Reaver, de mogelijkheid tot exploitatie is pas zeer recentelijk ontdekt. Tot nu toe lijken er weinig effectieve middelen te bestaan om de vooruitgang van Reaver te stoppen.
Het uitschakelen van WPS
Sommige routers hebben de mogelijkheid om de de WPS PIN-functie uit te schakelen, dit zal Reaver stoppen, maar toch laat uw router WEP wachtwoorden open voor aanvallen, dat was juist de zwakke plek in de router beveiliging die men met WPS trachtte te stoppen. Ongeacht of het al dan niet kunnen uitschakelen van WPS uw WiFi veiliger kan maken, zullen veel routers deze optie toestaan. Op het merendeel van de WiFi-routers is WPS een verplichte instelling.
Zelfs met WPA2? Ja met WPA2 kun je nog steeds gevaar lopen
Als uw router een vorm van WiFi encryptie ondersteunt die moeilijker te kraken is zoals WPA2, maar uw router is nog standaard ingesteld op WPS, loopt u natuurlijk nog steeds gevaar. Doordat Reaver de WPS PIN-code van een WiFi signaal kan kraken vervalt de noodzaak voor het kraken van WPA2 (of WEP) om illegaal toegang tot uw WiFi netwerk en daarmee uw router te krijgen.
Natuurlijk heeft u altijd de mogelijkheid het draadloze netwerk volledig uit te schakelen, en op basis van een CAT5 kabel met uw router te verbinden, maar deze oplossing lijkt een beetje op het kind met het badwater weg gooien. Ziet u het nog gebeuren een kluwen van kabels naar de verschillende apparaten in huis? Ik in ieder geval niet en ik denk de meesten van u ook niet.
De 3 Stikes Out methode
De laatste optie voor routers is een apparaat slot, dit slot grijpt in bij drie opeenvolgende mislukte pogingen om de juiste PIN-code in te geven, en dan (een in te stellen) blokkeer tijd in acht nemen voor er weer een poging gedaan kan worden de juiste PIN in te geven. Dit zal u nog steeds niet volledig beveiligen, maar het zal het WPS kraakproces veel langer laten duren en dus zullen hackers misschien minder geneigd zijn om door te zetten met het kraken van uw WiFi netwerk en in plaats daarvan zich gaan richten op een ander die ze niet na 'x' mislukte pogingen zal blokkeren.
Al met al, Reaver is een nieuwe toolkit die misbruik zal maken van een ernstig lek in de beveiliging van een router die de WPS beveiliging heeft ingeschakeld. Er lijken maar weinig manieren om de risico's direct te vermijden, dus tot er nieuwe antwoorden of updates voor de problemen van draadloze routers worden uitgebracht, is het verstandig om te controleren of in de router admin instellingen WPS volledig kan worden uitgeschakeld, of op zijn minst de router zo is in te stellen dat het de toegang blokkeert voor elk apparaat dat niet voldoet aan het geven van de juiste PIN-code binnen 3 of 4 pogingen.
OK, genoeg gezegd. Ik denk dat het verhaal vooral verteld waarom het nodig is uw draadloze netwerk goed te beveiligen, toch? Dus, hoe beveiligen we ons eigen draadloze netwerk? Hier volgen nog wat tips.
5 Tips om uw draadloze thuisnetwerk te beveiligen:
Tip 1: Maak een sterk router wachtwoord
Als u niet beschikt over een sterk router wachtwoord voor uw draadloze thuisnetwerk, en iemand het per bij toeval raad, dan bent u het haasje. Door toegang tot de router instellingen te krijgen, kan de aanvaller dingen doen die u zich niet kunt voorstellen. Het standaard wachtwoord (admin) mag zeker niet worden gebruikt, het eerste punt is dus dit wachtwoord voor een sterker wachtwoord te vervangen het is wellicht handig te weten dat u niet gebonden bent aan de 8 cijferige PIN, een uitstekende wachtwoord generator is hier te downloaden, deze generator kan de meest complexe wachtwoorden maken en is voor de thuis gebruiker gratis.
