Onderzoek wijst op onveilige draadloze netwerken

Een tweetal hackers heeft op verzoek van BBC News Online in Londen een klein onderzoekje gedaan, waarbij gekeken werd naar de veiligheid van de draadloze netwerken in het financiële centrum. Met als wapenarsenaal een laptop, draadloze-netwerkkaart en wat bijbehorende software gingen de heren op stap. Alsof het een soort drive-in show was, reden de heren op eenvoudige wijze het territorium van een aantal draadloze netwerken binnen, waarna er begonnen kon worden aan het echte kraakwerk.

Tenminste, kraken was eigenlijk niet eens noodzakelijk. Terwijl het gezelschap een kilometer lang over een bepaalde straat reed, werden door de software maar liefst twaalf netwerken gedetecteerd. Vier van deze netwerken waren beveiligd met de niet al te best werkende ingebouwde beveiligingssoftware, de overige acht stonden zelfs zonder barrières met open armen te wachten op onbevoegden die hen zouden gaan betreden. De netwerken behoorden vermoedelijk tot banken, adviesbureaus en andere grote bedrijven. Eenmaal aangesloten op de niet beveiligde netwerken, was het volgens de hackers mogelijk om alle toepassingen te gebruiken die ook beschikbaar zouden zijn vanaf een bureaustoel in het gebouw zelf.

Al eerder werd in Nederland ook een dergelijk onderzoek gedaan, aldus WebWereld. Instanties zoals het ministerie van Sociale Zaken en Werkgelegenheid, de gemeente van Rotterdam en een kliniek werden aan de tand gevoeld. Eveneens werden schrikbarende conclusies getrokken, aangezien het kinderlijk eenvoudig scheen te zijn om in te breken op de systemen. Een oplossing is het installeren van betere beveiligingssoftware, maar vreemd genoeg hebben veel bedrijven dat blijkbaar verzuimd. Hopelijk zullen publicaties zoals deze ervoor zorgen dat men in de toekomst wat voorzichtiger is.

Reacties (36)

[redguy]

Zucht.. Gaan we weer met dit hele verhaal..

Sorry hoor, maar als je als netwerk beheerder niet met de beveiligingsoptiies van je systemen om kunt gaan dan krijg je dit soort troep ja.. Om maar gelijk weer het wireless protocol de schuld te geven..
Als je je auto niet op slot doet kan ook iedereen zomaar in je auto komen,DUH !

Ten eerste voorzien de meeste al in 256 bits encryptie alleen is de gemiddelde beheerder te lui om het te gebruiken, dan moet hij een passfrase invoeren, tsjeeeeee wat moeilijk.

Ten tweede is dit heel gemakkelijk op te lossen door je accesspoint niet direct aan je lan te koppelen maar door het als een inbelverbinding te behandelen. Je plaats het hele wireless gebeuren buiten de firewall en gebruikt het met een VPN + desnoods cryptokeys en het is zo veilig als het maar kan.

[Gman]

Precies!

Daar heeft het bedrijf niet zo heel veel mee te maken, maar de systeem/netwerk-beheerders.

Wel leuk als je in de buurt van zo'n bedrijf werkt....kan je lekker gratis internetten!

[Pietervs]

en hij (zij?) kan de MAC adressen van de wlan-kaartjes in de access-point zetten... Kost inderdaad ook even wat werk, maar dat lijkt me zeker zo veilig!

[vcore791]

Geef me hier maar een min 1 voor, maar nu begin ik er toch wel heeel moe van te worden..
dit is nu al de 4e keer in een half jaar tijd dat een soortgelijk bericht word gepost..

check ..
http://www.tweakers.net/nieuws/18488?highligh t=onvei lig
http://www.tweakers.net/nieuws/18157?highligh t=wirel ess
http://www.tweakers.net/nieuws/17905?highligh t=wirel ess
http://www.tweakers.net/nieuws/16763?highligh t=wirel ess

en zo kan ik nog wel even door gaan..

een tien voor de submitter, die doet alleen hard zijn best om ons van info te voorzien..
maar wel een heeele dikke UTFS voor de posters !

dit is echt niet onaardig bedoeld, zie het maar als opbouwende kritiek.. tis goed bedoeld, en ter verbetering van de posts, hopelijk helpt het ...

