WLAN is insecure - KRACKS attack on WPA2

In this video a brief information about the attack on Wlan and what follows for you.
Link: www.krackattac...
BSI: www.bsi.bund.d...
❤❤❤ Early access to tutorials, polls, live events, and downloads ❤❤❤
❤❤❤ www.patreon.co... ❤❤❤
❤❤❤ Not up for Patreon? ❤❤❤
❤❤❤ www.paypal.me/... ❤❤❤
🌍 Website
🌍 the-morpheus.de
¯\_(ツ)_/¯ Join the Community ¯\_(ツ)_/¯
** the-morpheus.d... **
** / themorpheustuts **
( ͡° ͜ʖ ͡°) More news? More code?
ℱ / themorpheustutorials
🐦 / themorpheustuts
🐙 github.com/The...
You order from Amazon? Order through me, costs you zero and you help me out
"-(¯`-.-'¯)-" amzn.to/2slBSgH
Video requests?
🎁 docs.google.co...
Questions? Feedback? Write me!
✉ www.patreon.co...
✉ / themorpheustutorials
✉ the-morpheus.d...
or just write a comment :)

[@Venistro]

Naja, die Verschlüsselung ist ja eben *nicht* gebrochen. Es gab einen Fehler beim Umgang mit den Session-Keys, die Verschlüsselung an sich wurde aber eben nicht berührt. Wäre die Verschlüsselung (also AES) gebrochen, hätten wir ganz andere und viel größere Probleme... Edit: Wäre das Problem nicht gelöst, wenn man einfach den mit dem Session-Key verschlüsselten Traffic einfach nochmal mit dem WLAN Passwort verschlüsseln würde? Die Hardware ist da doch heute locker gut genug und ist ja sogar zu einem großen Teil auf AES optimiert. Dann braucht man auf jeden Fall das Passwort, welches aber dann im besten Fall einfach gar nicht übertragen wird, da es ja bereits im Router und Client eingetragen wurde, wenn man das WLAN nutzen darf.

[@TheMorpheusTutorials]

ja, ein Fix ist relativ leicht. Auch könnte man einfach die Nonces nicht resetten sondern zB neu aushandeln und alles wäre gut. Aber so wie es aktuell ist, ist es leider kaputt. Natürlich nicht die Verschlüsselung, die wird aber quasi umgangen.

[@dollacs]

SemperVideo war schneller :P

[@nicof_2000]

War doch schon gestern bekannt. Montag wurden halt alle Informationen gepostet.

[@dollacs]

Nico Felbinger Ja ? Was willste mir damit sagen?

[@nicof_2000]

Nun weil du sagst dsa SemperVideo schneller war. Ist doch gut das alle möglichen YT'er die Informationen rausgeben

[@dollacs]

Nico Felbinger Klar ist das gut! War nur Spaß. xD Man muss es so sehen, SemperVideo besteht aus einem Team, der arme Morpheus ist alleine und auch noch ein Armer Student.

[@TheMorpheusTutorials]

:D Und trotzdem war ich sogar eigentlich schneller.. Ich hatte schon gestern alles fertig und dann gemerkt, dass meine Aufnahme kaputt war :'(

[@Jungbluth11]

ein hoch auf das gute alte lan-kabel...

[@TheMorpheusTutorials]

Absolut

[@mndnf]

Danke für die Info!

[@boss47g]

6:04 Beste Stelle xD

[@TheMorpheusTutorials]

=)

[@jonastheultimate3952]

Danke dir!

[@TheMeatwagone]

Online Banking, 1000 Euro überweisen und dann abfangen xD ich glaub nicht, dass online banking unverschlüsselt ist.

[@TheMorpheusTutorials]

Als Beispiel 😂😂😂

[@nxtlvlshit1607]

Wirklich cooles Video

[@TheMorpheusTutorials]

danke

[@enricojanssen1709]

Heisst das das jeder diesen Angriff machen kann? Und wie funktioniert das mit den Patches wird das automatisch gepatcht?

[@TheMorpheusTutorials]

Grundsätzlich kann das jeder machen, ja kommt auf dein System drauf an

[@btx47]

Prinzipiell sollte es aber doch reichen wenn die Router Software geupdated wird. Wenn der/die/das Nonse des Routers hochgezählt wird ändert sich doch zwangsläufig auch immer der endgültige Schlüssel, selbst wenn Nonse des Clients 0 ist. Oder täusche ich mich?