Tip 2: Verander je SSID
De SSID is de naam van uw thuisnetwerk. Als u probeert verbinding te maken met uw eigen draadloze thuisnetwerk, dan ziet u een aantal namen van de routers in uw omgeving, dat zijn de SSID namen van routers in de buurt. Maak nooit gebruik van namen, zoals uw adres, uw naam, of bijvoorbeeld het kenteken van uw auto. Alles wat u kan identificeren in uw SSID moet worden vermeden. U moet goed over een SSID-naam na denken, zodat een anonieme aanvaller niet in staat is vast te stellen dat de specifieke SSID-naam bij uw woning hoort.
Tip 3: Schakel netwerk encryptie in
Ieder verzonden en ontvangen data pakketje rond uw netwerk moet versleuteld worden. Dit kan worden geconfigureerd op de router instellingen pagina. Als u uw netwerk niet versleuteld, is er een mogelijkheid dat iemand een 'man in the middel' aanval in uw draadloze thuisnetwerk probeer uit te voeren. Gebruik WPA (Wireless Protected Access) of WPA2, indien mogelijk. Als uw router deze beveiligingsinstellingen niet heeft, kunt u in ieder geval gebruik maken van WEP (Wired Equivalent Privacy), hoewel een WEP sleutel vrij eenvoudig te kraken is, is het altijd nog beter als helemaal geen versleuteling.
Tip 4: Filteren op MAC-adres
Elk elektronisch apparaat wordt geleverd met een uniek MAC-adres. Filteren op MAC-adres kan ervoor zorgen dat alleen het apparaat waarvan u weet dat het verbinding mag maken met uw draadloze thuisnetwerk, verbinding kan maken. Het is echter ook mogelijk een MAC-adres te spoofen (vervalsen) en dus is filteren op MAC-adres slechts een beschermingslaag, maar geen volledige bescherming. U kunt het MAC-adres van uw PC en/of laptop of tablet achterhalen door naar de opdrachtprompt van het bewuste apparaat te gaan en "ipconfig /all" in te typen gevolgd door enter.
Tip 5: Verminder het draadloos thuisnetwerk signaal
Tenzij u verblijft in een herenhuis of grote eengezinswoning, heeft u geen super krachtig netwerksignaal nodig, tenzij u zo edelmoedig wilt zijn mensen om u heen een gratis draadloze netwerkverbinding te verschaffen. Hoewel u niet dienovereenkomstig de grootte van uw huis de signaalsterkte hoeft te verminderen, kunt in ieder geval wel iets doen aan de signaalsterkte. Routers worden tegenwoordig geleverd met een krachtige signaal sterkte en als u gewoon in een studio of appartement verblijft, kunt u de signaalsterkte waarschijnlijk verminderen door het veranderen van de instelling van bijvoorbeeld 802.11g naar 802.11b, waarbij 802.11b tenminste een signaalsterkte onderdrukking van 30db (-1000 X) heeft t.o.v. de 802.11g standaard.
Tot slot nog een laatste woord
U wilt waarschijnlijk niet eindigen als hierboven omschreven. Ik raad u dan ook sterk aan bovenstaande tips serieus te nemen als u uw draadloze thuis netwerk veilig wilt kunnen (blijven) gebruiken.
Een filmpje zegt meer dan duizend woorden, de consumentenbond heeft er ook al eens aandacht aan besteed in een filmpje. Voor veel praktijkgerichte mensen is het zien van een dergelijk filmpje vaak erg verhelderend, hierboven kan het soms veel te theoretisch zijn en verwarrend over komen voor de leek. Bij deze dus nog eens een filmpje met wat uitleg, doe er je voordeel mee.
[youtube]https://www.youtube.com/watch?v=g8CYxLJru48[/youtube]
Nou dat was ie weer voor deze keer, op of aanmerkingen zie ik met belangstelling te gemoed. Verder wens ik iedereen een plezierig en vooral veilig thuisnetwerk toe. Robert J. Klop, freelance docent micro-elektronica TU Delft
Blog @ https://www.zocorsweb.nl
