philippe_d schreef:Dan moet er dus iemand voor mij deur staan, en daar blijven staan tot hij 2 blokken van 4 cijfers "gebruteforced" heeft? Waar hij enkele dagen voor nodig heeft ...
Wordt dat het "zeer groot" veiligingsrisico genoemd?
4 cijfers: 10.000 combinaties.
Dit is de zwaarste stap, en 10.000 combinaties afvoeren vereist niet veel tijd.
Als je '1234 0000' stuurt, krijg je een antwoord dat 1234 en 0000 foutief zijn. De laatste 4 cijfers negeer je voorlopig.
Maximaal 10.000 pogingen om de eerste 4 cijfers te locken.
Vervolgens heb je nog maximaal 1000 pogingen nodig om de volgende 3 cijfers te bruteforcen.
Het laatste cijfer is een berekend getal op de voorgaande 7 cijfers, en kun je dus iedere poging berekenen.
In het slechtste geval moeten er 11.000 aanvragen verzonden worden.
Laten we er even van uitgaan dat je ze niet simultaan verzendt, maar sequentieel.
Na pakweg 1 seconde heb je een antwoord.
In 11.000 seconden, oftewel 183 minuten, oftewel afgerond 3 uur heb je jezelf toegang verschaft tot de wifi.
En dit is worst-case scenario.
Je kan ook WPS laten aanstaan, maar de PIN authenticatie uitzetten? Zodat je toch nog het gemak van de push button authenticatie blijft behouden (waarbij het risico beperkt wordt tot personen die toegang hebben tot de modem) ?
De WPS specificatie laat dit niet toe.
Als je WPS gebruikt, is PIN altijd verplicht, en push optioneel.
Op mijn FritzBox kan ik kiezen tussen:
- Push-Button method (WPS-PBC, Push Button Configuration)
- PIN method (WPS-PIN), the FRITZ!Box specifies the PIN
- PIN method (WPS-PIN), the wireless device specifies the PIN
In de laatste optie wordt de PIN gegeven door de client die zich wil verbinden, en moet dan bevestigd worden op de router. Hier dus ook geen mogelijkheid om een bestaande PIN te raden met brute force ...
Dat lijkt mij al iets veiliger, maar is dus niet conform wat de WPS specificatie bepaalt.
Er is alvast een reden dat er minder en minder toestellen WPS ondersteunen, en dat is omdat de markt zich serieus verzet tegen WPS.
Mijn smartphone werkt er niet mee, mijn AP's hebben het niet in hun, dus er zal wel iets van waarheid in zitten.
Je moet inderdaad al iemand hebben die specifiek op jouw wifi wilt inbreken, maar laat ik zo bezien: we beveiligen die ook al met een WPA2/AES beveiliging, dus we willen toch iets van veiligheid. Waarom dan iets toelaten die de beveiliging om zeep helpt?
Of als: ik heb een heel zwaar veiligheidsslot, en ik heb 11.000 sleutels waarvan er 1 op past, en ze liggen allemaal onder de mat.
