Kann jemand Dateien von Ihrem PC herunterladen, wenn Sie öffentliches WLAN verwenden?

9002
Test100

Szenario: Sie verwenden einen Laptop, der an ein öffentliches WLAN-Netzwerk eines Starbucks, eines Flughafens usw. angeschlossen ist.

Frage: Kann ein mit demselben WiFi-Netzwerk verbundener Fremder die Dateien von Ihrem Computer herunterladen? Kann der Fremde Ihre Akten einsehen?

29
Ja. Ich habe einmal versehentlich den falschen Computer eingegeben, als ich versuchte, eine Datei vom Laptop meines Freundes zu kopieren, während wir in einem Café dieselbe WLAN-Verbindung herstellen. Erraten Sie, was? Die Besitzer legen ihre Videos für Erwachsene in den Ordner ** Öffentliche Dokumente **. Natürlich liegt es an der Unachtsamkeit, die unten erwähnt wird. Weitere Informationen finden Sie unter https://security.stackexchange.com/q/36263/89181 https://security.stackexchange.com/q/14927/89181 phuclv vor 6 Jahren 5
@ LưuVĩnhPhúc: Du meinst "ihre", als hätten sie sie gefilmt ?! Lightness Races in Orbit vor 6 Jahren 2
Die Antwort hängt vom Betriebssystem ab und davon, welche Dienste und Daemons ausgeführt werden. can-ned_food vor 6 Jahren 0
@LightnessRacesinOrbit Ich meine "ihre" als ihre besessene Datei, nicht den eigenen Film (weil selbst ich nicht weiß, wessen Laptop das ist) phuclv vor 6 Jahren 0
@ LưuVĩnhPhúc: Witze Lightness Races in Orbit vor 6 Jahren 0

4 Antworten auf die Frage

51
LSerni

Frage: Kann ein mit demselben WiFi-Netzwerk verbundener Fremder die Dateien von Ihrem Computer herunterladen? Kann der Fremde Ihre Akten einsehen?

Ja, aber es erfordert erhebliche Nachlässigkeit seitens des Opfers.

Unter Windows müssen Sie als Erstes dem System mitteilen, dass das Netzwerk, mit dem Sie verbunden sind, entweder "Zuhause" oder "Arbeit" und nicht "Öffentlich" ist. Da Sie wissen sollten, dass Sie sich in einem Flughafen befinden, ist dies unwahrscheinlich.

Dann sollten Sie die Gastanmeldung zulassen (standardmäßig nicht).

Alternativ müssen Sie auf ein externes unverschlüsseltes System zugreifen, das die Windows-Authentifizierung unterstützt. Der Dienst sollte sich außerhalb des Flughafens befinden und Anmeldungen aus dem Internet zulassen, und nur sehr wenige würden es ermöglichen, unverschlüsselt zu arbeiten.

Schließlich müssen dieses System und Ihre eigene Box denselben Benutzer und dasselbe Kennwort verwenden. Auf diese Weise ermöglicht das in der vorherigen Phase erfasste Kennwort auch die externe Anmeldung auf Ihrem System. ODER Sie müssen einen leicht zu erratenden Benutzernamen und das gleiche Kennwort eines Klartextdienstes haben, auf den Sie zugegriffen haben.

Andernfalls könnte der Angreifer Ihren DNS-Cache vergiften und Ihr System "davon überzeugen", dass der Facebook-Server oder der GMail-Server oder was Sie haben in Ihrem Koffer ist. Dann würde er entweder eine HTTPS-Verbindung erzwingen (z. B. über einen MitM-Angriff, den Sie ignorieren müssen) oder sie im Klartext fälschen (und Sie dürfen nicht die Tatsache bemerken, dass Sie in reinem HTTP laufen). Auf diese Weise kann der Angreifer eines Ihrer Passwörter erhalten. Wenn es für Ihr System gut ist oder einen Passwort-Retrieval-Angriff auf ein anderes System zulässt, sind Sie (und / oder Ihr Online-Banking-Konto) kurz davor, pwn3d zu sein.

