Anonym über fremdes WLan surfen?!

[Notebook]

Hallo,

werde in einer Woche wieder mal für ein paar Tage unterwegs sein und in einer kleinen Pension übernachten. Dort gibt es WLan pauschal für 10,00 EUR die Woche. Dieses Angebot werden wir natürlich annehmen, um die lebenswichtigen Dinge wie E-Mail & Internet zu nutzen.

Ob der WLan-Betreiber weiß, auf welchen Internetseiten ich mich aufhalte, ist mir so ziemlich egal aber natürlich möchte ich auch meine Mail abrufen.

Wenn ich meine Recherchen richtig interpretiere, kann jedoch der WLan-Betreiber fast problemlos meine Daten wie Benutzername und Passwörter für E-Mail und Foren mitlesen.

Meine Frage deswegen: Gibt es eine einfache Möglichkeit, meine Daten irgendwie so zu verschlüsseln, dass meine Daten nicht mitgelesen werden können?

Vielen Dank

 

[morgessa]

[...] Wenn ich meine Recherchen richtig interpretiere, kann jedoch der WLan-Betreiber fast problemlos meine Daten wie Benutzername und Passwörter für E-Mail und Foren mitlesen.

Meine Frage deswegen: Gibt es eine einfache Möglichkeit, meine Daten irgendwie so zu verschlüsseln, dass meine Daten nicht mitgelesen werden können?

Vielen Dank

Ja theoretisch könnte er den gesamten Netzwerkverkehr mitprotokollieren.
Überall dort, wo eine verschlüsselte Verbindung (zB Banking/eBucht) aufgebaut wird, kann man dann aber nix mit den protokollierten Daten anfangen.Anders gehts nicht einfach. Wenn die Seite keine Verschlüsselung bietet, kannst nix machen.

Möglichkit
Du könntest eine VPN-Verbindung mit einem Server bei dir zu Hause aufbauen und dann darüber die Mails abrufen. Aber frag mich nicht wie das geht, hab keine Ahnung

 

[little_skunk]

Ja das ist richtig. Deine Passwörter bekommt er sogar ziemlich einfach mit. Dabei ist es egal ob die Verschlüsselt sind oder nicht. Ich hab es selber noch nicht ausprobiert aber auf meine USB-Stick ist ein Linux Live CD drauf. Mein Laptop kann davon booten und da ist auch eine entsprechende Software drauf um SSL verbindungen zu knacken. Ich habe es leider noch nicht getestet. Könnte ich aber mal machen.

VPN-Verbindung dürfte eine gute Möglichkeit sein. Ich weiß aber nicht ob eine VPN Verbindung nicht eventuell mit den Gleichen Mitteln auch geknackt werden kann.

 

[networker]

Mein Laptop kann davon booten und da ist auch eine entsprechende Software drauf um SSL verbindungen zu knacken. Ich habe es leider noch nicht getestet. Könnte ich aber mal machen.

Mache das. So einfach ist es dann doch nicht. SSL ist zwar anfällig für MitM-Angriffe, aber nur, wenn der User die entsprechenden Fehlermeldungen ignoriert.

Mirko

 

[little_skunk]

Von irgendwelche Fehlermeldungen stand da nichts. So weit ich weiß muss das Programm nur den Kopletten Handshake mitschneiden und gut ist. Mal sehen ob ich morgen die Zeit finde das mal auszuprobieren.

 

[jAyR]

solange du das nicht selber beherrscht solltest du vielleicht nicht irgendwelches angelesenes halbwissen wiedergeben.

mitm attacke aus ssl verbindung erstellt ein fake zertifikat welches der user mehrfach bestätigen muss und wo ihm beim lesen schon auffallen sollte dass es sich um ein "unsicheres" cert. handelt.

 

[little_skunk]

solange du das nicht selber beherrscht solltest du vielleicht nicht irgendwelches angelesenes halbwissen wiedergeben.

mitm attacke aus ssl verbindung erstellt ein fake zertifikat welches der user mehrfach bestätigen muss und wo ihm beim lesen schon auffallen sollte dass es sich um ein "unsicheres" cert. handelt.

Solange du nicht weißt welche Quellen ich habe brauchst du mein Wissen nicht in Frage zu stellen. Jeder weiß, dass WEP unsicher ist obwohl es nur die wenigsten selber ausprobiert haben. Ich sage ja ich werde es testen, wenn ich die Zeit dazu finde. Es gibt mehrere Wege ein SSL Username/Passwort rauszubekommen. Du hast sicherlich recht mit deiner Aussage aber ich meine einen anderen Weg. Genaueres kann ich dann hoffentlich morgen berichten.

