Frintzbox/W-Lan sicherer machen??

[koeterplage]

Moin,

ich wohne in einem Studentenwohnhaus mit ca. 300 Wohnungen. Scheinbar sind hier ein paar Kasperköpfe bei, die gerne mal fremde W-Lan Netzwerke infiltrieren wollen. In der Historie meiner Fritzbox 7390 ist zu sehen daß praktisch durchgehend zwei MAC Adressen versuchen im 3-4 Minuten Abstand sich einzuloggen. Ich gehe davon aus, daß irgendein Script läuft daß ständig neue Passwörter generiert.

Wie auch immer, jedefalls würde ich mein Netzwerk gerne etwas besser absichern und mich hier mal erkundigen was es für Möglichkeiten gibt, gerne umsonst bis kostengünstig

Grüße...

 

[Lokheizer]

Warum schaltest du nicht die Mac-Adressen-Filterung ein und gibst die Mac-Adressen deiner Geräte ein? Dann können nur mehr diese in dein WLAN, alles andere wird ausgesperrt.

 

[cuco]

Wenn die Jungs wissen, wie sie Passwörter knacken, dann ist eine Mac-Adressen-Filterung absolut hinfällig. Einmal scannen und man hat die Mac-Adressen deiner Geräte, dann ein kurzer Befehl und sie haben die gleiche Mac. Schon ist das ganze hinfällig. Genau so sinnfrei ist es übrigens, sein WLAN zu "verstecken" in dem man das Senden der SSID abstellt. Statt "Hallo, hier ist das WLAN 'abc'" sendet dein Router dann "Hallo, hier ist das WLAN 'abc', aber ich verrate euch nicht, wie mein WLAN heißt". Jeder WLAN-Scanner findet also trotzdem deinen Netzwerknamen.

Allerdings ist dein WLAN sicher, so lange deine Sicherheitseinstellungen OK sind. Ich empfehle: auf keinen Fall WEP nutzen (neuere Firmwares scheinen das gar nicht mehr anzubieten), WPA2(CCMP) ist noch einen Tick sicherer als WPA+WPA2 zu nutzen und dann ein Netzwerkschlüssel mit mindestens 12 Zeichen. Am besten auch nicht den originalen Schlüssel von der Unterseite des Routers benutzen, sondern einen eigenen definieren. Zum Thema sichere Passwörter sag ich mal nix, das bekommst du schon hin

Wenn dann immer noch laufend jemand versucht, drauf zuzugreifen: Lass ihn doch. Er kommt eh nicht rein

Ach ja: Heißt dein WLAN vielleicht genau so wie das eines anderen? Eventuell einfach noch der Standardname ("Fritz!Box 7390")? Dann ändere den Namen/die SSID mal. Vielleicht versucht sich da auch nur ein Gerät einzuloggen, weil dein Netzwerk den gleichen Namen hat und es das nicht unterscheiden kann.

 

[-=SeB=-]

Sendeleistung so weit wie möglich reduzieren und falls möglich auf 5GHz umstellen. 5GHz kommt auf Grund der Wellenlänge kaum durch mehrere Wände durch.
Je geringer der Radius um den Router desto näher muß der "Kasperkopf" kommen. Normalerweise werden dann leichtere Ziele gewählt.

MfG, Sebastian

 

[koeterplage]

Warum schaltest du nicht die Mac-Adressen-Filterung ein und gibst die Mac-Adressen deiner Geräte ein? Dann können nur mehr diese in dein WLAN, alles andere wird ausgesperrt.

Leider weiß ich aus meinem Studium (Wirtschaftsinformatik) ansatzweise, dass es garnicht mal so schwer ist Passwörter zu knacken und noch einfacher WLan Netzwerke zu "infiltrieren" und Daten abzufangen. Eine Mac-Adresse zu ändern ist wahrlich auch keine Zauberkunst.
Bisher wurde das Thema "IT-Sicherheit" bei mir allerdings nur kurz angeschnitten, daher bin ich da noch relativ hilflos was Lösungen angeht.

Allerdings ist dein WLAN sicher, so lange deine Sicherheitseinstellungen OK sind. Ich empfehle: auf keinen Fall WEP nutzen (neuere Firmwares scheinen das gar nicht mehr anzubieten), WPA2(CCMP) ist noch einen Tick sicherer als WPA+WPA2 zu nutzen und dann ein Netzwerkschlüssel mit mindestens 12 Zeichen. Am besten auch nicht den originalen Schlüssel von der Unterseite des Routers benutzen, sondern einen eigenen definieren. Zum Thema sichere Passwörter sag ich mal nix, das bekommst du schon hin

OK, daß WPA2(CCMP) einen Tick sicherer als WPA+WPA2 ist, wusste ich noch nicht, wird dann geändert
Netzwerkschlüssel zu ändern ist immer das Zweite was ich mache, ich habe irgendwas über 30 Zeichen.