/edit ik mis de tegenstelling een beetje mark, een tien van me voor het hard speuren naar nieuws, dat is juist zinnig en voor mij een tien waard.. de UTFS omdat het prima is dat vershillende mensen verschillende onderzoek doen naar hetzelfde probleem maar een bekend feit is toch een bekend feit ?

je gaat toch ook niet 4 keer de nobelprijs geven voor het uitvinden van het wiel door verschillende personen ?

anyway dat is MIJN mening .. en daar mag iedereen zijn twijfels bij hebben of niet.. zoals je al zei meningen verschillen dus post ik de mijne ook rustg

[MikeN]

Ja en er is ook al 10 keer een posting geweest van een nieuwe processorsnelheid die uit is. En 10 keer een review van de Geforce3 Ti500. En 10 keer een bericht over een waterkoeling test.

So What?
Hier zijn in 1 straat 12 netwerken gevonden. Niet in de andere posts. Elke post is toch echt weer anders hoor.....

[Verwijderd]

een tien voor de submitter, die doet alleen hard zijn best om ons van info te voorzien..
maar wel een heeele dikke UTFS voor de posters !

Ten eerste ben ik naast de poster ook de 'submitter' van dit nieuws zoals jij het noemt, aangezien ik er geen tip van buitenaf voor gekregen heb maar gewoon zelf aan het surfen was om jou van nieuws te voorzien. Oke, een tien en een UTFS voor mij dus. Vreemde tegenstelling.

Bovendien gaat dit over een compleet ander onderzoek dan die andere posts, zodat ik het niet als dubbelpost zou willen omschrijven. Het geeft aan dat de situatie nog steeds slecht is, en ik dacht dat dat wel interessant was.

dit is echt niet onaardig bedoeld, zie het maar als opbouwende kritiek.. tis goed bedoeld, en ter verbetering van de posts, hopelijk helpt het ...

Ach ja, als mensen eerst iets onaardigs zeggen en er dan bij zetten dat het niet onaardig bedoeld is dan zegt mij dat bijschrift eigenlijk niet zoveel . Verbetering? Mwah, zoveel leuk nieuws op mijn postdomein kon ik eigenlijk niet vinden en als ik dit niet had gepost had ik misschien wel niks gepost. Is dat een verbetering ten opzichte van een artikel dat velen blijkbaar wel interessant vinden?

maar nu begin ik er toch wel heeel moe van te worden..

Als je een krant openslaat vind je vast ook niet al het nieuws interessant dat erin staat. Ik begin in zo'n geval niet te zuchten, maar bedenk gewoon dat er andere mensen zijn die die dingen wel leuk vinden om te lezen. Een reden om te klagen? Meningen verschillen blijkbaar.

Mark Timmer
Tweakers.net

[Jis]

Weet je wat ik me nou afvraag...waarom je dan op dat linkje klikt
De titel is volgens mij toch duidelijk genoeg. Dus als je die titel leest moeje toch bij je zelf denken "oo weet ik al lang".
Ben je misschien zo nieuwsgierig dat je het toch van jezelf moet lezen en dat je dan ook toch weer teleurgesteld bent dat je het inderdaad al wist. In dat geval vind ik het erg jammer voor je dat je lijdt aan zo'n neurotisch trekje, maar dat is nou iets wat ik niet iedere keer hoef te horen...

[ArthurMorgan]

Het is op zich wel aardig zo'n onderzoek. Maar er staan wel erg weinig gegevens in.

Eenmaal aangesloten op de niet beveiligde netwerken, was het volgens de hackers mogelijk om alle toepassingen te gebruiken die ook beschikbaar zouden zijn vanaf een bureaustoel in het gebouw zelf.

