HTTPS über Wlan

Das Forum rund um Sicherheitsfragen (Antivirus, Firewall, Spamschutz). Diese Forum wird auch von IPCop.at verwendet.
Forumsregeln
Das Forum rund um Sicherheitsfragen (Antivirus, Firewall, Spamschutz). Diese Forum wird auch von IPCop.at

HTTPS über Wlan

Beitragvon Felis » Fr 11 Nov, 2005 22:20

Ein grundsätzliche (dumme) Frage: Ist eine verschlüsselte HTTPS Verbindung über Wlan mit schlichter WEP-Verschlüsselung nun sicher, weil HTTPS, oder unsicher, weil WEP? Ich denke da an Telebanking über Wlan. Mein Bauch würde mir ja sagen, es ist sicher, aber was weiß schon mein Bauch. ;-)
Gruß
Felis
Felis
Board-User Level 2
Board-User Level 2
 
Beiträge: 812
Registriert: Fr 09 Jan, 2004 11:26

Beitragvon superracer » Fr 11 Nov, 2005 23:15

wieso sollte https über wlan mit wep unsicherer sein als https ohne wep oder ohne wlan?
superracer
Board-User Level 3
Board-User Level 3
 
Beiträge: 1073
Registriert: So 04 Jul, 2004 11:18

Beitragvon al » Sa 12 Nov, 2005 03:42

@superracer: weil Du over the air leichter (und unbemerkter) mitlauschen kannst als beim Kabel.

/al
Wer entbündelt wo? - http://entbuendelt.at
al
Board-User Level 3
Board-User Level 3
 
Beiträge: 1091
Registriert: Sa 13 Nov, 2004 11:59
Wohnort: Hawei

Beitragvon hannibal218bc » Sa 12 Nov, 2005 10:32

SSL ist ja genau dafür da, dass jemand mitlauschen kann ohne dass das Auswirkungen auf Vertraulichkeit, Authentizität oder Integrität der übermittelten Daten haette.


lg
-hannes
hannibal218bc
Senior Board-Mitglied
Senior Board-Mitglied
 
Beiträge: 382
Registriert: Mi 18 Aug, 2004 21:11
Wohnort: Wien

Beitragvon tszr » Sa 12 Nov, 2005 10:41

so viel ich weiß wurde ein 128 bit SSL schlüssel noch nie geknackt, aussdem bist du ja mit deiner bank nur kurz verbunden, und beim nächsten mal bekommst wieder einen neuen 128 bit schlüssel, und denn kann man derzeit noch nicht in ein paar minuten kacken, ich glaub es würde monate bzw. jahre dauern um ihn mit einem 1-3 GHZ rechner zur knacken ;)
tszr
Board-User Level 1
Board-User Level 1
 
Beiträge: 729
Registriert: Fr 27 Mai, 2005 15:32
Wohnort: Niederösterreich

Beitragvon hannibal218bc » Sa 12 Nov, 2005 10:46

... und heute sind bereits 256 bit Schlüssel Standard für den symmetrischen Teil der Verschlüsselung.


lg,
-hannes
hannibal218bc
Senior Board-Mitglied
Senior Board-Mitglied
 
Beiträge: 382
Registriert: Mi 18 Aug, 2004 21:11
Wohnort: Wien

Beitragvon axial » Sa 12 Nov, 2005 10:50

tszr hat geschrieben:so viel ich weiß wurde ein 128 bit SSL schlüssel noch nie geknackt

Sorry es wurde bereits ein 512 Bit Schlüssel geknackt. Das war im Jhar 2000.
Für eine Onlinesitzung im Netbanking reicht sicher ein 128bit aus da sie Session nicht so lang dauer im normal Fall.
axial
Board-Mitglied
Board-Mitglied
 
Beiträge: 207
Registriert: Mi 27 Jul, 2005 21:18
Wohnort: Innsbruck

Beitragvon superracer » Sa 12 Nov, 2005 11:56

al hat geschrieben:@superracer: weil Du over the air leichter (und unbemerkter) mitlauschen kannst als beim Kabel.

ob man jetzt leicht oder schwer mitlauschen kann, ist irrelevant für die frage, ob die verschlüsselung jetzt sicher ist oder nicht.
superracer
Board-User Level 3
Board-User Level 3
 
Beiträge: 1073
Registriert: So 04 Jul, 2004 11:18

Beitragvon tszr » Sa 12 Nov, 2005 12:09

Sorry es wurde bereits ein 512 Bit Schlüssel geknackt. Das war im Jhar 2000.


im jahr 2000 gab es noch gar keine öffentlichen 512 bit schlüssel, damals wurden viele bankseiten noch mit 40 bit verschlüsselt, weil die ausfuhr eines 128 bit schlüssels aus der USA zu der zeit noch verboten war ;)
tszr
Board-User Level 1
Board-User Level 1
 
Beiträge: 729
Registriert: Fr 27 Mai, 2005 15:32
Wohnort: Niederösterreich

Beitragvon axial » Sa 12 Nov, 2005 15:21

Das mag sein aber dennoch war es möglich diesen damals zu knacken ;)
axial
Board-Mitglied
Board-Mitglied
 
Beiträge: 207
Registriert: Mi 27 Jul, 2005 21:18
Wohnort: Innsbruck

Beitragvon hannibal218bc » Sa 12 Nov, 2005 16:43

@axial Hast Du dazu einen Link?