[@TheMorpheusTutorials]

ja, eins der beiden Geräte zu patchen reicht eigentlich. Aber die Router brauchen meist länger :D Für Linux, Apple etc sind zB schon patches draußen. Von meinem Routerhersteller hab ich noch nichts gehört

[@yoshy0y624]

Kann trafiic auch gelesen werden, wenn die Angreifer nicht den wlan-Schlüssel haben?

[@TheMorpheusTutorials]

Danke @Max Schmitt

[@yoshy0y624]

ok danke

[@user-tw3gk9mb7z]

Kann man den Angriff denn mit einem Patch des Routers verhindern oder müssen alle Engeräte auch gepatcht werden?

[@TheMorpheusTutorials]

Eins von beiden sollte theoretisch ausreichen, da man das bei beiden Beteiligten machen muss, sonst nutzen sie unterschiedliche Schlüssel. Aber wenn ein Router mal nicht gepatcht ist, möchte ich lieber auf Nummer Sicher gehen und würde beides patchen :)

[@yoshy0y624]

Achso und muss der Angreifer in meiner Nähe sein oder kann jemand aus köln jmd aus berlin abhören?

[@mxschmitt_]

yoshy0y natürlich muss dieser dein wlan Signal dafür empfangen. Am besten muss der, der das ausnutzen will ggf. ein stärkeres Signal aussenden

[@Bigdrum2]

Danke.....trotz der durchgekommenem Dialekt. Cool. Mal wieder ;-)

[@TheMorpheusTutorials]

:D Sorry

[@mr.unkreativ718]

Könnte man nicht, wenn man mithört, den PTK problemlos errechnen?

[@TheMorpheusTutorials]

Ich habs hier etwas vereinfacht, nicht schlagen :) Passiert noch ein kleines bisschen mehr :)

[@mr.unkreativ718]

ok

[@reizhustenistdoof]

Ein MAC (respektive hier MIC genannt) ist nicht dasselbe wie eine Signatur....

[@TheMorpheusTutorials]

Eine Mac ist eine symmetrische Art von Integritätskontrolle, ja. Siehe auch meine playlist zu Kryptographie

[@0xTim]

Disclaimer: Ich schreibe das, bevor ich das Video sehe Es gibt Quellen, die berichten, dass Windows und iOS nicht betroffen sind, weil Microsoft/Apple Fehler bei der Implementierung des Protokolls gemacht haben. Für Linux kam gestern schon ein Patch raus und ich habe von mehreren Router-Herstellern gehört, die schon Updates geliefert haben. Anscheinend ist das Ganze eh nicht sooo gravierend wie anfangs befürchtet, weil es 'nur' einen Fehler mit den Session Keys gab und nicht die Verschlüsselung selbst gebrochen wurde.

[@TheMorpheusTutorials]

jap, alles richtig. Windows und iOS sind aber auch betroffen, aber nicht so schlimm. Apple hat auch schon Patches rausgehauen, allerdings nur für Beta

[@AdrianPunkt]

Danke dir!

[@TheMorpheusTutorials]

danke dir fürs Zusehen :)

[@troner6441]

Ist man mit einem VPN davor geschützt?

[@TheMorpheusTutorials]

ja

[@imvirpil]

14:40

[@eliahvogel4741]

könntest du noch ein praxisvideo machen, wo du zeigst wie das funktioniert? Also den hack an sich :D

[@TheMorpheusTutorials]

vermutlich nicht, weil schon wieder fast alles gefixt ist :D

[@eliahvogel4741]

The Morpheus Tutorials okay xD

[@vornamenachname7670]

Also ist keine Verschlüsselung mehr sicher?

[@TheMorpheusTutorials]

Doch schon, die Angriffe funktionieren ja nicht immer bzw werden repariert, aber patchen muss man

[@JP-dg6jg]

Du sagst beim Online Banking kann jemand den Empfänger des Geldes verändern. Und dann sagst du HTTPS ist sicher. Wer macht Online Banking ohne HTTPS?

