Liebes Tinkerforge Team

 

Das API für die WiFi-Extension ist so geschwätzig, dass es bereitwillig jedem (sei es über USB oder WiFi) das WiFi-Passwort verrät.

 

Angreifer-Model: 'Böser' will ins heimische WiFi-Netz einbrechen

 

Angriffsvektor:

1. Sehr offensichtlich: WiFi-Extension auslesen (per USB) Geht natürlich nur bei direktem HW-Zugriff... Vielleicht sogar noch zu akzeptieren

 

2. Eine 'böse' App (Trojaner) auf z.B. dem Smartphone, welches im Heimnetz (WiFi) eingebunden ist, pingt sich durch die IP-Range (ARP-Scan o.ä.) und findet eine Master-Brick, welche antwortet...

Darauf kann sich nun der Trojaner konnekten und das WiFi-Passwort einfach in Klartext auslesen.

 

Findet ihr, das ist ein Bug oder ein Feature?

 

Falls Feature: Eh... warum?

Falls Bug: Wäre es denkbar, das Auslesen des Passworts in der API (via WiFi) zu unterbinden?

 

L.G.

 

Vorschlag.

Um so etwas zu umgehen müsste man das Zugangspasswort nur als MD5 Hash speichern. Schon wäre das Problem geklärt.

Nunja was man so über MD5 ließt hört sich auch nicht wirklich sicher an:

"[MD5]...should be considered cryptographically broken and unsuitable for further use"

 

SHA-2 ist denke ich "state of the art"

Deine zwei Angriffsvektoren kannst du schließen in dem du Authentifizierung nutzt: http://www.tinkerforge.com/de/doc/Tutorials/Tutorial_Authentication/Tutorial.html

Danke borg für Deinen 'Quick'-'Fix'

 

Trotzdem möchte ich die Frage im Raum stehen lassen: Warum meldet die API das Passwort in Plaintext zurück?

 

Gibt es einen Grund dafür?

<ironisch>

Ist es, weil wir uns alle das WLAN-Passwort nie merken können und Tinkerforge uns Hilfe anbieten will?

</ironisch>

 

Ich glaube nicht, dass es Aufgabe von Tinkerforge sein kann, das Passwort zurückzugeben (Weder in Plaintext noch in einem gehashten Format)!? Was ist der Zweck dieser Rückgabe? Soll der Programmierer diese 'irgendwie' in der Programmlogik verwenden? Ich sehe ehrlich nur genau eine Zielgruppe: 'The Bad Guy'

 

Sehe ich da was falsch?

Und antwortet nicht: Debugging... Diese Antwort ist disqualifizierend ;-)

 

 

Es ist zumindest nicht unüblich das ein WIFI Passwort nach Authentifizierung bzw Anmeldung wieder auslesbar ist. Zumindest geht das auf Windows/Mac/Linux.

Hmm ich muss Borg zustimmen.

 

Der Vergleich mit Windows ist garnicht mal Schlecht

 

Sobald du angemeldet bist (Authentifiziert) kommst du bei fast allen System an das Wlan Passwort.

 

Dementsprechend ist die Authentifizierung der Übliche und auch ein Ausreichender Schutz.

Warum das Über die API Erfolgt?

Ich denke mal weil auch der BrickViewer nur über die API kommuniziert und dieser ja die Verwaltung für die WiFi-ext mit übernimmt.

 

Warum geben andere OS das Wlan Passwort in Plaintext aus?

Ich persönlich finde es sehr praktisch (ob es notwendig ist... siehe weiter unten) das man ggf das Passwort nochmal Überprüfen kann...

(Machen übrigens die Meisten Router auch die zeigen auch das PW in plaintext in den Verwaltungen an...)

 

Warum das allgemein Gang und Gebe ist...

Gute Frage... ich gehe einfach mal von allgemeiner bequemlichkeit aus...

Aber das wäre eine Grundsatzdiskussion die auch nicht mehr direkt mit dem Problem zu tun hat.

<ironisch>

Ist es, weil wir uns alle das WLAN-Passwort nie merken können und Tinkerforge uns Hilfe anbieten will?

</ironisch>

Ich glaube die Ironietags kannste wegnehmen und das Tinkerforge gegen die Allgemeinheit austauschen ^^

 

Btw: wenn du einen Trojaner auf dem Handy hast... hat der eh alle deine Wlankennwörter die lassen sich meistens auch auf den Handys auslesen.

Da wäre die Schwachstelle nicht TF...

 

Das WLAN Kennwort ist nach aktivieren der Auth nicht mehr einfach auslesbar.

Bei allen anderen Angriffsvektoren sehe ich nicht die Schwachstelle bei TF.

Problem Solved?