Sicher kann man jede Verschlüsselung knacken, ist halt die Frage wie lange das mit welcher Rechenpower gedauert hat und - noch viel wichtiger - welches Verfahren das eigentlich war.

Bei asymmetrischen Verfahren setzt man heute Schlüssel mit >2048 Bit ein, da lass ich mir schon einreden dass (einzelne!) 512 Bit Schlüssel schon geknackt wurden. Bei halbwegs aktuellen symmetrischen Verfahren würde mich das sehr wundern.

Es gibt ja diese RSA Challenge, http://www.rsasecurity.com/rsalabs/node.asp?id=2093 , da werden schon lange 512 bit geknackt, aber das bezieht sich auf das Faktorisieren von Zahlen mit dieser Länge, nciht auf eine Verschlüsselung.


lg,
-hannes
hannibal218bc
Senior Board-Mitglied
Senior Board-Mitglied
 
Beiträge: 382
Registriert: Mi 18 Aug, 2004 21:11
Wohnort: Wien

Beitragvon Kakashi » Sa 12 Nov, 2005 17:34

" Then, on 14 July 2002 at 0150 UTC we found the winning key for the RSA Labs 64-bit secret-key challenge (RC5-32/12/8). That key was 0x63DE7DC154F4D039 and took us 1,757 days to locate."
- www.distributed.net


"On one side, many experts say that they now consider keys as large as 1024 bits to be compromised, stating that organizations such as the NSA with unparalleled resources could build a computer capable of factoring these keys. Experts say that this system could be built at a cost of about 1 billion dollars."
- http://www.geek.com/news/geeknews/2002m ... 010951.htm


Und zu dem im Jahre 2000 gecrackten RSA Key, der tatsächlich schon 1999 gecrackt wurde:
"On August 22 1999, a team of scientists from six different countries, led by Herman te Riele of CWI (Amsterdam), found the prime factors of a 512-bit number, whose size models 95% of the keys used for protection of electronic commerce on the Internet. This result shows, much earlier than expected at the start of E-commerce, that the popular key-size of 512 bits is no longer safe against even a moderately powerful attacker."

"In order to find the prime factors of RSA-155, about 300 fast SGI and SUN workstations and Pentium PCs have spent about 35 years of computing time. The computers were running in parallel -- mostly overnight and at weekends -- and the whole task was finished in about seven calendar-months."
- http://homepages.cwi.nl/~kik/persb-UK.html



Also ich würde sagen es ist sicher, besonders weil du als Privatperson nicht annähernd so interessant bist für Wardriver wie Banken, Firmen und dergleichen. Benutze einfach einen möglichst langen WEP Key oder wenn du dir immer noch unsicher bist, benutzt ein Kabel ;).
Kakashi
Board-User Level 1
Board-User Level 1
 
Beiträge: 512
Registriert: Do 09 Jun, 2005 18:54

Beitragvon Felis » Sa 12 Nov, 2005 21:29

Kakashi hat geschrieben:Also ich würde sagen es ist sicher, besonders weil du als Privatperson nicht annähernd so interessant bist für Wardriver wie Banken, Firmen und dergleichen. Benutze einfach einen möglichst langen WEP Key oder wenn du dir immer noch unsicher bist, benutzt ein Kabel ;).


Danke für die zahlreichen Antworten! Im Prinzip halte ich mich ja an diese Empfehlung und nutze einen Rechner der am Kabel hängt, aber manchmal ist dieser halt besetzt und dann steht mir nur ein an sich unsicheres 128Bit WEP-Wlan zur Verfügung. Auf jeden Fall gilt auch hier der alte Leitspruch "Fasse dich kurz!" ;-)
Gruß
Felis
Felis
Board-User Level 2
Board-User Level 2
 
Beiträge: 812
Registriert: Fr 09 Jan, 2004 11:26

Beitragvon hannibal218bc » Mo 14 Nov, 2005 10:08

Na bitte,

"found the prime factors of a 512 bit number": das ist *ganz* etwas anderes, als einen symmetrischen 512 bit Key zu knacken.

Die RSA-Challenge-Nummern geben IIRC ungefähr das Äquivalent zu einem symmetrischen Schlüssel an, sprich der geknackte RSA-155 entspricht vom Aufwand her ca. einen symmetrischen Schlüssel mit 155 Bit (= 2^155 mögliche Keys).
Wie gesagt, die BA-CA verwendet 256 bit AES :-) fürs Onlinebanking, die ING DIBA 128 bit RC4... :-(


Tuts nicht Äpfeln mit Birnen vergleichen!


lg,
-hannes
hannibal218bc
Senior Board-Mitglied
Senior Board-Mitglied
 
Beiträge: 382
Registriert: Mi 18 Aug, 2004 21:11
Wohnort: Wien

Beitragvon hannibal218bc » Mo 14 Nov, 2005 10:10

Felis hat geschrieben:nutze einen Rechner der am Kabel hängt, aber manchmal ist dieser halt besetzt und dann steht mir nur ein an sich unsicheres 128Bit WEP-Wlan zur Verfügung.


Wie gesagt, fürs Online Banking ist das - wenn es über HTTPS mit brauchbarer Verschlüsselung und Schlüssellänge rennt - absolut wurscht.


lg,
-hannes
hannibal218bc
Senior Board-Mitglied
Senior Board-Mitglied
 
Beiträge: 382
Registriert: Mi 18 Aug, 2004 21:11
Wohnort: Wien


Zurück zu ANTIVIRUS & SECURITY

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 0 Gäste