 

[networker]

ein SSL Username/Passwort rauszubekommen

Was soll das sein? Lies ein wenig über SSL/TLS, stelle einen MitM-Angriff nach und dann sehen wir weiter.

Mirko

 

[little_skunk]

Was soll das sein? Lies ein wenig über SSL/TLS, stelle einen MitM-Angriff nach und dann sehen wir weiter.

Mirko

Hab ich vor. Vermutlich hast du auch recht ich will nur einfach selber sehen. In der Quelle wird genau dieser Bereich nicht weiter erläutert. Verate mir doch einfach ob du es schon ausprobiert hast und wie das auf der Userseite aussieht.

Sry für den etwas ungehalten Beitrag. Ich habe in keinem Wort behauptet, dass ich mir 100% Sicher bin. Ich spiele hier mit offenen Karten und darf mir dann Halbwissen vorwerfen lassen. Darauf reagiere ich einfach Giftig

Momentan bekomm ich es noch nicht hin. Entweder stell ich mich zu blöd an oder meine Hardware spielt nicht so mit wie ich will. Für Heute gebe ich auf mal sehen obs Morgen besser wird.

 

[networker]

Verate mir doch einfach ob du es schon ausprobiert hast und wie das auf der Userseite aussieht.

Wie jAyR schon schrieb, gibt es im Browser eine Warnung zum Zertifikat, da bei einem MitM-Angriff dem User ein falsches Zertifikat untergeschoben wird. Wenn er dieses akzeptiert, hat er verloren (und der Angreifer gewonnen).

Mirko

 

[morgessa]

Mag sein, dass ich ein wenig dumm bin... Aber von unsicheren SSL-Verbindungen habe ich noch nie was gehört. Da müssten die Bösewichte ja gar nicht mehr per e-mail auf TAN-Fang gehen

 

[KGM11]

Ich spiele hier mit offenen Karten

Ohne Nennung der ominösen Quelle wohl kaum.

und darf mir dann Halbwissen vorwerfen lassen.

Du hast eine nicht näher erläuterte "Linux Live CD", auf der soll irgendwas drauf sein, das irgenwiewas kann. Ausprobiert hast du das aber noch nicht. Was dich aber nicht daran hindert, Behauptungen aufzustellen, die dem aktuellen Wissensstand des betroffenen Bereiches widersprechen.

Tschuldigung, aber so läuft das Geschäft nicht - in einem solchen Fall hast *du* eine Bringschuld.

Wenn stattdessen sowas kommt:

Solange du nicht weißt welche Quellen ich habe brauchst du mein Wissen nicht in Frage zu stellen.

Darauf reagiere ich einfach Giftig

...kann sich der geneigte Leser eigentlich den Rest denken.


Notebook: Die Lösung wurde bereits genannt und heißt VPN.

 

[little_skunk]

Linux Live CD dürfte wohl reichen als Erklärung. Ich will hier nicht gleich jeden ermutigen damit rumzuspielen das ist alles.

Ich habe keine Behauptung aufgestellt. Ich habe lediglich meine Meinung geäußert. Es ist jedem Üerblassen was er glaub und was nicht aber nur weil ich denke, dass jemand dumm ist, muss ich ihm das nicht in aller Öffentlichkeit ins Gesicht sagen. Aus diesem Grund habe ich auch etwas ungehalten reagiert. Ließ dir den Teil davor durch. Ich habe gesagt ich werde es testen dann weiß ich genaueres.

Und jetzt beruhigen wir und alle wieder und haben uns wieder lieb

 

[KGM11]

Ich habe keine Behauptung aufgestellt.

Deine Passwörter bekommt er sogar ziemlich einfach mit. Dabei ist es egal ob die Verschlüsselt sind oder nicht.

Software [...] um SSL verbindungen zu knacken

?


Aber ich bin gespannt (und sämtliche Online-Händler, -Banken und -Sicherheitsunternehmen wohl auch).

 

[jAyR]

 

[little_skunk]

Jetzt bin ich völlig verwirrt. Bisher sind wir uns hier einig, dass SSL geknackt werden kann. Ich bin der Meinung, dass es ziemlich einfach ist. Aus sicht der Anfreifers ist es auch relativ einfach. Aus sicht des Benutzers, ist es mehr oder weniger Sichtbar. Es gibt Software zum SSL knacken.

Du darfst gern gespannt sein. Ich habe es bereits gesagt. Linux live CD reicht als Erklärung. Jeder der das Programm bzw die Programme kennt weiß was ich meine und den Rest lassen wir lieber im Dunkeln. Schließlich gibt es schon genug schwarze Schafe im Internet.