Normaal gesproken kun je een heleboel software wel aanroepen en opstarten maar om bij 'geheime' gegevens te komen zul je toch moeten inloggen met een naam en password. Nu zal ik de laatste zijn die wil beweren dat de beveiliging naar buiten toe dan niet uitmaakt. Maar het zet in mijn ogen toch een duidelijke kanttekening bij dit soort onderzoeken.

[KMK]

Dit ben ik dus heel erg met je eens. Als ik hier in ons netwerk iemand zonder login neerzet dan mag hij/zij alleen een beetje interntten als hij zij voor bij het aanlog scherm als guest zou kunnen komen met zijn laptop. Er zijn geen public shares. Maar dat neemt niet weg dat er zeker een erg gevaar is en dit is inderdaat erg slecht

[blaatenator]

Daar zit één klein haakje aan: De data gaat door de lucht. Iedereen kan het oppikken.
Dus als een gerechtigde gebruiker beveiligde gegevens opvraagd over een draadloos LAN, zonder gebruik te maken van een VPN oid, kunnen die gegevens door een WLAN adapter die in promiscuous mode staat opgepikt worden, ongeacht de verificatiemethoden. Doordat de encryptie bij de 802.11 standaard zo zwak is, geeft het weinig problemen om die gegevens te ontcijferen.

[Masselink]

Het was al duidelijk dat Wireless netwerken niet voldoende beschermt waren, aangezien de configuratie wel eens te wensen over liet. Waarchijnlijk gaat 'de wereld' er pas iets aan doen als het een paar keer goed fout is gegaan. Zoals in het verleden gebleken is met Virusprotectie technologie. Bovendien loopt nederland zwaar achter als met kijkt naar encryptie.

offtopic:
plaatje was eerst een gewone netwerk kaart..

[Guardian Angel]

Ik denk dat niet dat Nederland MINDER achterloopt met encryptie dan andere landen.

Je hebt het denk ik over de zakelijke markt en je kunt gevoeglijk aannemen dat de nederlandse methodieken niet zullen of kunnen afwijken van de resterende landen. Encyptiesoftware is niet spcifiek een landelijk gebeuren hoewel in de VS bepaalde versleutelingstechnieken niet mogen worden geëxporteerd.

edit:

Mark heeft eerder een artikeltje neergezet over encryptie, hij weet vast nog wel waar en zet de link hieronder vast neer gok ik.....

2e edit:

Misschien heeft Mark wel een goede bui en schrijft hij gelijk een leuke column over encryptie.

(Dick mist de columnisten)

[Verwijderd]

Mark heeft eerder een artikeltje neergezet over encryptie, hij weet vast nog wel waar en zet de link hieronder vast neer gok ik.....

http://www.tweakers.net/reviews/189 <- Die bedoel je?

Misschien heeft Mark wel een goede bui en schrijft hij gelijk een leuke column over encryptie.

Hm, die columns daar ben ik mee gestopt en een eenmalig artikel lijkt me geen goed idee. Eerste reden was dat m'n collega Arjan van Leeuwen die de andere helft van de columns schrijf gestopt is met zijn werk voor Tweakers.net. Ten tweede zit er gewoon erg veel tijd in het schrijven van een goed artikel en als je zelf denkt iets goeds te hebben geschreven vindt de helft van de bezoekers toch nog het tegenovergestelde, met het bijbehorende geklaag. Daar komt ook nog eens chronisch tijdsgebrek bij in verband met de drukte die VWO6 met zich meebrengt.

[Masselink]

Daar heb je ook weer gelijk in. Nederland loopt voorop mee in ontwikkelingen op ICT gebied, helaas lopen ze een pas achter met de beveiling van die nieuwe technologieen. (nederland had een stap verder moeten zijn, gezien de andere ontwikkelingen)

Ik ben zelf werkzaam bij een informatie beveiligingsbedrijf en ik weet redelijk wat er gaande is in Nederland op Informatiebeveligingsbebied.

