Zitat von N-Traxx

Wenn schon eine Brut-Force-Attacke möglich ist, würde ich WPA2 nicht als sicher betrachten, somit kann ich kaum von einer Falschmeldung sprechen.

naja, das "Erraten" des Passworts war schon immer möglich, also war auch WPA2 schon immer "geknackt" wenn man deine Definition anlegt. Es geht jetzt halt schneller. Bei einem sicheren Passwort braucht man keine 142.200 Jahre mehr, sondern nur 142 Jahre. Wow!

Nein, das ist so nicht richtig. Es gibt genügend sehr versierte Nutzer, die über eine sehr leistungsstarke Hardware verfügen. So ein PC kann durchaus Deinem Nachbar gehören und Du weisst nichts davon. Man brauch zum Hacken nicht unbedingt einen Kleintransporter. Es würde schon ein Dualprozessorrechner mit 2-4 CUDA/Stream Grafikkarten reichen, der beim Nachbar steht. Davon würde der Angegriffene vermutlich kaum etwas merken, wen die Maschine hinter der Wohnungswand etliche Millionen Paswortkombinationen in der Sekunde durchprobiert.

Ausserdem kann man auch mehrere PCs zu einem Cluster für solche Berechnungen verbinden.
Kabellose Netzwerke sollten grundsätzlich solche Brute Force Angriffe nicht erlauben.

Bei dieser Warnmeldung liegt allerdings auch die Absicht darin, die User dazu zu bewegen, ihre WLAN-Passwörter zu prüfen und zu verbessern, damit man Unannehmlichkeiten vermeiden kann (siehe Filesharing-Bereich / Abmahnungen).

Zitat von sarazena

Und legt das Passwort nicht in einem beliebigen File ab das möglicherweise auch noch password.txt heisst. Gebt euch etwas Mühe - es gibt eine Reihe an Tools :liebegru:

Muss ich doch gleich mal aufgreifen.

Nutze schon länger jetzt KeePass als Portable auf meinem USB Stick.

Nur ein Tipp für alle, die immer noch ganz einfache Passwörter benutzen

Zitat von N-Traxx

Nein, das ist so nicht richtig. Es gibt genügend sehr versierte Nutzer, die über eine sehr leistungsstarke Hardware verfügen. So ein PC kann durchaus Deinem Nachbar gehören und Du weisst nichts davon. Man brauch zum Hacken nicht unbedingt einen Kleintransporter. Es würde schon ein Dualprozessorrechner mit 2-4 CUDA/Stream Grafikkarten reichen, der beim Nachbar steht. Davon würde der Angegriffene vermutlich kaum etwas merken, wen die Maschine hinter der Wohnungswand etliche Millionen Paswortkombinationen in der Sekunde durchprobiert.

Ausserdem kann man auch mehrere PCs zu einem Cluster für solche Berechnungen verbinden.
Kabellose Netzwerke sollten grundsätzlich solche Brute Force Angriffe nicht erlauben.

dann rechne mir bitte mal vor, wie schnell das jetzt tatsächlich gehen soll.

bei SC Magazine hat sich ein Nutzer mal die Mühe gemacht:

Brute forcing a 256 bits cryptographic code without any known flaws (like WPA2 AES) means that they should test at worst 2^256 keys and average 2^255 (~ 10^76) keys.
Let’s say that they are using a new nVidia GPU with 1000 stream processors running at 10 GHz
That is 10^13 instructions per second
Now with their magical software they can check 1 key per instruction.
So, they can check 10^13 keys per second
Even with 1 billion of those GPU (10^9) they can "only" calculate 10^22 key per second (.
At that rate, they need 10^51 seconds which is 10^43 years.

As a reference, the estimate age of the universe is 10^14 years.

demnach würde man selbst mit einer Milliarde Grafikkarten noch länger rechnen, als das Universum alt ist.

Bei kurzen und einfachen Passwörtern geht es schnell genug. Hier liegt die Problematik darin, dass es etliche User gibt, die sich WLAN-Router kaufen und nichtmal das Standard-WLAN-Passwort ändern. Um das zu knacken, bedarf es nicht ein Mal einer CUDA/STREAM Grafikkarte.
Mehrfacheingaben von Passwörtern sollten grundsätzlich nicht möglich sein!

Übrigens, die Rechenpower wächst immer weiter.
Die 1000-Shader-Grafikkarte, die dort verwendet wurde, gehört bereits zum alten Eisen.
Eine HD5870 hat z.B. 1600 Rechenwerke. Eine HD5870 X2 mit 3200 Shadern dürfte bald folgen.
Brute Force Software dürfte in den nächsten Monaten noch weiter optimiert werden.

Grundsätzlich sollte man hier also beachten, das WLANs, die über einfache Passwörter gesichert sind, einfach nicht mehr sicher sind.

Was soll ich Dir hier also noch berechnen?
Die Passwortmehrfacheingabe bei WPA/WPA2 ist in meinen Augen eine erhebliche Sicherheitslücke!
Die wenigsten User verwenden lange und komplizierte Passwörter. Das ist und bleibt eine Tatsache.

Dieser Thread soll niemanden in Panik versetzen, sondern zum Nachdenken bewegen und auch dazu, seine WLAN-Einstellungen und Passwörter zu überprüfen.