[@TheMorpheusTutorials]

Normalerweise sollte es safe sein, aber es gibt auch andere

[@niknak2792]

Morpheus ich habe eine Frage: Was heisst gecrackt, habe es nicht verstanden. Aber sehr gutes Video mach weiter so

[@TheMorpheusTutorials]

KRACK ist nur der Name, den die Entwickler der Lücke gegeben haben. Kurz für Key Reinstalltion Attack. ;) gecrackt sagt man auch, wenn man zB ein Passwort rausgefunden hat, daher das Wortspiel

[@niknak2792]

The Morpheus Tutorials vielen Dank für deine Hilfe und könntest du mal ein FAQ Video machen? Nur wenn du Zeit und Lust hast, du bist ein sehr interessanter Mensch finde ich👍

[@Humanduck14]

Schon vor 5 Minuten getwittert (also ich ) trotzdem informativ

[@TheMorpheusTutorials]

Ja, ich war langsam, sorry :( Gestern aufgenommen, nach dem Hochladen gemerkt, dass meine Aufnahme gar nicht richtig funktioniert hatte..

[@TheLun4tic]

Besonders schlimm ist es, dass Linux längst gepatcht wurde und es keinen interessiert. Radio und Nachrichtenseiten schreiben nach wie vor das "besonders Linux und Android betroffen sei"... Ein simples Security Update des WPA Pakets in eurem Linux repariert das Problem. Windows hat das Problem ja auch angeblich schon am 10.10. gepatcht. Keine Panik also. Ich bezweifle auch, dass Banking Apps unverschlüsseltes HTTP verwenden. Wer sich am Handy über den Browser anmeldet und nicht auf https achtet ist eben selbst dran schuld. achtet drauf, dass eure Verbindung verschlüsselt ist, dann kann der Angreifer nach wie vor mit den Daten nix anfangen auch wenn euer WPA client kompromitiert wurde.

[@enricojanssen1709]

Ahhh wann war meine vorgestrige Win 10 aktualisierung dieser Patch, Danke!

[@t3chr0b0t2]

Ist OpenVPN kostenlos?

[@TheMorpheusTutorials]

siehe anderes Comment ;)

[@mpb12343]

Ja da hilft die Fritzbox indem mann die Signalstärke nur auf seine wohnung beschränkt.... bei mir geht das sehr gut nur ich in meiner Hütte empfange mein Wlan sonst kein anderer. Draußen findet niemand mein Wlan , habs ausprobiert. So können die häcker kucken wo Sie bleiben :) Leute einfach die Stärke niedrig stellen.

[@TheMorpheusTutorials]

Dann muss der Router aber ziemlich zentral stehen. Das klappt leider nur selten

[@mpb12343]

Das mag sein :) Aber bei mir ist das ohne Probleme möglich :) Nur in meiner Wohnung ist mein WLAN empfang bar. Sobalt ich die Wohnung verlasse habe ich kein Wlan mehr.

[@mulm8i710]

Was soll ich jetzt machen

[@TheMorpheusTutorials]

Patchen 😅 dann solltest du wieder sicher sein

[@AlexanderPrussak]

Echt gutes Video! Warum bin ich nicht früher auf diesem Kanal gestoßen?

[@TheMorpheusTutorials]

:D Vielen Dank :)

[@yodaimperium2837]

Und was ist wenn man eh kein Online Banking tätigt?

[@FerocLPs]

Hm ja.. was ist dann bloß?

[@TheMorpheusTutorials]

dann kann man trotzdem noch dein Passwort von anderen Seiten zB mitlesen

[@AlexanderPrussak]

die sind doch irgendwie noch durch https geschützt.. wenn ich das jetzt richtig verstanden habe

[@TheMorpheusTutorials]

ja, allerdings hat nicht jede Website https, auch wenn sie das haben sollte

[@HamburgerRemiX]

online banking ist grundsätzlich nicht betroffen, da zusätlich über https gegangen wird. da bringt kracks rein gar nichts.

[@Xedon.]

Solange man zB HTTPS benutzt ist das ganze kein Problem, da wird das manipulieren schwer ;) Oder 2auth am Router für WLAN Logins aktivieren, falls unterstützt ^^ Fritzbox ist scheinbar sowieso nicht betroffen (laut AVM)

[@TheMorpheusTutorials]

jap, das mit Https hab ich ja gesagt :) Außerdem sind bei den meisten Geräten schon fixes draußen

[@Xedon.]

The Morpheus Tutorials klar war nur nochmal ne Feststellung. Aber normal ist der Zugriff doch nicht möglich wenn man zB in der Fritzbox die Funktion "WLAN Zugang auf nur bereits bekannte WLAN Geräte zulassen" aktiv hat oder?

[@TheMorpheusTutorials]

Problem ist, dass der Angriff einfach die Verschlüsselung umgeht. Sprich das hat eigentlich nichts mit Zugang in dem Sinn zu tun

[@Xedon.]

