WLan Security?

[von Hohenstein 10]

Hallo.

 

Wenn ein Benutzer am Flughafen in einen Hotspot eingewählt ist, und dann über einen VPN-Client eine Verbindung in die Firma macht, erscheinen bei uns in der Firma in der Netzwerk umgebung verschiedene fremde netze.

 

Heisst das, dass diese Netze auf unsere Domäne zugreifen können? Ohne Passwort doch nicht.

 

Aber sehen sie z.B. welche PCs bei uns im Netz sind?

 

Also ich wenn die Netze anklick sind sie leer.

 

ich hoffe das ist bei denen auch so, wenn sie uns anklicken...

 

N8

[Caylep 10]

Grundsätzlich gilt...wer gesehen wird, ist auch potentiellen Angriffen ausgesetzt. Jetzt gilt es, sich richtig abzusichern.

 

1. Bekanntgabe der SSID durch den Access Point abschalten ( muss ja nicht jeder gleich wissen)

2. Der Access Point besitzt auch eigene Codierung (WEP) Besser wären allerdings AP´s mit WPA-Codierung.

 

Der VPN Tunnel leistet noch zusätzlich gute Dienste.

 

Cya,

 

Caylep

[von Hohenstein 10]

Das Problem ist nicht mein AccessPoint.

 

Ich habe eher Bedenken, dass der Mitarbeiter, der mit dem Notebook am Flughafen sitzt und mit seiner WLAN karte in einen Hotspot eingewählt ist irgendwie angreifbar ist und durch ihn dann auch das LAN?

 

Wie sichere ich den Client der sich am Flughafen einwählt??!

[edv-olaf 10]

Hallo,

 

wenn der MA am Flughafen andere sieht, sehen die ihn auch (und können ihn hacken). Wenn er sich per VPN mit dem Firmennetz verbindet, bekommen die Hacker somit einen kostenlosenlosen Zutritt ins Firmennetz, quasi auf dem Silbertablett. Und alles ohne Firewall.

Und falls noch IP-Forwarding am Laptop aktiviert ist, braucht man nicht mal zu hacken, es ist im Grunde eine Aufforderung, Daten auszuspionieren bzw. abzuholen.

 

Grüße

Olaf

[von Hohenstein 10]

Und was mache ich dagegen??? (ausser es dem Benutzer nahe zulegen, dass er es unterlassen soll)

[Wildi 10]

Hallo,

 

das Thema wird im allgemeinen ein riesen Problem, wenn die Hotspotgeschichte bald Flächendeckend eingerichtet wird.

 

Der Hotspot am Flughafen (wie alle Hotspots) sind einfach ausgedrückt ein Router, der ins Internet geht und daran ist ein Access Point. Der User bezieht sich via DHCP eine IP und ist dann sozusagen mit allen anderen Hotspot Usern im Hotspot Netzwerk.

 

Die Gefahr, die hier nun besteht ist, dass andere Hotspotuser direkt auf den Rehner zugreifen könnte (wenn nicht abgesichert)

 

Dein Problem kann ich jetzt allerdings nicht ganz nachvollziehen. Wenn der Hotspotuser nun ein VPN zur Firma aufbaut, ist nur dieser User ein VPN User. Er besitzt dann ja ne Firmen IP und die Subnet Mask 255.255.255.255 (also er alleine auf Wegen des VPN). Die anderen dürften das aber gar nicht mitbekommen.

 

Könnte mir das nur dann vorstellen, wenn der LAN-Adapter mit dem LAN-PPP-Adapter eine Art Routing herstellen würde. Sprich, die VPN auf der einen Seite stellt eine Verbindung mit dem Hotspot auf der anderen Seite her. Der Router wäre dann das Notebook des Hotspotusers. Geht das überhaupt?

 

Die LAN Karte hat zum Beispiel vom Hotspot die IP 192.168.1.1

Durch das VPN hat der PPP Adapter (ist ja auch diese LAN Karte) z.B. die 10.0.0.1

 

Jetzt müsste ein Routing zwischen der LAN Karte und des PPP Adapters (wohlgemerkt, gleiche Karte) erzeugt werden.

 

Wie gesagt, bin mir da nicht sicher ob das überhaupt geht und wenn, dann wurde das bewußt eingerichtet. Denn von selbst macht er das nicht. Denn das wäre ja eine LAN zu LAN Kopplung via VPN.

 

Sicherheitsloch sehe ich also nur bei den Hotspotusern untereinander (da gleiches Netz). Dein Problem wurde meiner Meinung nach von Hand eingebaut

[Wildi 10]

Mir fällt dazu gerade noch was ein: (Nicht das jemand verdächtigt wird, irgendetwas böses vorsätzlich gemacht zu haben)

 

Durch die Hotspotverbindung befindet sich dieser User im gleichen Netz, wie die anderen Hotspotuser. Dadurch füllt sich doch die Browsingliste des Clients mit den Hosts und Arbeitsgruppen und Domänen der anderen Users. Baut dieser User nun eine VPN Verbindung auf, gleichen sich doch auch die Browsinglisten der Firma damit ab. Das heißt, der Client besitzt sämtliche Namen und überträgt sie in die Firma. Draufkommen tut man deshalb trotzdem nicht, da ja dann das LAN<->PPP Routing gehen müsste.

 

Wenn dem so ist, würde ich das nicht als ein großes Sicherheitsloch sehen