Gerhardt argumentiert, dass man sein WLAN absichern muss/sollte, weil: mit einem offenen WLAN auch die Daten ziemlich offen liegen. Oder wie wäre es mit dem Lesen jeglicher E-Mails?. Er verweist dabei auf den Webstandard-Artikel „Unverschlüsseltes WLAN lässt Webmail-Hack zu”.

Quintessenz der Geschichte ist, dass Angreifer beim Zugriff auf Webmail oder POP3-Konten Authentifizierungs-Cookies und Benutzernamen/Passwörter mitlesen können, weil der Netzwerkverkehr in ungesicherten Funknetzwerken nicht verschlüsselt wird.

Lieber Gerhard, liebe WebStandard-Redaktion: Der in dem Artikel angesprochene Netzwerkverkehr wird auch in kabelgebundenen Netzwerken NICHT verschlüsselt. POP3-Passwörter oder die Gmail-Cookies werden auch bei 100Base-TX als Übertragunsgmedium leicht lesbar übermittelt - ein Hub hineingehängt und man kann alles bequem mitlesen.

Wenn, dann müsste man als Aufhänger etwas in der Richtung „Provider bieten E-Mail Dienste immer noch unverschlüsselt an” oder „Verschicken Sie ihre Geschäftspost immer als Postkarte?” nehmen und die Geschäftspraktiken der ISPs anprangern, dass sie SMTP und POP3/IMAP4 immer noch ohne SSL/TLS-Verschlüsselung anbieten. Detto Google, dass sie GMail nicht per default via HTTPS anbieten – was nämlich möglich ist (<httpS://gmail.google.com> und alles ist Gut) – dann wäre der Hack von Robert Graham nämlich nicht möglich gewesen.

Wenn diese Voraussetzungen gegeben wäre, kann man nämlich auch über offene WLANs in Cafes, etc. seine Mail, Webmail, etc. checken, ohne dass man seine Passwörter, etc. gegenüber Script-Kiddies verrät. Dass man gegen einen ernsthaften Angreifer sowieso keine Chance hat, habe ich ja bereits geschrieben.

Weiters schreibt Gerhard:

… falls über die Datenleitung illegale Inhalte aus dem Internet bezogen werden könnte man unliebsame Bekanntschaft mit der Exekutive machen.

Dies ist derzeit nur in Deutschland der Fall, da bei unseren Nachbarn der haftet, der einen ursächlichen Tatbeitrag zu einer unmittelbaren Rechtsverletzung durch einen Dritten leistet und die zur Vermeidung der Rechtsverletzung gebotenen und zumutbaren Maßnahmen unterlässt. In Österreich gilt, da es keine höchstgerichtliche Entscheidungen dazu gibt, immer noch §13 des E-Commerce-Gesetz:

Ein Diensteanbieter, der von einem Nutzer eingegebene Informationen in einem Kommunikationsnetz übermittelt oder den Zugang zu einem Kommunikationsnetz vermittelt, ist für die übermittelten Informationen nicht verantwortlich

So, nachdem wir die Panikmache aus dem Weg geräumt haben, entspricht es natürlich den „best practices”, dass ein WLAN abgesichert wird, wenn man bewusst kein offenes WLAN betreiben will und/oder dieses direkt mit dem Firmennetzwerk verbunden ist. In diesen Fällen sind die in Gerhards posting angeführten Links durchaus zu empfehlen, vor allem die Warnung vor den Placebos „SSID verstecken” und „Zugriff auf MAC-Adresse einschränken”.

Tagged as: encryption, it, network, rant, security, wlan | Author: Martin Leyrer
[Samstag, 20070811, 14:21 | permanent link | 0 Kommentar(e)