[Verwijderd]

Op verzoek aangepast

[Verwijderd]

lekker belangrijk ...
zo'n plaatje..

snelle reactie van dhr mark timmer.... toch attent

[makkie ;)]

Oeps, beter eerst refreshen voortaan

Scsi

[Verwijderd]

Ik heb hier op het dak een grote beam staan voor 2,4 GHz met daaraan een Orinoco COR. Je moet eens weten wat voor uitheemse netwerkjes ik zie in een straal van zo'n 12 kilometer (stuk of 5). Het merendeel is inderdaad niet eens encrypted !

Hoe makkelijk het ook moge wezen, het blijft natuurlijk gewoon strafbaar om doelbewust misbruik te maken van de data die 'op straat' ligt...

Ik kan me voorstellen dat het een twijfelachtige discussie wordt: mag het, of mag het niet. Het is net zoiets als je fiets midden op straat zetten in Amsterdam zonder dat ie op slot staat. Stelen blijft in dat geval natuurlijk verboden, maar de eigenaar geeft wel aanleiding tot stelen. Beide zijn in dat geval de klos....

[blouweKip]

het blijft natuurlijk gewoon strafbaar om doelbewust misbruik te maken van de data die 'op straat' ligt...

Toch krijg je van de verzekering vaak niets meer als je je deur open zet laat staan voor inbrekers en is de juridische status van insluiping ook minder dan van inbraak...

Er zit dus wel degelijk verschil tussen inbreken in een beveiligd object (huis/netwerk) en het bekijken van zon onbeveilgd en wijd open gezet netwerk/huis

[Verwijderd]

Sterker nog, als ik me niet verkeerd heb laten voorlichten is het niet beveiligen van je computer gewoon je eigen verantwoordelijkheid. Is nog verekte moeilijk te bewijzen ook.
" Nee edelachtbare, gisteravond verzocht directeur X mij om 6.000.000 op mijn eigen bankrekening in Zurich over te maken, ik vindt het maar raar dat hij nu glashard ontkent, is het mogelijk hem hiervoor aan te klagen ?"

[Verwijderd]

Een oplossing is het installeren van betere beveiligingssoftware, maar vreemd genoeg hebben veel bedrijven dat blijkbaar verzuimd.

Het blijft een open deur intrappen, maar de mentaliteit van mensen is dus niet te veranderen. Het zou dus veel beter zijn om een goede (lees sterke) encryptie methode al in het wireless protocol in te bakken. Dan hoeft er geen extra software geinstalleerd te worden om toch een redelijke beveiliging te hebben. Daar bovenop kan je natuurlijk altijd extra maatregelen nemen om nog beter jezelf te beschermen. Iemand die zich op dat moment zorgen maakt zal dus wel goed nadenken over deze stap.

[Verwijderd]

Dat zou niet helpen als het standaard bij het protocol ingebakken zou zijn, omdat je dan als hacker alleen maar het protocol hoeft te installeren en klaar is kees.

Maar zowieso, als je op een netwerk aangekoppeld bent je laat hem een tijdje snifferen.... dan moet er vanzelf een keer een gebruikersnaam en wachtwoord voorbij gekomen zijn. En dan ben je alsnog in het netwerk en kan je bij een verzameling data.

[blaatenator]

Uhh, Mr. Magic, dat zou wel degelijk helpen. Wat jij zegt, komt op hetzelfde neer als ik zou zeggen dat PGP onveilig is, omdat een hacker slechts het programma hoeft te installeren om alle beveiliging te omzeilen. De encryptie bij het 802.11(a/b) protocol is ook gebaseerd op public key principe, net als bij IPsec, Kerberos en SSH (correct me if I'm wrong). Alleen bij het draadloos gebeuren heeft men gekozen voor een zwakkere sleutel, ivm perfomance (sterkere sleutel betekend een grotere overhead, en 11Mb/s is al niet zo heel veel, vergeleken met 100BaseTX oid)

[bogy]

ik ga morgen naar londen, brussel, parijs en weet ik veel nog waar, ik koop rap eventjes een WIFI kaartje voor m'n laptop...


laat de wire-transfers maar beginnen ... hier gaan miljoenen binnestromen ...


zo onveilig dat ze zijn, ik snap dat toch niet... een beetje kwaadwillige hacker kan zoveel informatie vergaren op die manier, en verkopen aan de concurrentie ... dat snap ik nu niet... iedereen weet toch onderhand dat die wifi lans niet veilig zijn, zeker niet als je geen additionele soft installed!

