Dipl.-Inform. Carsten Eilers

Die ab Werk eingestellten WPA-Schlüssel vieler WLAN-Router und Access Points sind teilweise leicht erratbar. Das ist seit langem bekannt, z.B. wurden 2008 die Algorithmen zum Ermitteln der Schlüssel von Thomson SpeedTouch und BT Home Hub Routern bekannt und für Thomson-Router wurde auch ein entsprechendes Tool veröffentlicht.

Ebenfalls bereits seit August 2010 ist bekannt, dass der WPA-Schlüssel des Speedport W 700V immer mit "SP-" beginnt, darauf folgen neun hexadezimale Ziffern. Von denen lassen sich fünf aus der ebenfalls voreingestellten SSID und der MAC-Adresse der WLAN-Schnittstelle ableiten. Von den verbleibenden vier Stellen sind zwei immer identisch, so dass ein Angreifer lediglich drei Stellen des zwölfstelligen WPA-Schlüssels erraten muss, um Zugriff auf das WLAN zu erlangen. Da hexadezimale Ziffern verwendet werden, ergibt sich ein zu durchsuchender Schlüsselraum von 16³=4096 Schlüssel.

Die Studenten Stefan Viehböck und Manuel Müller haben im Sommer dieses Jahres herausgefunden, dass sich der Schlüsselraum weiter eingrenzen lässt: Auch drei Stellen der Seriennummer gehen in die Schlüsselerzeugung ein (damit bleiben 1000 mögliche Schlüssel), und eine Stelle davon ist fast immer eine 3. Damit bleiben nur noch 100 Möglichkeiten übrig.

Die beiden erzeugten aus der SSID, der MAC-Adresse und durch Hochzählen der unbekannten Teile eine Liste möglicher WPA-Schlüssel, die sie dann mit dem Tool Speedpwn durchprobierten, was sehr schnell zum Erfolg führt.

Laut Stefan Viehböck und Manuel Müller sind auch die Speedport-Modelle W 303V (Typ A), W 500, W 502V, W 503V (Typ C) , W 504V, W 720V, W 722V (Typ B) und W 723V (Typ B) von dem Problem betroffen.

Die Telekom legt übrigens Wert darauf, festzustellen, dass das keine "Geräte von T-Online" sind. Das stimmt, denn der Hersteller ist Arcadyan, und die Telekom hat nur ihren Namen drauf drucken lassen. "Speedport" ist eine eingetragene Marke der Telekom, also sollte sie auch zu den Geräten stehen, auf die sie ihre Marke schreiben lässt. In wie weit die Telekom für die schlechte Vorkonfiguration zuständig ist, ist eine andere Frage.

Aber die Telekom steht nicht allein da, auch z.B. einige von Vodafone vertriebene Router verwenden leicht erratbare WPA-Schlüssel als Werkseinstellung.

Generell sollte das kein Problem sein, denn genauso wie Default-Passwörter sollten auch voreingestellte Schlüssel sofort nach Inbetriebnahme geändert werden. Anscheinend hat die Telekom aber zumindest im Handbuch des W700V eine Zeit lang empfohlen, die Werkseinstellungen beizubehalten.

Sofern Sie die voreingestellten Schlüssel Ihrer Geräte bei der Installation geändert haben, brauchen Sie sich um die Sicherheit der voreingestellten Schlüssel keine Gedanken zu machen. Anders sieht es mit ab Werk eingebauten Hintertüren aus, die immer mal wieder bekannt werden:

Netzwerkhardware mit Hintertür

Der Support der Netzwerkhardware-Hersteller hat es nicht leicht: Immer wieder kommen Anfragen von Kunden, die sich aus ihren Geräten ausgesperrt haben, weil sie ihr Passwort vergessen haben. Was macht man in so einem Fall oft? Man benutzt den zusätzlichen Zugang, der extra für solche Fälle ab Werk eingebaut wurde. Sie denken, so etwas gibt es doch wohl nicht? Und ob es das gibt, undokumentierte Zugänge mit Default-Zugangsdaten sind gar nicht mal so selten. Z.B. Allied Telesis rüstet alle Geräte damit aus. Das kam ans Licht, als das entsprechende, eigentlich nur für den internen Gebrauch gedachte, Support-Dokument im Internet landete. Immerhin war man sich der Gefahr so einer Hintertür bewusst und hat eine entsprechende Warnung auf der Seite angebracht:

"PLEASE NOTE the Backdoor Passwords listed here are INTERNAL ONLY. Do not give this information freely to any customer as this can compromise a network."

Die war natürlich in dem Moment überflüssig, in dem die Seite aus dem Internet zugänglich war.

Einige Geräte verwenden feste Passwörter, bei anderen muss das Passwort aus der MAC-Adresse erzeugt werden, wofür ein spezielles Programm benötigt wird. Aber auch das war frei zugänglich.

Allied Telesis versucht zwar, den Schaden zu begrenzen und Kopien aus dem Netz nehmen zu lassen, aber das dürfte vergeblich sein. Was einmal im Internet kursiert, lässt sich nicht mehr verheimlichen. Wobei die Stellungnahme. dazu einer gewissen Komik nicht entbehrt:

"We are working with those site administrators to remove those materials and any attachments from the public domain."