Gruß, Sebastian.

ok, dein Standpunkt wurde aber nicht aus dem Beitrag klar.

Schon das Wort "Hack" in der Überschrift ist eigentlich falsch, weil Raten kein Ausnutzen einer Sicherheitslücke ist. Raten ging schon immer, man kann jetzt schneller raten, das ist eigentlich die ganze Aussage der Meldung.

und schwache Passwörter waren schon immer schwach, auch das hat sich nicht geändert.

Dir ist aber darin zuzustimmen, das "1029384756" vor drei Jahren noch deutlich länger gehalten hätte als heute.

Zitat von gntl

Schon das Wort "Hack" in der Überschrift ist eigentlich falsch, weil Raten kein Ausnutzen einer Sicherheitslücke ist. Raten ging schon immer, man kann jetzt schneller raten, das ist eigentlich die ganze Aussage der Meldung.

Brute Force Attacken gehören schon seit geraumer Zeit in der Hacker-Szene zu den grundlegenden Werkzeugen, um Sicherheitssysteme zu umgehen, daher ist die Überschrift hier keinesfalls falsch oder auch überzogen. Wie ich schon mal erwähnt hab, sollte WPA/WPA2 keine Mehrfacheingaben erlauben, was die Problematik des Brute Force weitgehend entschärfen würde.
Wird ein Passwort mit so einer Attacke "errechnet", so gilt das System als gehackt. Der Angreifer hätte Vollzugriff auf die komplette WLAN-Hardware und könnte sonst was anstellen.
Bei schwachen Passwörtern ist das heutzutage kein Problem mehr.

Wer das nicht glaubt, der kann sich das mal hier etwas veranschaulichen.
Die Angaben sind leider nicht ganz aktuell, denn der Verfasser berücksichtigt keine Sonderzeichen in den Passwörtern und die Rechenleistung heutiger PCs fällt um einiges höher aus. Für eine Veranschaulichung der Brute Force Problematik reicht das aber ganz gut aus.

Mit der Cuda-Methode aus dem genannten Bericht würde man z.B. für ein 10-stelliges Passwort bestehend aus Groß- und Kleinbuchstaben ca. 4,015 Stunden brauchen.

Hab den Fred mal überflogen und muß sagen das alle die ein kurzes und vielleicht noch gut zu erratendes Passwort verwenden drüber nachdenken sollten.

Ich darf seit etwa 2 Wochen eine Fritzbox 7270 mein eigen nennen. Hauptsächlich um iPhone und iPod über wi-fi nutzen zu können.

Eine WPa2 256bit Verschlüsselung war schon ab Werk eingestellt. Allerdings hab ich direkt das Passwort geändert und eins verwendet das sich aus Großbuchstaben/Kleinbuchstaben/Zahlen/Sonderzeichen zusammen setzt. Zudem die volle Schlüssellänge von 63 Stellen genutzt.

An dem Passwort dürften sich die bösen Buben selbst mit aktueller Clustertechnologie doch noch recht lang die Zähne ausbeissen.

Fakt ist aber leider das Ottonormalverbraucher sich ne Box mit wi-fi hohlt und dann nicht ausreichend informiert was die Sicherheit betrift und wie man diese bestmöglich einstellt.

Bei einem Passwort dieser Komplexität und Länge brauchst Du Dir vorerst keine Sorgen machen.

Anbei angemerkt, wird bei Brute Force nicht der Verschlüsselungsalgorithmus angegriffen, sondern direkt das Passwort. Hier spielt also die Art der Verschlüsselung keine Rolle.

Ich möchte hier nochmal klarstellen dass der Router grundsätzlich keine Möglichkeit hat eine BruteForce bzw. Wörterbuchattacke zu verhindern.
Der angreifende Computer zeichnet nämlich vorher den "Handshake" mit auf, also die Sequenz mit der sich ein anderer Computer beim Router einloggt. Notfalls erzwingt mann einfach mittels injections einen re-connect.
Und hinterher wird einfach nurnoch die aufgezeichnete-Sequenz entschlüsselt.

Im übrigen sind die Standardpasswörter meist für jeden Router einzeln zufällig generierte Zahlen- und Buchstaben-Kombinationen und somit sicherer als die meisten Passwörter die sich die User so ausdenken.

Zitat von spyboot

Im übrigen sind die Standardpasswörter meist für jeden Router einzeln zufällig generierte Zahlen- und Buchstaben-Kombinationen und somit sicherer als die meisten Passwörter die sich die User so ausdenken.

Z.B. bei AVM sind es reine Zahlencodes - für die es in Hackerkreisen auch noch Codelisten gibt ... wie für die meisten anderen Hersteller mit "ab Werk" Verschlüsselung.

Außerdem gibt es Heute auch Wlan-Router die (wahlweise) auf eine 802.1X-Autorisierung setzen, zur Verschlüsselung wird dann eine VPN-Verbindung zu einem Server aufgebaut

Es gibt eine erneute Lücke in Zusammenhang mit den aufgeklebten Pins auf Routern, welche zur einfacheren Authentifizierung dienen soll eigentlich:

Massive WLAN-Sicherheitslücke | heise Security
Nicht alle Router anfällig für WPS-Lücke | heise Netze