Dipl.-Inform. Carsten Eilers

Die ab Werk eingestellten WPA-Schlüssel vieler WLAN-Router und Access
Points sind teilweise leicht erratbar. Das ist seit langem bekannt, z.B.
wurden 2008 die Algorithmen zum Ermitteln der Schlüssel von Thomson
SpeedTouch und BT Home Hub Routern
bekannt
und für Thomson-Router wurde auch ein entsprechendes Tool
veröffentlicht.

Ebenfalls bereits seit August 2010 ist
bekannt,
dass der WPA-Schlüssel des Speedport W 700V immer mit
“SP-” beginnt, darauf folgen neun hexadezimale Ziffern. Von
denen lassen sich fünf aus der ebenfalls voreingestellten SSID und der
MAC-Adresse der WLAN-Schnittstelle ableiten. Von den verbleibenden vier
Stellen sind zwei immer identisch, so dass ein Angreifer lediglich drei
Stellen des zwölfstelligen WPA-Schlüssels erraten muss, um
Zugriff auf das WLAN zu erlangen. Da hexadezimale Ziffern verwendet
werden, ergibt sich ein zu durchsuchender Schlüsselraum von
16³=4096 Schlüssel.

Die Studenten Stefan Viehböck und Manuel Müller haben im Sommer dieses
Jahres
herausgefunden,
dass sich der Schlüsselraum weiter eingrenzen lässt: Auch drei
Stellen der Seriennummer gehen in die Schlüsselerzeugung ein (damit
bleiben 1000 mögliche Schlüssel), und eine Stelle davon ist fast
immer eine 3. Damit bleiben nur noch 100 Möglichkeiten übrig.

Die beiden erzeugten aus der SSID, der MAC-Adresse und durch
Hochzählen der unbekannten Teile eine Liste möglicher
WPA-Schlüssel, die sie dann mit dem Tool
Speedpwn
durchprobierten, was sehr schnell zum Erfolg führt.

Laut Stefan Viehböck und Manuel Müller sind auch die
Speedport-Modelle W 303V (Typ A), W 500, W 502V, W 503V (Typ C) , W 504V, W
720V, W 722V (Typ B) und W 723V (Typ B) von dem Problem betroffen.

Die Telekom legt übrigens Wert darauf,
festzustellen,
dass das keine “Geräte von T-Online” sind. Das stimmt, denn
der Hersteller ist
Arcadyan,
und die Telekom hat nur ihren Namen drauf drucken lassen.
“Speedport” ist eine
eingetragene Marke
der Telekom, also sollte sie auch zu den Geräten stehen, auf die sie
ihre Marke schreiben lässt. In wie weit die Telekom für die
schlechte Vorkonfiguration zuständig ist, ist eine andere Frage.

Aber die Telekom steht nicht allein da, auch z.B. einige von Vodafone
vertriebene Router verwenden leicht erratbare WPA-Schlüssel als
Werkseinstellung.

Generell sollte das kein Problem sein, denn genauso wie
Default-Passwörter sollten auch voreingestellte Schlüssel sofort
nach Inbetriebnahme geändert werden.
Anscheinend
hat die Telekom aber zumindest im Handbuch des W700V eine Zeit lang
empfohlen, die Werkseinstellungen beizubehalten.

Sofern Sie die voreingestellten Schlüssel Ihrer Geräte bei der
Installation geändert haben, brauchen Sie sich um die Sicherheit der
voreingestellten Schlüssel keine Gedanken zu machen. Anders sieht es
mit ab Werk eingebauten Hintertüren aus, die immer mal wieder bekannt
werden:

Netzwerkhardware mit Hintertür

Der Support der Netzwerkhardware-Hersteller hat es nicht leicht: Immer
wieder kommen Anfragen von Kunden, die sich aus ihren Geräten
ausgesperrt haben, weil sie ihr Passwort vergessen haben. Was macht man in
so einem Fall oft? Man benutzt den zusätzlichen Zugang, der extra
für solche Fälle ab Werk eingebaut wurde. Sie denken, so etwas
gibt es doch wohl nicht? Und ob es das gibt, undokumentierte Zugänge
mit Default-Zugangsdaten sind gar nicht mal so selten. Z.B. Allied Telesis
rüstet alle Geräte damit aus. Das kam ans Licht, als das
entsprechende, eigentlich nur für den internen Gebrauch gedachte,
Support-Dokument
im Internet landete.
Immerhin war man sich der Gefahr so einer Hintertür bewusst und hat eine
entsprechende Warnung auf der Seite angebracht:

“PLEASE NOTE the Backdoor Passwords listed here are INTERNAL ONLY. Do
not give this information freely to any customer as this can compromise a
network.”

Die war natürlich in dem Moment überflüssig, in dem die
Seite aus dem Internet zugänglich war.

Einige Geräte verwenden feste Passwörter, bei anderen muss das
Passwort aus der MAC-Adresse erzeugt werden, wofür ein spezielles
Programm benötigt wird. Aber auch das war
frei zugänglich.

Allied Telesis versucht zwar, den Schaden zu begrenzen und Kopien aus dem
Netz nehmen zu lassen, aber das dürfte vergeblich sein. Was einmal im
Internet kursiert, lässt sich nicht mehr verheimlichen. Wobei die
Stellungnahme.
dazu einer gewissen Komik nicht entbehrt:

“We are working with those site administrators to remove those
materials and any attachments from the public domain.”