The Morpheus Tutorials ah okay weißt du ob WPA 2 CCMP auch davon betroffen ist ?

[@TheMorpheusTutorials]

alles ist betroffen, ja

[@danieldaschle]

Meine Frage: Gibt es schon Tools und wie heißen die? :D

[@TheMorpheusTutorials]

Lohnt nicht, die meisten Anbieter patchen eh grade :D

[@peterwacker9297]

:O "eine andere Unterschrift wie der Client"?! Das ist für mich, das schlimmste grammatikalische Verbrechen was man machen kann. Es heißt ALS. Nicht wie. X( ;) Und normalerweise achte ich nicht auf Rechtschreibung und Grammatik. Ansonsten gutes Video. ;)

[@TheMorpheusTutorials]

ja manchmal kommt auch bei mir der Dialekt durch sorry :D

[@ihrkundenberater3095]

Peter Wacker Das ist für mich, die schlimmste Kommasetzung die, ich je gesehen habe.

[@peterwacker9297]

XD

[@Bigdrum2]

Lol :-)))...ich hatte den gleichen Reflex. cool :-)) Edit und außer den. Es heißt nicht, " Verbrechen was man machen kann", sondern Verbrechen wo man machen kann" :-))

[@butztill]

Wird wohl Zeit für WPA3

[@TheMorpheusTutorials]

ist wirklich so

[@fattomcat1505]

Unter Linux gibt's glaub schon n Patch.

[@m10046461]

lol man in the middle angriff wär doch jetzt denkbar XD

[@TheMorpheusTutorials]

braucht man gar nicht, man kann auch so mithören

[@m10046461]

sry ^^ hab kappa vergessen

[@pseudouser9360]

WPA2 Hat sich doch lange gehalten oder nicht :D

[@TheMorpheusTutorials]

Naja, es lässt sich leicht fixen, WPA2 ist noch nicht tot :)

[@pseudouser9360]

ich denke mindestens die hälfte der Leute die einen Custom Router hat updatet nicht weil sie es nicht wissen, ein paar denken sich ich brauch das nicht und der andere rest fixt. Solange die ISP Router automatisch geUpgraded werden haben wir keinen Weltuntergang. Beispiel: Siehe Mirai :D nicht massenhaft in Europa Aktiv aber trotzdem ist das ein wurm zum Oha sagen in meinen Augen. Diese Lücke ist bekannt und es wird immer Opfer geben die leider nichts davon wissen. Aber mich Interessiert mal deine Meinung zu dem ganzen also erzähl mal denkst echt in 1-2 Monaten ist das Thema vom Tisch?

[@keineangabeyt7834]

Rip WPA2

[@TheMorpheusTutorials]

nein, das nicht. Es muss nur gepatcht werden

[@nxtlvlshit1607]

Kannst du mich bei lol annehmen pls

[@TheMorpheusTutorials]

Ich spiele leider mittlerweile nicht mehr wirklich. Aber falls ich wieder spiele, melde ich mich =)

[@schlumpf01pflaume65]

Wen sich ürgentwer in unser home wlan hackt und ich das mitkrige ich DDos den zu Tode

[@TheMorpheusTutorials]

:D

[@schlumpf01pflaume65]

@@TheMorpheusTutorials ich hab mir mit Batch ein DDos program selbst geschrieben Leichter als man denkt

[@simonwalker4358]

Lol

[@TheKrueme]

VPN schützt dich nur zu 100% wenn du im Lan deinen eigenen VPN Server betreibst ( zB Raspberry Pi). Bei einem externen VPN musst du dem Betreiber vertrauen das er am Ende des Tunnels den Trafik der nicht mit https Verschlüsselt ist nicht protokoliert und mitliest !!! Junge du solltest Tutorials über Dinge machen die du auch verstehst und nicht nachplappern musst !!

[@TheMorpheusTutorials]

das hat aber in dem Fall absolut NICHTS mit KRACK zu tun. Du musst dem VPN-Betreiber immer vertrauen. Der Traffic der aber ungeschützt ohne http übertragen wird kann nicht von WPA2-Angreifern mitgelesen werden. Darum gings in diesem Video. Nicht um VPN-Betreiber. Du musst zuhören. Nicht einfach nur Hate-Kommentieren.

[@t3chr0b0t2]

Ist OpenVPN kostenlos?

[@TheMorpheusTutorials]

Die Software ja, aber du brauchst einen Server zum Verbinden