[CrazyLexx]

Hallo zusammen,

bin gerade dabei, mir ein Wlan aufzubauen und möchte diese mit WPA-PSK sichern. Dabei kann der Zugangsschlüssel eine Zeichenlänge irgendwo zwischen 8 und 63 Zeichen haben. Mich würde daher mal interessieren, wie lang der Schlüssel im Alltagsgebrauch nun sein sollte.... Muss ich die ganzen 63 Zeichen benutzen um einen möglichst sicheren Key zu bekommen oder wieviel Zeichen "benutzt man so"?

Passend dazu: Gibt es im Netz vielleicht einen seriösen Key-Generator, mit dem ich mir fix einen WPA Schlüssel generieren lassen kann? Wie sicher sind solche Angebote überhaupt?

Danke,
Tom

[Rika]

dd if=/dev/random count=32 | sha256

Aber da du bestimmt was unter Windows zum Klicken willst, schau dir doch mal Keepass an. (http://keepass.sourc....php#lnkRandGen)

@Breaker: Der Schlüssel wird in Hexadezimal eingegeben.

Dieser Beitrag wurde von Rika bearbeitet: 01. Januar 2006 - 21:34

[Rika]

Und da ist dir noch nicht aufgefallen, daß deine Passphrase nur als Eingabe für einen Hash bzw. eine Umkodierung (weniger üblich) ist und letztendlich doch nur einen 256bittigen Wert ausgibt, der üblicherweise in Hex notiert wird? Zumal beide Wege nicht systemübergreifend festgelegt sind und somit stets eine Eingabemöglichkeit für den Schlüssel selbst existieren muss.
Was meinst du, warum 63(+1) Zeichen das Maximum sind? 64 Zeichen * 4 Bit/Hexzeichen = 256 Bit == Schlüssellänge des für WPAv2 typischen AES-256.

[Spezi]

Zitat (CrazyLexx: 01.01.2006, 21:13)

Passend dazu: Gibt es im Netz vielleicht einen seriösen Key-Generator, mit dem ich mir fix einen WPA Schlüssel generieren lassen kann? Wie sicher sind solche Angebote überhaupt?

Hier kannst du solch einen Key generieren lassen.

[Rika]

Die Diskussion gab's jetzt schon einmal bezüglich Microsoft Passwort-Testseite: Klar, ich weiß, daß die Webseite die eingegeben Daten nicht überträgt, weil im mir den Quellcode anschaue. Aber woher weiß der User das? Weil die Webseite das behauptet? Weil sie ja nicht so aussieht, als wäre sie später mal geändert worden? Das ist kein bisschen besser als Phishing!

[Skippy]

@Rika na wieder net gut geschlafen wieder mal von den Bösen leuten geträumt die dir immer auflauern um deine daten auszuspionieren?

Selbst wenn jemand die Informationen Sammeln würde was hätte er davon diese Informationen sind Nutzlos.

Nehmen wir als Beispiel mal an auf der Seite würden die informationen gespeichert dann hätte derjenige ne Tabelle mit folgendem Inhalt Betriebsystem, Browser, Eingestellte Sprache,Die IP und den Key. weiterhin könnte er sich noch 2 Informationen besorgen die sinnvoll für ihn währen. Den Privider und nen etwas ungenauen Standort z.b. führt mein Whois nicht zu meiner Stadt sondern nur zur Zentrale meines Abieters.

Jetzt kommen wir zu den Sachen die seine Informationen Vernichten (Unbrauchbar machen).
Zum einen währe schonmal die Tatsache das 97% aller Deutschen über wechselnde IP verfügen sprich spätestens mit der nächsten anmeldung hat der User ne andere IP.

2ten gibt es viele User die mehrmals draufklicken bis ne Zufallszahl haben die ihnen gefällt daher muss er damit rechnen das mehr als einen schlüssel hat den er durchprobieren muss.

Weiterhin besteht für ihn das Risiko das user einfach ne Zahl ändern .

Und das wichtigste Ist er hat den Standort nicht und was nütz dir nen WLan schlüssel wenn du nichtmal weisst wo das WLan sich befindet

und wenn man davon ausgeht das pro tag maximal 40Personen dort schlüssel generieren schon 97%innerhalb des ersten Tages nutzlos sind.kann man sich ja ausrechnen was für ein Nutzen das hat.

Und selbst unter der Annahme das er den Standpunkt doch irgendwie zumindest auf ne Stadt eingrenzen kann weiviel werden dort pro monat wohl aus seiner stadt bzw ner stadt in der Umgebung dort Raufgehen.

Schlussendlich hätte er im Maximalfall pro Monat 3-4Verwertbare infos.

Und ums mal gleich vorwegzunehmen da hier sowieso jemand versucht parallelen zu ziehen zwischen dem hier und Pishing.