Dies ist nicht das WLAN, nach dem Sie gesucht haben

Eigentlich braucht der Angreifer nicht viel, um Zugriff auf Ihre Übertragungen zu erhalten. Möglicherweise war er der Besitzer des WiFi-Netzwerks, der gerade einen Schurken-AP eingerichtet hat, der sich als "Airport Free WiFi" bezeichnet. Die Tatsache, dass der AP-Name legitim erscheint, bedeutet nichts: Es gibt bereits Systeme, die dafür entwickelt wurden : Kaufen Sie eines, berechnen Sie es über Nacht, gehen Sie zum Flughafen und fangen Sie an, nach Fischen zu suchen. Das System "massiert" optional die durchfließenden Daten, um die maximale Nutzbarkeit von Passwörtern und Berechtigungsnachweisen zu gewährleisten.

Sobald Sie mit einer Site verbunden sind, der Sie vertrauen (oder Sie glauben so), können Sie etwas dazu bringen, etwas herunterzuladen und auszuführen, das dem Angreifer die vollständige Kontrolle gibt, entweder direkt (z. B. in Windows durch WSH) oder durch einen Exploit.

Unter Linux ist der einzige relevante Unterschied, dass Sie entweder Ihre Festplatte freigeben oder den Remote Administration Port 22 (SSH) geöffnet haben sollten. Beide Bedingungen sind normalerweise in jeder gesunden Verteilung, die ich kenne, falsch.

Aber es sind nicht nur Ihre Dateien ...

Das Sichern Ihrer Festplatte ist keine Garantie für Ihr Online-Banking-Konto, Ihre Dropbox, Ihre E-Mail-Adresse usw. - das Problem liegt in den Diebstählen und / oder dem Identitätswechsel von Berechtigungsnachweisen . was damit eigentlich gemacht wird , kommt danach.

Weshalb:

  • Sie sollten die Verwendung unbekannter Netzwerke vermeiden.
  • Wenn Sie dies tun, verwenden Sie sie über ein verschlüsseltes VPN.
  • Halten Sie immer die Sicherheit des Systems hoch (nur deklarieren „Home Network“ Ihr Netzwerk in Ihrem Haus)
  • Halten Sie das System mit einem geeigneten Virenschutz auf dem neuesten Stand
  • Verwenden Sie niemals wichtige Passwörter für verschiedene Websites
  • Situationsbewusstsein aufrechterhalten - Beachten Sie Dinge wie das "grüne Schloss" auf HTTPS-Sites, kleine Störungen in den Anmeldebildschirmen, die sich nicht "richtig" anfühlen, und Verrücktheiten in URLs (z. B. "myonlinebank" wird zu "myon I inebank").

Ewige Wachsamkeit ist der Preis der Freiheit .

