HTTPS über Wlan

[Felis]

Ein grundsätzliche (dumme) Frage: Ist eine verschlüsselte HTTPS Verbindung über Wlan mit schlichter WEP-Verschlüsselung nun sicher, weil HTTPS, oder unsicher, weil WEP? Ich denke da an Telebanking über Wlan. Mein Bauch würde mir ja sagen, es ist sicher, aber was weiß schon mein Bauch.
Gruß
Felis

[superracer]

wieso sollte https über wlan mit wep unsicherer sein als https ohne wep oder ohne wlan?

[al]

@superracer: weil Du over the air leichter (und unbemerkter) mitlauschen kannst als beim Kabel.

/al

[hannibal218bc]

SSL ist ja genau dafür da, dass jemand mitlauschen kann ohne dass das Auswirkungen auf Vertraulichkeit, Authentizität oder Integrität der übermittelten Daten haette.


lg
-hannes

[tszr]

so viel ich weiß wurde ein 128 bit SSL schlüssel noch nie geknackt, aussdem bist du ja mit deiner bank nur kurz verbunden, und beim nächsten mal bekommst wieder einen neuen 128 bit schlüssel, und denn kann man derzeit noch nicht in ein paar minuten kacken, ich glaub es würde monate bzw. jahre dauern um ihn mit einem 1-3 GHZ rechner zur knacken

[hannibal218bc]

... und heute sind bereits 256 bit Schlüssel Standard für den symmetrischen Teil der Verschlüsselung.


lg,
-hannes

[axial]

so viel ich weiß wurde ein 128 bit SSL schlüssel noch nie geknackt

Sorry es wurde bereits ein 512 Bit Schlüssel geknackt. Das war im Jhar 2000.
Für eine Onlinesitzung im Netbanking reicht sicher ein 128bit aus da sie Session nicht so lang dauer im normal Fall.

[superracer]

@superracer: weil Du over the air leichter (und unbemerkter) mitlauschen kannst als beim Kabel.

ob man jetzt leicht oder schwer mitlauschen kann, ist irrelevant für die frage, ob die verschlüsselung jetzt sicher ist oder nicht.

[tszr]

Sorry es wurde bereits ein 512 Bit Schlüssel geknackt. Das war im Jhar 2000.

im jahr 2000 gab es noch gar keine öffentlichen 512 bit schlüssel, damals wurden viele bankseiten noch mit 40 bit verschlüsselt, weil die ausfuhr eines 128 bit schlüssels aus der USA zu der zeit noch verboten war

[axial]

Das mag sein aber dennoch war es möglich diesen damals zu knacken

[hannibal218bc]

@axial Hast Du dazu einen Link?

Sicher kann man jede Verschlüsselung knacken, ist halt die Frage wie lange das mit welcher Rechenpower gedauert hat und - noch viel wichtiger - welches Verfahren das eigentlich war.

Bei asymmetrischen Verfahren setzt man heute Schlüssel mit >2048 Bit ein, da lass ich mir schon einreden dass (einzelne!) 512 Bit Schlüssel schon geknackt wurden. Bei halbwegs aktuellen symmetrischen Verfahren würde mich das sehr wundern.

Es gibt ja diese RSA Challenge, http://www.rsasecurity.com/rsalabs/node.asp?id=2093 , da werden schon lange 512 bit geknackt, aber das bezieht sich auf das Faktorisieren von Zahlen mit dieser Länge, nciht auf eine Verschlüsselung.


lg,
-hannes

[Kakashi]

" Then, on 14 July 2002 at 0150 UTC we found the winning key for the RSA Labs 64-bit secret-key challenge (RC5-32/12/8). That key was 0x63DE7DC154F4D039 and took us 1,757 days to locate."
- www.distributed.net


"On one side, many experts say that they now consider keys as large as 1024 bits to be compromised, stating that organizations such as the NSA with unparalleled resources could build a computer capable of factoring these keys. Experts say that this system could be built at a cost of about 1 billion dollars."
- http://www.geek.com/news/geeknews/2002m ... 010951.htm


Und zu dem im Jahre 2000 gecrackten RSA Key, der tatsächlich schon 1999 gecrackt wurde:
"On August 22 1999, a team of scientists from six different countries, led by Herman te Riele of CWI (Amsterdam), found the prime factors of a 512-bit number, whose size models 95% of the keys used for protection of electronic commerce on the Internet. This result shows, much earlier than expected at the start of E-commerce, that the popular key-size of 512 bits is no longer safe against even a moderately powerful attacker."

"In order to find the prime factors of RSA-155, about 300 fast SGI and SUN workstations and Pentium PCs have spent about 35 years of computing time. The computers were running in parallel -- mostly overnight and at weekends -- and the whole task was finished in about seven calendar-months."
- http://homepages.cwi.nl/~kik/persb-UK.html



Also ich würde sagen es ist sicher, besonders weil du als Privatperson nicht annähernd so interessant bist für Wardriver wie Banken, Firmen und dergleichen. Benutze einfach einen möglichst langen WEP Key oder wenn du dir immer noch unsicher bist, benutzt ein Kabel .

[Felis]

Also ich würde sagen es ist sicher, besonders weil du als Privatperson nicht annähernd so interessant bist für Wardriver wie Banken, Firmen und dergleichen. Benutze einfach einen möglichst langen WEP Key oder wenn du dir immer noch unsicher bist, benutzt ein Kabel .

Danke für die zahlreichen Antworten! Im Prinzip halte ich mich ja an diese Empfehlung und nutze einen Rechner der am Kabel hängt, aber manchmal ist dieser halt besetzt und dann steht mir nur ein an sich unsicheres 128Bit WEP-Wlan zur Verfügung. Auf jeden Fall gilt auch hier der alte Leitspruch "Fasse dich kurz!"
Gruß
Felis

[hannibal218bc]

Na bitte,

"found the prime factors of a 512 bit number": das ist *ganz* etwas anderes, als einen symmetrischen 512 bit Key zu knacken.

Die RSA-Challenge-Nummern geben IIRC ungefähr das Äquivalent zu einem symmetrischen Schlüssel an, sprich der geknackte RSA-155 entspricht vom Aufwand her ca. einen symmetrischen Schlüssel mit 155 Bit (= 2^155 mögliche Keys).
Wie gesagt, die BA-CA verwendet 256 bit AES fürs Onlinebanking, die ING DIBA 128 bit RC4...


Tuts nicht Äpfeln mit Birnen vergleichen!


lg,
-hannes

[hannibal218bc]

nutze einen Rechner der am Kabel hängt, aber manchmal ist dieser halt besetzt und dann steht mir nur ein an sich unsicheres 128Bit WEP-Wlan zur Verfügung.

Wie gesagt, fürs Online Banking ist das - wenn es über HTTPS mit brauchbarer Verschlüsselung und Schlüssellänge rennt - absolut wurscht.


lg,
-hannes