BSI warnt vor Sicherheitsücke in Vodafone-Routern
Stefan Viehböck von der SEC Consult GmbH hat entdeckt, dass die von Vodafone als EasyBox 802 und EasyBox 803 an seine Kunden verteilten Router des Herstellers Arcadyan/Astoria Networks über eine unsichere Implementierung von WPA angreifbar sind. Vieböck hat darüber das Bürger-CERT informiert, eine Abteilung des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Dieses wiederum warnt nun vor der Schwachstelle
Als Workaround empfiehlt das Bürger-CERT Anwendern der betroffenen Router, die WPS-PIN zu ändern, WPS zu deaktivieren und ihr Passwort für die WLAN-Verschlüsselung zu ändern. Wie das geht, wird in den Benutzerhandbüchern erklärt, die das BSI auch auf seiner Site als PDF-Datei vorhält.
Die von Viehböck entdeckte Lücke erlaubt es einem Angreifer, der die MAC-Adresse kennt, die aber per WLAN ohne weitere Authentisierung auslesbar ist, bei den beiden Routern im Auslieferungszustand die standardmäßig eingestellte WPS-PIN sowie das Passwort der WLAN-Verschlüsselung zu ermitteln. Er bekommt somit per WLAN Zugriff auf das interne Netz und kann so Informationen abgreifen oder die Internetverbindung missbräuchlich nutzen.
Vodafone arbeitet eigenen Angaben zufolge “mit Hochdruck an einer neuen Firmware für die älteren EasyBoxen”. Sie soll den unberechtigten Zugriff auf die betroffenen Geräte verhindern, auch wenn das WLAN-Passwort nicht geändert wurde.
Es ist nicht das erste Mal, dass Viehböck den schlampigen Umgang der Hersteller mit der Verschlüsselung in WLAN-Routern anmahnt. Im Dezember 2011 hat das US-CERT nach einem Bericht Viehböcks davor gewarnt, dass Router durch die unsaubere Implementierung von WPA leicht angreifbar seien.
WPS soll es Nutzern auch ohne große technische Kenntnisse ermöglichen, neue Geräte einfach einem vorhandenen Netz hinzuzufügen und dennoch eine sichere WPA-Verschlüsselung zu nutzen. Dazu wird eine achtstellige PIN verwendet. Die lässt sich jedoch durch mehrere Versuchen, das Passwort einzugeben, knacken.
Ein vergeblicher Versuch verrät einem Angreifer, ob die ersten vier Stellen richtig sind. Die letzte Stelle ist ebenfalls bekannt, da sie die Prüfsumme der PIN bildet. Davon ausgehend lassen sich in maximal 10.000 Versuche die weiteren Stellen erproben, bis die PIN vollständig erkannt ist. Wie das im Detail funktioniert haben damals die Kollegen von ZDNet ausführlich beschrieben.
Das Problem war, dass zahlreiche Hersteller keine oder nur unzureichende Maßnahmen ergriffen hatten, um solche Brute-Force-Angriffe zu blockieren. Daher konnte ein Angreifer im Prinzip in aller Ruhe, alle denkbaren PIN-Kombinationen erproben – was im ungünstigsten Fall rund vier Stunden dauert. Im Durchschnitt kann ein Angriff in etwa zwei Stunden erfolgreich sein.