Vielleicht eine seltsame Frage, aber warum sollte ich mein Heimnetzwerk zu meinem Heimnetzwerk erklären? Ich erlaube (nicht technisch versierte) Gäste mit (nicht aktualisierten) Smartphones in meinem Netzwerk zu Hause. Warum kann ich dem vertrauen? Matty vor 6 Jahren 0
@Matty guter Punkt. Was ich damit meinte ist, dass * wenn * Sie jemals ein Heimnetzwerk deklarieren, dies sollte nur Ihr Heimnetzwerk sein. Sie sollten jedoch auch dem nicht vertrauen (was bei Netzwerkdruckern, die möglicherweise von außen erreichbar sind und / oder schädliche OTA-Pakete herunterladen usw.), bekannt ist: https://www.esecurityplanet.com/network-security /can-Ihre-Drucker-Ausgabe-Ihr-Netzwerk-at-risk.html) LSerni vor 6 Jahren 2
"Ja, aber es erfordert erhebliche Nachlässigkeit seitens des Opfers." Oder extreme Professionalität und Bereitschaft des Angreifers. VL-80 vor 6 Jahren 2
Msgstr "Alternativ müssen Sie auf ein externes System zugreifen, das die Windows - Authentifizierung unterstützt." Was bedeutet "klar"? Ehrlich gesagt, macht der ganze Absatz und der folgende Absatz für mich nicht viel Sinn; Können Sie ein Beispiel für die Art von Angriff angeben, die Sie beschreiben? Anthony Grist vor 6 Jahren 2
@AnthonyGrist Er meint unverschlüsselt. Ich stimme zu, dass die Formulierung etwas verwirrend ist. Das beschriebene Szenario besteht darin, dass Sie auf eine Ressource über einen unverschlüsselten Kanal zugreifen und Ihren Benutzernamen und Ihr Kennwort im Klartext senden. Dieselbe Kombination aus Benutzername und Kennwort ermöglicht es dem Angreifer, auf Ihren Computer zuzugreifen, weil Sie das Kennwort erneut verwendet haben. Jon Bentley vor 6 Jahren 1
@AnthonyGrist Entschuldigung. Ich habe JonBentleys Korrektur eingebaut - da Sie Vermutungen haben, ist Englisch nicht meine Muttersprache :-) - Ich sage normalerweise * in chiaro *, um * unverschlüsselt * zu bedeuten, und es war für mich selbstverständlich, als * in * zu übersetzen klar*. LSerni vor 6 Jahren 0
@ Matty: Erlaube nicht nicht vertrauenswürdige Gäste in demselben Netzwerk wie du. Mathieu K. vor 6 Jahren 0
@LSerni In Fairness für Sie habe ich "im Klartext" als "unverschlüsselt" verstanden, aber vielleicht ist es im Englischen nicht so verbreitet, wie ich denke. :) Dan J vor 6 Jahren 1
Auch für die Beratung am Ende wäre eine Zwei-Faktor-Authentifizierung eine gute Idee, um dies zu verhindern Melkor vor 6 Jahren 0
Erfordert das nicht auch Nachlässigkeit beim legitimen WLAN-Anbieter? Ich glaube, die meisten Zugangspunkte verfügen standardmäßig über eine Clientisolierung für öffentliche Netzwerke, in denen die drahtlosen Clients das Internet sehen können, sich jedoch nicht gegenseitig. Und das muss in den Einstellungen des Zugangspunkts ausgeschaltet sein? GSerg vor 6 Jahren 0
2
Sean Davey

Möglicherweise können sie persönliche Informationen erfassen, Ihren DNS-Cache vergiften und viele andere ziemlich böse Dinge, aber sie können Ihre persönlichen Dateien nicht herunterladen, ohne dass ein paar Dinge zuerst in Ihrem Namen schief laufen.

Wenn aus irgendeinem Grund Ihre Passwörter erfasst werden könnten, die im Klartext übertragen werden, können sie ssh an Ihren Computer senden, vorausgesetzt, Sie erlauben eingehende Port 22-Verbindungen (unwahrscheinlich).

Wenn Sie dazu gezwungen werden könnten, eine schädliche Datei zu akzeptieren, könnten Sie für einen Reverse-Proxy-Angriff offen sein, wobei die von Ihnen akzeptierte Datei automatisch versucht, das Angreifersystem zu verbinden und ihnen Zugriff auf Ihr System zu gewähren.