Man sollte davon ausgehen, dass diese Daten nicht Public Domain sind. Wären sie es, wäre das "Zurückholen" zumindest in den USA wohl rechtlich problematisch.

Aber es ist auch eigentlich gar keine Hintertür:

"By definition this is not a 'backdoor' feature; it is a standard password recovery process for a person who has physical access to the device."

Es ist sicher ein gewaltiger Unterschied, ob ein Angreifer über eine Backdoor oder einen "password recovery process" eindringt. Ich sehe ihn nur gerade nicht.

Ein ähnliches Problemen hatte übrigens HP im Dezember 2010 mit seinem Netzwerkspeicher StorageWorks P2000 G3 (nicht wie anfangs vermutet MSA2000 G3). Auch dort enthielt die Firmware ein nicht dokumentiertes Administrator-Konto mit den vorgegebenen Zugangsdaten "admin"/"!admin". HP hat auf die Entdeckung mit einem Support-Dokument reagiert, in der das Ändern des Passworts beschrieben wird. Das ganze muss wiederholt werden, wenn das Gerät auf die Werkseinstellungen zurück gesetzt wird, da dann auch wieder das Default-Passwort gesetzt wird.

Noch einen Schritt weiter gehen WLAN-Router, die der österreichische Breitbandanbieter UPC an seine Kunden geliefert hat: Die bauten gleich ein zweites, verstecktes WLAN mit immer gleicher SSID und WPA-Schlüssel auf. Über dieses WLAN ist z.B. der Zugriff auf die Konfigurationsoberfläche nötig, außerdem kann auf Internet und lokales Netz zugegriffen werden. Die Schwachstelle wurde durch ein Firmware-Update behoben, dass automatisch installiert wurde.

Es gibt im Internet eine Vielzahl von Quellen für Default-Passwörter, am bekanntesten dürften die (seit einem Jahr nicht mehr aktualisierte) Default Password List und die Default Passwords auf CIRT.net (den Nikto-Entwicklern) sein.

Wenn es kein extraschwaches WPA-Passwort und keine Hintertür gibt, hilft die Cloud beim Knacken von WPA-Passwörtern über Wörterbuch-Angriffe:

WPA-Schlüssel in der Cloud knacken

Thomas Roth wollte auf der Konferenz "Black Hat DC 2011" demonstrieren, wie schnell sich WPA-Schlüssel mit einem Wörterbuch-Angriff in der Cloud knacken lassen, konnte die zugehörige Software "Cloud Cracking Suite" aber aus rechtlichen Gründen nicht veröffentlichen. Immerhin wurden die theoretischen Grundlagen vorgestellt (Paper und Präsentation). Statt normaler Prozessoren verwendete er GPUs (Grafikprozessoren), die ebenfalls über Amazons EC2 Clouddienst gemietet werden können. Auf der "Black Hat Europe 2011" gab es den gleichen Vortrag, nur die Software fehlt weiterhin.

Das sind die Folgen deutscher Gründlichkeit: Der Hackerparagraph verhindert, dass Sie als Gesetzestreuer Bürger die eigenen Passwörter mit Tools testen können, die die Kriminellen ohne Bedenken gegen Sie einsetzen. Denn denen kommt es auf einen übertretenen Paragraphen mehr oder weniger nicht an.

Thomas Roths "Cloud Cracking Suite" ist aber nicht die einzige Möglichkeit, WPA-Schlüssel in der "Cloud" zu knacken. Schon zuvor wurde der WPA Cracker veröffentlicht, der sich durch die Auswahl der Wörterbücher konfigurieren lässt.

Fazit

Ein mit WPA2 geschütztes WLAN ist sicher, wenn beim Einsatz eines Preshared Key ein ausreichend langer und nicht erratbarer Schlüssel verwendet wird. Denn der einzige praktikable Angriff auf WPA2 mit PSK ist ein Wörterbuchangriff, der bei unsicheren Schlüsseln sehr schnell zum Erfolg führen kann.
Der einzige mögliche verbleibende Schwachpunkt ist dann eine versteckte Hintertür.

Einige allgemeine Informationen zur WLAN-Sicherheit liefert ein Artikel im ISC Diary: Pros and Cons of "Secure" Wi-Fi Access.

In der nächsten Folge geht es um Angriffe über Hardware, z.B. USB- oder FireWire-Geräte.

Carsten Eilers

---

Übersicht über alle Artikel zum Thema

WEP, WPA, WPA2 - WLAN-Schutz, aber richtig!

"Hole196" - Eine neue Schwachstelle in WPA2

DNS-Rebinding - Ein altbekannter Angriff kompromittiert Router

Von außen durch den Client in den Router

Ciscos "WPA Migration Mode" öffnet den Weg ins WLAN

NAT-Pinning, Angriffe auf Cisco-WLANs und ein Tool

Angriffe auf den WLAN-Client

BEAST - Ein neuer Angriff auf SSL und TLS 1.0

Konfigurationsänderungen am Router per UPnP - aus dem Internet

WLAN-Sicherheit - Stand der Dinge

WPS-Schwachstelle gefährdet WLANs