[TheGhostInc]

<pappie mode>
Wist je dat hacken niet mocht?
</pappie mode>

Er wordt weleens te simpel gedacht over dit soort zaken, let er wel op dat degene die dat soort zaken doen wel meteen criminelen zijn, met alle consequenties van dien.

* 786562 TheGhostInc

Toch lullig als je later wordt getraced, of dat je per ongeluk aan de verkeerde verkoopt. Zolang het digitaal blijft is het redelijk safe, maar je moet toch een keer de gegevens verkopen, dan lopen toch veel mensen tegen de lamp.

[Verwijderd]

Ha dit moeten ze vooral bekend maken waar die netwerken zitten iemand die kwaad wil gaat ff met deze informatie naar die plek toe en hoppa meneer ken ff bv bij een bank met wat hack tactieken zo een paar miljoen naar een zwitserse bank overmaken.

Makelijke manier om snel rijk te worden! Dit is nou 1 van de redenen dat ik nooit een draadloos netwerk zou aanschaffen het is zo lek als een zeef ook al heb je goeie beveiligings software niks is perfect!

^VirTuaL OuT^

[tweakerbee]

...schrijf deze vriendelijke tweakers.net bezoeker op zijn open ADSL connectie waar de hele wereld op in kan loggen ipv alleen mensen op 100 meter afstand...

Veilig bestaat niet. Nooit. Geen firewall is 100% veilig. Geen virusscanner pakt 100%. Geen enkel netwerk is ondoordringbaar.

WEP is geen goede beveiliging, dat is natuurlijk logisch, maar je kunt ook toegang geven op basis van MAC adres bijvoorbeeld. En laat mensen gewoon met een wachtwoord op het LAN inloggen. Fout wachtwoord --> geen netwerk toegang. Slecht beveiligd is een ding, maar dit is gewoon laks, slordig, nalatig. Schandalig...

[TeeDee]

Dat was toch al oud nieuws? Het is al vrij lang bekend dat wireless networks niet goed beveiligd zijn. Ik kan mij herinneren (ik dacht in het programma Nova) dat iemand door de stad scheurde met een sniffer en zijn laptop wachtend op een verbinding en toen zo alles voorbij zag komen? Broadcasts etc. etc.

Maar de slechte beveiliging van dit soort netwerken kan ook voor een groot deel te wijten zijn aan de beheerder daarvan. Of een personeels lid wat slimmer is dan hij/zij hoort te zijn en die dingen doet die niet mogen. Maar dan nog kan je dat aan de beheerder wijten, want dan heeft dat personeels lid weer teveel vrijheid. Maar goed, ik raak off-topic

Conclusie denk ik: alles is te hacken in de loop van de tijd daar doe je niks tegen denk ik. Maar wil je het de hacker zo moeilijk mogelijk maken, moet je wel verdomd goed weten wat je doet. Een wireless-netwerk is nog vrij nieuw, dus ik kan me voorstellen dat de beheerder nog niet van alles op de hoogte is. Er valt dan ook wel weer wat voor te zeggen: waarom neem je dan een wireless-netwerk, maar dat is weer een ander verhaal

[Mr.CeeJay]

Ik heb destijds gezien op NOVA [NED3] hoe ze in Rotterdam op 3 plaatsen via WLAN hebben 'ingebroken'. Lijkt kinderlijk eenvoudig.
btw: ik heb gehoord dat ze bij WLAN dezelfde frequentie als bij een magnetron gebruiken.
Ik wist niet dat je ook al je kliekjes met je netwerkkaart kon opwarmen