Wenn dann immer noch laufend jemand versucht, drauf zuzugreifen: Lass ihn doch. Er kommt eh nicht rein

Ok, dann bin ich mit meinen Einstellungen wohl schon nicht som verkehrt. Meine Sorge ist halt, dass das Passwort ja irgendwann geknackt ist, dauert mit einem leistungsfähigen Desktoprechner zwar ein paar "Tage" aber irgendwann??

Ach ja: Heißt dein WLAN vielleicht genau so wie das eines anderen? Eventuell einfach noch der Standardname ("Fritz!Box 7390")? Dann ändere den Namen/die SSID mal. Vielleicht versucht sich da auch nur ein Gerät einzuloggen, weil dein Netzwerk den gleichen Namen hat und es das nicht unterscheiden kann.

Nein, die Umbenennung ist das Erste was ich mache, der Name ist zweifelsfrei nicht verwechselbar.

Sendeleistung so weit wie möglich reduzieren und falls möglich auf 5GHz umstellen. 5GHz kommt auf Grund der Wellenlänge kaum durch mehrere Wände durch.
Je geringer der Radius um den Router desto näher muß der "Kasperkopf" kommen. Normalerweise werden dann leichtere Ziele gewählt.

MfG, Sebastian

Auch beides schon gemacht.
Was die Sendeleistung angeht zumindest so weit wie es die Fritzbox-Software zulässt. Gibt es da noch andere Mittel und Wege? Wirklich viel Sendeleistung bräuchte ich wohl nicht in der 1Zimmer Butze :huh:

 

[pepun]

Ok, dann bin ich mit meinen Einstellungen wohl schon nicht som verkehrt. Meine Sorge ist halt, dass das Passwort ja irgendwann geknackt ist, dauert mit einem leistungsfähigen Desktoprechner zwar ein paar "Tage" aber irgendwann??

Hallo,

diese Sorge trieb mich auch um. U.a. hier: http://www.lockdown.co.uk/?pg=combi und mit den Suchwörtern "Bruteforce Speed" bei Google gibt es aber für hinreichend lange Passwörter noch immer eine gewisse Sicherheit.

Grüße, pepun.

 

[martina]

Ich glaube nicht, daß die "Anmelde-Versuche" durch ein Hack-Versuch mit Skripts sind. Wahrscheinlich sind das nur Geräte, die selbständig versuchen, sich in freie WLANs anzumelden, was nicht klappt, weil Dein WLAN passwortgesichert ist
Bei einem Hack wären die minutenlangen Pausen zwischen zwei Versuchen ziemlich ungewöhnlich.

 

[hha81667]

Ich glaube nicht, daß die "Anmelde-Versuche" durch ein Hack-Versuch mit Skripts sind. Wahrscheinlich sind das nur Geräte, die selbständig versuchen, sich in freie WLANs anzumelden, was nicht klappt, weil Dein WLAN passwortgesichert ist
Bei einem Hack wären die minutenlangen Pausen zwischen zwei Versuchen ziemlich ungewöhnlich.

Jupp, sehe ich genauso. Hatten wir auch und als ich die SSID geändert und dannach versteckt hatte, war es dann auch vorbei mit den Anmeldeversuchen.

Ansonsten habe ich einen WLAN Schlüssel mit über 50 Zeichen, natürlich WPS deaktiviert und 5GHz.

 

[thom53281]

Auf jeden Fall WPS abschalten, sofern es aktiviert ist. WPS ist die Unsicherheit in Person. Die PIN-Methode von WPS ist imho auf gar keinen Fall zu empfehlen, da diese durch die kurze/einfache PIN viel zu leicht geknackt werden kann. Die Pushbutton-Methode gilt zwar derzeit als sicher, dennoch sind schon oft genug Router aufgefallen, bei denen WPS nicht sicher implementiert war (z. B. Speedport W921). Wer ein WLAN-Netzwerk mit normaler WPA2-Verschlüsselung anbinden kann, der braucht kein WPS. Wer das nicht kann, der sollte kein WLAN benutzen oder es sich von einer erfahrenen Person einrichten lassen, imho.