Zurück zum Topic: Ich bekomms leider immer noch nicht zum laufen. 90% Funktioniert aber genau ein Programm habe ich nicht und weiß nicht wie ich das bei Linux installiere bzw wo ich es überhaupt herbekomme. Ich habe aber mitlerweile noch andere Quellen gefunden. So wie es aussieht hab ich mich geirrt. Der Benutzer bekommt ne Aufforderung. Wenn du also 100% Anonym sein willst dann VPN. Wenn er aber mitbekommen darf auf welchen Seiten du surfst, dann einfach alle Zertifikatsanfragen mit Nein beantworten. Dann kann er auch deine Mails nicht abrufen.
Hinzugefügter Post:

Danke dir. Sieht das unter Firefox genauso aus? Ich hab hier nen Video da verwendet einer den Firefox und da war das nicht so eindeutig. Der hat lediglich gefragt ob das Zertifikat zugelassen werden soll oder nicht. Die Daten des Zertifikats sahen aus wie vom Orginal.

Edit: Ich seh gerade es war der alte IE. Da ist es kaum zu erkennen. Bei deinem Screenshot fällt vermutlich kein Benutzer mehr drauf rein^^.

 

[KGM11]

Jetzt bin ich völlig verwirrt. Bisher sind wir uns hier einig, dass SSL geknackt werden kann.

Seufz. Definiere "geknackt". Wenn der Benutzer aktiv ein verpanschtes Zertifikat akzeptiert, geht der zuvor schon erwähnte MitM-Käse... toll, aber weder neu noch der erhoffte wirklich neue kryptographische Angriff auf die SSL-Protokolllayer. Mehr ein Layer-8-Problem, was soll man da schon machen. Schäm dich, mir hier Hoffnung auf was Spannendes zu machen :P

 

[Novgorod]

geht es eigentlich um reine "lausch"-angriffe oder um MitM-attacken?

im ersteren fall schneidet man den traffic mit und analysiert ihn (hinterher) - das ist für den angreifer einfacher, als eine MitM-station dazwischenzusetzen und den user irgendwie versuchen auszutricksen.. nach dem handshake erfolgt die kommunikation über eine symmetrische verschlüsselung (AES, DES), was derzeit als unknackbar gilt.. außerdem ist der schlüssel lang und kryptisch und gilt auch nur für eine session, damit dürfte das sicherer sein als die meisten festplattenverschlüsselungen in der praxis..
das einzige sicherheitsproblem stellt der handshake dar, da der schlüssel für die nachfolgende kommunikation über einen unsicheren kanal ausgetauscht wird - nicht im klartext natürlich, sondern über public-key-verfahren (asymmetrische verschlüsselung).. und dies ist prinzipbedingt nicht "sicher", sondern nur "sehr kompliziert", das ist der haken an jeder asymmetrischen verschlüsselung.. allerdings dürften aktuelle verfahren noch ne ganze weile "sicher genug" bleiben, zumindest für den kleinen mann von der straße (wer weiß, was die geheimdienste alles in der hinterhand haben - bei asymmetrischen verfahren kann man sich da im gegensatz zu symmetrischen eben nicht sicher sein)..

zertifikate erschweren MitM-attacken, aber lösen nicht das generelle problem von public-key-verfahren..

 

[jAyR]

eigentlich ging es hier um lausch angriffe. glaube ich zumindest.

bzw. halt um die inet nutzung in fremden netzen und die damit verbundenen risiken für passwörter.

einen konkreten lösungsansatz habe ich aber auch noch nicht, da die vpn lösung für den threadersteller wohl rausfällt

 

[Novgorod]

da die vpn lösung für den threadersteller wohl rausfällt

das ist nicht gesagt.. (eigentlich hat er garnix mehr gesagt..)
wenn er zuhause einen einigermaßen flotten DSL-anschluss hat, ist das eigentlich kein problem - das geht sogar mit windows-mitteln.. außerdem ist es "absolut" sicher, da keine passwörter übers offene internet ausgehandelt werden müssen.. ein symmetrischer key kann auf beiden seiten zuhause erstellt werden..
er bräuchte halt einen rechner, der als VPN-server dient.. manche router können das auch..
die frage ist dann noch, was der WLAN-provider erlaubt.. kann ja durchaus sein, dass er IPSEC oder GRE sperrt, oder auch alle nicht-www-ports.. zur not gehts aber immer mit openVPN (o.ä.) über TCP-encapsulated IPSEC und port 80 - macht natürlich mehr arbeit als das windows-VPN, das GRE benötigt..

 

[Notebook]

Hallo,

besten Dank für die Antworten.

Eure Antworten haben uns dazu bewegt, dass wir die Mails nicht abrufen und uns auch nicht in Foren einloggen.

Sicher ist sicher ;-)

Besten Dank und liebe Grüße

 

[little_skunk]

So gehts natürlich auch