Es ist ein Riesiger Da man beim Pishing auf lang haltbare Informationen Abziehlt z.b. email oder bank informationen dort kann man sich sicher sein das diese informationen am ende des Monats noch existieren also bei unseren Beispiel wären das eben 40Daten pro tag und das ist schon nen Unterschied

@Topic

zur Sicherheit sollte man vielleicht mal erwähnen das diese Programme alle die Interne Funktion des Prozessors zur Generierung von Zufallszahlen herranziehen diese hat eine Schwachstelle es sind keine Zufallszahlen sondern Berechnete nach einer Formel die Optimiert wurde eine Möglichst Große und Gleichmäßige Streuung zu erreichen aber dennoch gibt es eben bestimmte häufungen dazu nenn ich einfach mal nen Stichwort (BitMuster) wem es weiter interessiert sollt mit diesem Stichwort weieres dazu erfahren können. Kurz Zusammengefasst es gibt Tabellen die die Werte enthalten bei denen die Warscheinlichkeit das diese Passwort rauskam am größten ist als erstes in der Liste stehen. Die sicherste Zufallszahl ist eine die du dir selbst ausgedacht hast. Solange du ebenkeine Geburtsatage nimmst oder so ähnlich.

Aber diese Programme oder Webseiten reichen völlig aus . Den für Privatanwender ist der schlüssel trotz der informationen mit hilfe der Bruteforce einfach sehr schwer zu knacken ob mit diesen Informationen oder ohne .

[Powerprobot]

Außerdem fällt es auf, wenn einer Stundenlang vor deiner Wohnung im Auto sitzt, mit Laptop auf dem Schoß und wie wild am hacken ist, bzw. immer die selbe bewegung macht. Sei es jetzt Kopf kratzen oder klicken....

[Skippy]

Zitat (Powerprobot: 02.01.2006, 08:00)

Außerdem fällt es auf, wenn einer Stundenlang vor deiner Wohnung im Auto sitzt, mit Laptop auf dem Schoß und wie wild am hacken ist, bzw. immer die selbe bewegung macht. Sei es jetzt Kopf kratzen oder klicken....

da muss ich leider auch schon widersprechen auch wenn sie das im Fernsehen immer zeigen wenn die angeblichen "Profis" die ja so viel von ihrem Handwerk Verstehen im Auto sitzen und auf ihrem Notebook tippeln mach das die wenigsten.

Z.B.kannst du dir nichtmal im Traum vorstellen wie gut ne Antenne ist deren Baumaterialien ne Dose Erbsensuppe nen PlasteRohr , Gewindestange Muttern und nen Paar UnterlegScheiben sind.

damit kam ich in Berlin von Flughafen Schöneberg bis kurz vor Alexanderplatz und das ist für die Leute auch der Lohnendere Weg nämlich internet kostenlos von zuhause zu nutzen.

[Rika]

Zitat

zur Sicherheit sollte man vielleicht mal erwähnen das diese Programme alle die Interne Funktion des Prozessors zur Generierung von Zufallszahlen herranziehen

Unsinn. /dev/random und auch Keepass sammeln Entropie aus Timing-Informationen, Prozessliste, Maus- und Tastatureingaben sowie Netzwerkstatistiken und, wenn verfügbar, entsprechender Hardware. Da kommt schnell genügend Entropie zusammen. Und wenn die einmal vorhanden ist, kann auch ein darauf aufbauender kryptographisch sicherer PRNG ohne Bedenken verwendet werden.

[CrazyLexx]

Erstmal ein großes 'danke' an euch alle für die zahlreichen Antworten zu meinem Problem. Um die ganze Diskussion jetzt jedoch wieder auf "praktische Füße" zu stellen, habe ich noch einige Fragen dazu:

1. Sollte mein PSK jetzt also die maximale Länge von 63 Zeichen aufweisen? Würde ich damit die größt mögliche Sicherheit erziehen ohne dabei Performanceprobleme zu bekommen (wie z.B. eine längere Anmeldephase)?

2. Aus welchen Zeichen sollte der Key dann bestehen? Nur alphanumerisch oder kann er auch alle möglichen Sonderzeichen enthalten? Habe in diesem Zusammenhang mal auf einer Webseite folgendes gelesen:

Zitat

mit ASCII kann Windows Probleme bekommen, da es Gross- und Kleinbuchstaben in Kennwörtern nicht unterscheidet, Interpunktions- und Steuerzeichen können ebenso Instabilität bewirken.

Kann da jemand was zu sagen? Oder handelt es sich dabei um Unfug (bei Verwendung von XP-sp2).

[CrazyLexx]

Hat davon nun jemand Ahnung? :-)

[PhilippG5]

also ich würde es so wie Breaker machen.
du brauchst keinen ellenlangen Schlüssel. deswegen finde ich das eine sehr gute idee , sich einen satz zu überlegen und die Anfangsbuchstaben mit groß und kleinschreibung als wlan-shlüssel zu verwenden

[Rika]

Und wie willst du den dann an dem entsprechenden Client eingeben? Der verwendet ganz bestimmt nicht das gleiche Kodierungsverfahren. So oder so brauchst du irgendwann den reinen Key, und der wird üblicherweise als 64 Hexbytes notiert. Und da du den komplett brauchst, kannst du ihn auch ohne Bedenken generieren.