Man sollte davon ausgehen, dass diese Daten nicht
Public Domain
sind. Wären sie es, wäre das “Zurückholen” zumindest in den
USA wohl rechtlich problematisch.

Aber es ist auch eigentlich gar keine Hintertür:

“By definition this is not a ‘backdoor’ feature; it is a standard
password recovery process for a person who has physical access to the
device.”

Es ist sicher ein gewaltiger Unterschied, ob ein Angreifer über eine
Backdoor oder einen “password recovery process” eindringt. Ich sehe ihn
nur gerade nicht.

Ein ähnliches Problemen hatte übrigens HP im Dezember 2010 mit seinem
Netzwerkspeicher
StorageWorks P2000 G3
(nicht wie
anfangs vermutet
MSA2000 G3). Auch dort enthielt die Firmware ein nicht dokumentiertes
Administrator-Konto
mit den vorgegebenen Zugangsdaten “admin”/”!admin”. HP hat auf die
Entdeckung mit einem
Support-Dokument
reagiert, in der das Ändern des Passworts beschrieben wird. Das ganze muss
wiederholt werden, wenn das Gerät auf die Werkseinstellungen zurück
gesetzt wird, da dann auch wieder das Default-Passwort gesetzt wird.

Noch einen Schritt weiter gehen WLAN-Router, die der österreichische
Breitbandanbieter UPC an seine Kunden geliefert hat: Die bauten gleich ein
zweites, verstecktes WLAN mit immer gleicher SSID und WPA-Schlüssel
auf.
Über dieses WLAN ist z.B. der Zugriff auf die Konfigurationsoberfläche
nötig, außerdem kann auf Internet und lokales Netz
zugegriffen werden.
Die Schwachstelle wurde durch ein Firmware-Update behoben, dass
automatisch installiert wurde.

Es gibt im Internet eine Vielzahl von Quellen für Default-Passwörter, am
bekanntesten dürften die (seit einem Jahr nicht mehr aktualisierte)
Default Password List
und die
Default Passwords
auf CIRT.net (den
Nikto-Entwicklern)
sein.

Wenn es kein extraschwaches WPA-Passwort und keine Hintertür gibt,
hilft die Cloud beim Knacken von WPA-Passwörtern über
Wörterbuch-Angriffe:

WPA-Schlüssel in der Cloud knacken

Thomas Roth wollte auf der Konferenz “Black Hat DC 2011”
demonstrieren,
wie schnell sich WPA-Schlüssel mit einem Wörterbuch-Angriff in der Cloud
knacken lassen, konnte die zugehörige Software
“Cloud Cracking Suite”
aber aus rechtlichen Gründen
nicht veröffentlichen.
Immerhin wurden die theoretischen Grundlagen vorgestellt
(Paper und Präsentation).
Statt normaler Prozessoren verwendete er GPUs (Grafikprozessoren), die
ebenfalls über Amazons EC2 Clouddienst gemietet werden können. Auf der
“Black Hat Europe 2011” gab es den gleichen
Vortrag,
nur die Software fehlt weiterhin.

Das sind die Folgen deutscher Gründlichkeit: Der Hackerparagraph
verhindert, dass Sie als Gesetzestreuer Bürger die eigenen Passwörter mit
Tools testen können, die die Kriminellen ohne Bedenken gegen Sie
einsetzen. Denn denen kommt es auf einen übertretenen Paragraphen mehr
oder weniger nicht an.

Thomas Roths “Cloud Cracking Suite” ist aber nicht die einzige
Möglichkeit, WPA-Schlüssel in der “Cloud” zu knacken. Schon zuvor wurde der
WPA Cracker
veröffentlicht, der sich durch die Auswahl der Wörterbücher konfigurieren
lässt.

Fazit

Ein mit WPA2 geschütztes WLAN ist sicher, wenn beim Einsatz eines
Preshared Key ein ausreichend langer und nicht erratbarer Schlüssel
verwendet wird. Denn der einzige praktikable Angriff auf WPA2 mit PSK ist
ein Wörterbuchangriff, der bei unsicheren Schlüsseln sehr schnell
zum Erfolg führen kann.

Der einzige mögliche verbleibende Schwachpunkt ist dann eine
versteckte Hintertür.


Einige allgemeine Informationen zur WLAN-Sicherheit liefert ein Artikel im
ISC Diary:
Pros and Cons of “Secure” Wi-Fi Access.

In der nächsten Folge geht es um Angriffe über Hardware, z.B. USB- oder
FireWire-Geräte.

Carsten Eilers

Übersicht über alle Artikel zum Thema

WEP, WPA, WPA2 – WLAN-Schutz, aber richtig!

“Hole196” – Eine neue Schwachstelle in WPA2

DNS-Rebinding – Ein altbekannter Angriff kompromittiert Router

Von außen durch den Client in den Router

Ciscos “WPA Migration Mode” öffnet den Weg ins WLAN

NAT-Pinning, Angriffe auf Cisco-WLANs und ein Tool

Angriffe auf den WLAN-Client

BEAST – Ein neuer Angriff auf SSL und TLS 1.0

Konfigurationsänderungen am Router per UPnP – aus dem Internet

WLAN-Sicherheit – Stand der Dinge

WPS-Schwachstelle gefährdet WLANs