Auch sollte der WLAN-Schlüssel regelmäßig geändert werden (z. B. jährlich/halbjährlich). Sollte wirklich jemand unbefugtes den Netzwerkschlüssel mal erhalten haben, sperrt man ihn zumindest nach einer bestimmten Zeit automatisch wieder aus.

 

[cuco]

Leider weiß ich aus meinem Studium (Wirtschaftsinformatik) ansatzweise, dass es garnicht mal so schwer ist Passwörter zu knacken und noch einfacher WLan Netzwerke zu "infiltrieren" und Daten abzufangen.

Das würde ich nicht so sehen. Eher: Kommt drauf an. WLAN Daten abzufangen ist wirklich einfach, daraus den Key zu bekommen und Klartext-Daten zu erhalten aber nicht. So lange man einen sicheren Standard (WPA2 only) und ein sicheres Passwort einsetzt.

Netzwerkschlüssel zu ändern ist immer das Zweite was ich mache, ich habe irgendwas über 30 Zeichen.
[...]
Meine Sorge ist halt, dass das Passwort ja irgendwann geknackt ist, dauert mit einem leistungsfähigen Desktoprechner zwar ein paar "Tage" aber irgendwann??

WPA2 mit 30 Zeichen? Gut, wir sprechen uns in ein paar Hundert Jahren wieder, wenn dein WLAN geknackt ist.

Auf jeden Fall WPS abschalten, sofern es aktiviert ist. WPS ist die Unsicherheit in Person. Die PIN-Methode von WPS ist imho auf gar keinen Fall zu empfehlen, da diese durch die kurze/einfache PIN viel zu leicht geknackt werden kann. Die Pushbutton-Methode gilt zwar derzeit als sicher, dennoch sind schon oft genug Router aufgefallen, bei denen WPS nicht sicher implementiert war (z. B. Speedport W921). Wer ein WLAN-Netzwerk mit normaler WPA2-Verschlüsselung anbinden kann, der braucht kein WPS. Wer das nicht kann, der sollte kein WLAN benutzen oder es sich von einer erfahrenen Person einrichten lassen, imho.

So weit ich weiß, war bisher nur WPS PIN anfällig, noch nie die Push-Button-Methode. Auch nicht beim Speedport W921, da war das Problem, dass man WPS PIN nicht abstellen konnte und noch eine Default-PIN hatte.

Wer paranoid ist, kann natürlich WPS abschalten - gegen WPS Push-Button spricht aber nach aktuellem Stand nichts

 

[thom53281]

Nunja, das kann sein. Liegt ja jetzt auch schon wieder ein paar Jährchen zurück, das mit der Lücke und ansonsten hab ich bisher versucht, um diesen Router einen möglichst großen Bogen zu machen...

Dennoch, wenn man sowieso nur Geräte ganz "klassisch" an den Router anbindet, kann das Abschalten von WPS nur Vorteile bringen.

 

[koeterplage]

Dann scheint es bei mir ja schon relativ sicher zu sein :-D
Ich war mir zwar in etwas bewusst wie lange es dauern kann bis ALLE Zeichenkombinationen durch sind, es kann aber eben auch schbeller gehen. Aber die Aussagen beruhigen mich schonmal.

 

[buddabrod]

Ich würde einfach alle 63 Zeichen ausnutzen - insbesondere, wenn du nur selten Geräte neu anmeldest, wobei man da ja mittelst USB Stick einen einfachen Key Austausch machen kann.

Unter Linux erhält man beispielsweise so einen recht sicheren Schlüssel:

pwgen -sny 63
J~[nJ^4wFx?9HZ;?j=g3L`kvp\^=Cn~Xp|XMJ6M+Ik?TAl*8<k<Uq)@&x#h$Ow7

 

[cuco]

63-Zeichen lange Keys habe ich auch ne Weile gehabt. In Zeiten vor WPS. Aber auf Geräten, denen man den Key nicht per USB geben kann, macht das definitiv keinen Spaß, das Ding dann tippen zu müssen Apple-Geräte können glaube ich auch immer noch kein WPS und auf ein iPhone gibt man den Schlüssel auch schwer per WLAN. Dann hilft nur tippen...

 

[martina]

Ich habe mir als gut merkbare, aber nicht gut errat- oder berechenbare Passworte einfache deutsche Sätze mit falscher Grammatik ausgedacht, in der Art von "DasWaisNimand"

 

[koeterplage]

Ich mache das ähnlich, nur mit Sonderzeichen ala
"M31ne 0ma_fÄhrt 1m HÜhn3rstall M0t0rrad"