Schützt https in einem öffentlichem Hotspot vollständig?
Wenn man in einem öffentlichem Hotspot verbunden ist und nur https benutzt, ist man dann komplett sicher vor anderen im öffentlichem Hotspot, die deine Daten klauen möchten, egal ob es eine Man-in-the-middle Attacke oder ein Evil Twin ist?
Bitte antwortet nur, wenn ihr euch auskennt oder sagt, dass ihr unsicher seid.
Danke
1 Antwort
Schützt https in einem öffentlichem Hotspot vollständig?
Die Frage ist: Wovor möchtest Du geschützt sein?
HTTPS betrifft natürlich nur die im Browser aufgerufenen Webseiten. Bevor der Browser allerdings eine Webseite anzeigen kann, muss er eine DNS-Auflösung machen. Das bedeutet, dass der Browser nach der IP-Adresse zum aufgerufenen Servernamen fragt. Das geschieht in der Regel im Klartext. Die Antwort sieht dann z. B. so aus:
Name: www.gutefrage.net
Address: 213.95.206.42
Name: www.gutefrage.net
Address: 213.95.206.41
Name: www.gutefrage.net
Address: 2001:780:12e::42
Name: www.gutefrage.net
Address: 2001:780:12e::41
Es ist also sichtbar, welchen Server Du aufrufst. Vermeidbar ist das, indem Du verschlüsseltes DNS verwendest. Chrome und Firefox unterstützen inzwischen DNS over TLS (DoT). Das ist in den Standardeinstellungen meines Wissens nicht aktiviert, man kann es aber aktivieren. Google hilft dabei. Dann werden solche DNS-Anfragen und deren Antwort verschlüsselt übertragen.
Im nächsten Schritt baut der Browser eine verschlüsselte Verbindung auf. Auch dabei wird der Servername im Klartext und damit lesbar übertragen. Die DNS-Verschlüsselung hat dann also nichts gebracht. Abhilfe: Derzeit keine.
Die Anfrage an den Webserver (https://www.gutefrage.net/frage/schuetzt-https-in-einem-oeffentlichem-hotspot-vollstaendig) wird verschlüsselt übertragen, die Antwort des Servers auch. Ein Mitleser sieht also nur, dass Du mit www.gutefrage.net kommunizierst, nicht jedoch welche Frage Du liest, kommentierst, beantwortest oder fragst.
die deine Daten klauen möchten
Login-Daten werden auch verschlüsselt übertragen. Du kannst auch Online-Banking machen, ohne dass man das mitlesen kann. Hier besteht also keine Gefahr.
egal ob es eine Man-in-the-middle Attacke
Zum Mitlesen muss man kein Man-in-the-Middle sein, weil die Daten ja direkt aus der Luft abgreifbar sind. Ein Man-in-the-Middle, der HTTPS-Verschlüsselung brechen möchte, fällt auf, weil Du unübersehbar Zertifikatswarnungen bekommst.
oder ein Evil Twin ist?
Warum sollte man einen Evil Twin für einen öffentlichen Hotspot machen? Ein Evil Twin ist sinnreich, wenn man Logindaten für ein WLAN abgreifen möchte. Öffentliche Hotspots haben keinen Login, da gibt es nichts abzugreifen. Ein Evil Twin bleibt nur unbemerkt, wenn der Original-Accesspoint exakt nachgebildet wird: Name, Verschlüsselungsart, Logindaten. Wenn jemand Dein heimisches WLAN mit einem Evil Twin nachmacht, den Twin aber nicht mit WPA2, sondern offen konfiguriert, ist das für Dein Endgerät ein anderes WLAN, mit dem es sich nicht selbstständig verbindet. Wenn Du das manuell machst, siehst Du, dass das ein offenes WLAN ist. Wenn jemand Dein heimisches WLAN nachbaut und so wie das Original WLA2-Verschlüsselung einstellt, das Passwort aber anders setzt (er kennt ja hoffentlich Dein Passwort nicht), dann fragt Dein Endgerät nach dem Passwort. Dann solltest Du stutzig werden. Wenn der Angreifer Dein WLAN-Passwort kennt und Dein heimisches WLAN 1:1 nachbaut, verbindet sich Dein Gerät selbstständig und Du bemerkst es nicht. Der Angreifer sieht Deinen WLAN-Datenverkehr also unverschlüsselt und damit so wie ein Mithörer in einem offenen WLAN.
Ein offenes WLAN als Evil Twin ergibt in meinen Augen absolut keinen Sinn.
Ich hab dann den falschen Fachbegriff verwendet, ich meinte die Attacke, wenn man sein eigenen Hotspot erstellt, ohne Passwort, der sich als ein Hotspot von einem Hotel oder von einem Cafe ausgibt..
Wo ist der Unterschied, ob Du Dich jetzt als Nutzer mit dem regulären Hotspot verbindest oder mit dem Twin? In der Regel ist ein solcher Hotspot ein offenes WLAN, also ohne Verschlüsselung. Als Angreifer kann ich Deine Daten auch direkt aus der Luft abgreifen, ohne einen Twin aufzubauen. Auf die HTTPS-Verschlüsselung hat das alles keinen Einfluss.
Ich hab dann den falschen Fachbegriff verwendet, ich meinte die Attacke, wenn man sein eigenen Hotspot erstellt, ohne Passwort, der sich als ein Hotspot von einem Hotel oder von einem Cafe ausgibt..
Könnte man dann auf Daten unverschlüsselt zugreifen?