Netzwerksicherheit - Frage zu Fingerprint

[Der_Haase]

Zu aller erst:
Ich weis nicht genau wo diese Frage am besten aufgehoben ist, daher habe ich es mal unter WSNP gepostet. Ein Mod darf das gerne verschieben...

Ich sitze gerade mal wieder in einer Uni und bin via Eduroam im Netz.
Beim einrichten kam wieder die übliche "Soll die Verbindung trotzdem Hergestellt werden"-Warnung wegen unsigniertem Zertifikat (macht ja leider irgendwie immernoch keine Uni).
Da empfiehlt es sich ja, den (ich glaube SHA-1 ?) Fingerabdruck des Servers anzuschauen der angezeigt wird um diesen auf Echtheit zu überprüfen indem man ihn mit einer Referenzvorgabe vergleicht, damit man ausschließen kann sich gerade mit einem Honeypot zu verbinden. In dem Fall hat die entsprechende Uni natürlich nirgendwo eine Tabelle mit den Keys zum vergleichen.
Ich würde so etwas ja begrüßen (andere Unis machen das ja auch) aber dann habe ich mir überlegt ob das überhaupt etwas bringt, was mich nun zu meiner eigentlichen Frage führt:

Durch den Fingerprint will ich ja sicher stellen, dass ich wirklich mit dem echten Netz verbunden bin und nicht einfach mit einem Honeypot derselben SSID (welche dann z.B. meine Uni-Anmeldeinformationen abgreifen könnte und/oder brav man in the middle spielt). Allerdings ist nun meine Frage:
Ist es auch möglich den Fingerprint zu faken?
D.h. wenn die Uni eine liste mit den korrekten Fingerprints veröffentlicht somit jeder Honeypot die selbige übernehmen kann.

Mein Wissen in Netzwerksicherheit ist leider sehr begrenzt und die google Suche brachte mir diesbezüglich auch nichts.
Über die unsicherheit von komplett offenen Hotspots weis ich bescheid, aber zu diesem Fall habe ich nun noch nichts gehört. Ist sowas technisch machbar? Oder resultiert ein solcher Honeypot (mit gleicher SSID und gleicher Verschlüsselung [bei eduroam WPA2 Enterprise]) zwangsläufig in einem anderen Fingerprint?


merci
Der_Haase

 

[Gummiente]

Durch den Fingerprint will ich ja sicher stellen, dass ich wirklich mit dem echten Netz verbunden bin und nicht einfach mit einem Honeypot derselben SSID (welche dann z.B. meine Uni-Anmeldeinformationen abgreifen könnte und/oder brav man in the middle spielt). Allerdings ist nun meine Frage:
Ist es auch möglich den Fingerprint zu faken?
D.h. wenn die Uni eine liste mit den korrekten Fingerprints veröffentlicht somit jeder Honeypot die selbige übernehmen kann.

Mein gesunder Menschenverstand sagt:

Möglich? Ja. NSA lässt 1.000.000 Jahre rechnen weil sie es versäumt hat die Standards zu verwässern oder rechnet zwei Minuten weil sie eine Hintertür installieren konnte.

Praktisch? Nein. Das wäre ja genauso wie Passwörter ins Internet zu stellen in der Hoffnung es finde sich niemand der Google bedienen kann.

Ich persönlich verlasse mich, vielleicht fahrlässigerweise (????) darauf, immer mit dem selben Punkt verbunden zu sein wenn eine Anwendung nicht wegen abweichendem Fingerprint Alarm schlägt.

In der post Snowden Ära mit beinahe täglichen openSSL Updates sollte man sich über nichts mehr wundern aber ich verlasse mich darauf, dass die Fingerprinterei ein gangbarer weg ist weil es keine Meldungswelle in der Presse gab so wie z.B. bei MD5 Kollision.

 

[Der_Haase]

Danke für die Antwort .
Ich glaube nur ich habe mich falsch ausgedrückt. Dass so gut wie alles knackbar ist wenn man nur genug Ressourcen dafür aufbringt (NSA Affaire) weis ich schon, mir ging es eher um die Frage ob dies für einen "Wald und Wiesen"-Hacker möglich ist.

z.B. könnte selbst ich mit meinem ThinkPad via Aircrack einen honeypot erstellen, die Frage ist eben wie hoch wäre der Aufwand hierzu einen gefälschten Fingerprint mitzuliefern.

Wenn ich deine Antwort also richtig verstehe, ist es tendenziell eher schwer bis (für normalsterbliche) unmöglich den Fingerprint zu fälschen/kopieren? D.h. wenn der Fingerprint richtig ist, kann man also mit sehr hoher Wahrscheinlichkeit davon ausgehen das es sich um den echten Accespoint handelt?