Diese Angriffsvektoren sind nicht einfach zu bewerkstelligen, sie sind zwar möglich, aber im Allgemeinen sind Sicherheitsbewusste Benutzer und die meisten durch das System gehärteten Standardwerte in der Lage, solche Angriffe zu verhindern. Ich hoffe es hilft

Was ist mit den freigegebenen Ordnern, die Zugriff auf alle Benutzer ermöglichen? user6900 vor 6 Jahren 2
@ user6900 Dies gilt nur, wenn die Dateifreigabe aktiviert ist. Standardmäßig aktiviert Windows die Dateifreigabe in einem als "öffentlich" bezeichneten Netzwerk nicht. Wenn Sie diese Option ändern oder das öffentliche WLAN-Netzwerk als "privat" kennzeichnen, dann ... Bob vor 6 Jahren 0
Ich sehe das immer wieder, wenn ich öffentliche Hotspots betrete und in den Dokumenten anderer Leute erstaunt bin. Es scheint, dass die Leute das Filesharing aktivieren und einige Standardeinstellungen beibehalten, die viel mehr gemeinsam nutzen, als sie glauben. Oder vielleicht haben sie in einem privaten Netzwerk so viel mehr geteilt, weil es einfacher ist und vergessen hat. So oder so, es ist keine Frage, dass dies passiert. Viel. Oh, ich sollte hinzufügen, dass dies auf OS X war, ich weiß nicht über Windows. Jonathan van Clute vor 6 Jahren 2
Guter Anruf, eigentlich war meine Antwort, unwissentlich nur für * Nix-basierte Systeme, ich habe mich seit einigen Jahren nicht mehr auf die dunkle Seite des Fensters gewagt, ein öffentlicher Flughafen-WLAN mit Fenstervorgaben würde dies sicherlich nicht in Betracht ziehen. Sean Davey vor 6 Jahren 0
2
fred_dot_u

Sie sollten die Verwendung des öffentlichen WLANs für vertrauliche Informationen vermeiden, es sei denn, Sie können sich auf eine feste und sichere Verbindung verlassen. Es gibt eine Praxis namens Man-in-the-Middle, bei der ein Benutzer in der Nähe des öffentlichen WLAN-Standorts seinen Computer so konfiguriert hat, dass er so aussieht, als würden Sie eine Verbindung zum lokalen Dienst herstellen. In Wirklichkeit verbinden Sie sich mit seinem Computer, der Ihre Aktivitäten durch einen Filter leitet, um sensible und nützliche Informationen zu sammeln. Nach dem Sammeln werden Ihre Aktivitäten an das vorgesehene Ziel weitergeleitet.

0
mckenzm

Ja, sie können dies wie bei jeder Internetverbindung, aber es ist möglicherweise einfacher, Dateien an einen freigegebenen Speicherort hochzuladen, damit sie heruntergeladen werden können. Das "Push from Device" ala gestohlenes Smartphone.

Der sicherste Weg, jemandem das schnelle Herunterladen von Dateien von Ihrem Gerät zu ermöglichen, während Sie sich im öffentlichen WLAN befinden, besteht darin, Ihr privates Netzwerk über VPN zu verwenden und einen Ordner in diesem Netzwerk freizugeben. Dies ist das Szenario "Road Warrior".

Andernfalls müssen sie Ihre IP-Adresse kennen. Dynamisches DNS mit SSH für gleichzeitige Anmeldung funktioniert ebenfalls, sie benötigen jedoch Berechtigungen für die Dateien. Dynamisches DNS kann hausgemacht sein, Sie können die IP-Adresse per E-Mail senden oder auf einem Server ablegen.

Sie können auch eine RDP / VNC-Verbindung zu einem Computer in Ihrem privaten Netzwerk herstellen. Dies ist immer noch ein zweistufiger Prozess, wenn Sie zuerst vom Hostgerät kopieren. Die Fernsteuerung Ihres Geräts ist ebenfalls möglich, aber unbeholfen.

Die am wenigsten sichere Methode wäre, einen einfachen FTP-Server zu betreiben, auf den sie zugreifen können. Jeder kann das schnauben. Es kann Sie nicht stören, wenn es nur eine Einkaufsliste oder ein Fender Bender ist.

Die verschlüsselte Datei + VPN + RDP / VNC bietet drei Ebenen, wobei die WLAN-Verschlüsselung nicht berücksichtigt wird.

Verwandte Probleme