WLAN-Client active probe requests deaktivieren?
Es ist ja bekannt, dass das vermeintliche Sicherheitsfeature "Deaktivieren des SSID Broadcast" (Option in Routern/APs) nichts nützt.
Sondern sogar schadet, da WLAN-Clients so Active Probing machen müssen und so potentielle Angreifer auf die SSID aufmerksam machen und auf Honeypot-Attacken hereinfallen können.
Wie ich den SSID-Broadcast meiner Fritzbox wieder aktiviere, weiss ich.
Aber wie stelle ich sicher, dass meine WLAN-Clients (Android-Smartphone, Win10-PC) tatsächlich auf Active Probe Requests verzichten?
Weitere Informationen:
Another giveaway for your hidden network are your mobile devices themselves. For user convenience, computers and cell phones are always trying to reconnect to your preferred Wi-Fi network.
Normally this is handled by the device acting as a receiver – it is listening for a ping with the SSID of the router to establish a connection. When you use a hidden SSID, you shift that responsibility to the mobile device as opposed to the router. Now, whenever your device is away from the hidden network, it’s constantly sending pings to look for the router.
Neben dem Komfortverlust besteht die Gefahr, dass man sich durch eine versteckte SSID verrät, wenn man mit seinem Smartphone unterwegs ist. Statt passiv die empfangbaren WLANs nach bekannten Namen zu durchsuchen und dabei keine Informationen nach außen zu tragen, muss das Smartphone aktiv in der Umgebung nach der versteckten SSID fragen, um eine Verbindung aufbauen zu können. Dadurch verrät das Smartphone seinen Standort an WLAN-Betreiber.
Wie schätzt Ihr das ein?
2 Antworten
Es ist ja bekannt, dass das vermeintliche Sicherheitsfeature "Deaktivieren des SSID Broadcast" in Routern/APs nichts nützt.
Na ja, ist das wirklich bekannt?
Aber wie stelle ich sicher, dass meine WLAN-Clients (Android-Smartphone, Win10-PC) tatsächlich auf Active Probe Requests verzichten?
Im Moment des Verbindens findet immer ein Probing statt. Das gehört zum Ablauf nach 802.11 dazu. Nach meinem Kenntnisstand machen die Betriebssysteme heute wirklich nur noch aktives Probing, wenn dies auch wirklich erforderlich ist - sprich: Wenn in den konfigurierten Netzwerken ein "verstecktes" WLAN enthalten ist.
Konfigurierbar ist das indes nicht. Das ist eine Eigenschaft des Betriebssystems bzw. Treibers.
Ich habe die Fragebeschreibung um weiterführende Informationen ergänzt - bitte lesen.
Das sind Grundlagen der Funktionsweise von WLANs, zumindest mir altbekannte Dinge. Vom Wort "ping" sollte man sich allerdings nicht verwirren lassen. Mit dem Ping, den man sonst so kennt, hat das nichts zu tun. Ein AP sendet alle 100 ms ein sogenanntes Beacon pro SSID, wo im Normalfall der Name enthalten ist. "Versteckt" man sein WLAN, werden die Beacons trotzdem gesendet, aber ohne den Namen des WLANs. Ein Client betreibt normalerweise passives Scanning, indem er einfach auf diese Beacons lauscht. So sieht er, welche WLANs in Reichweite sind.
Bei versteckten WLANs ist dann eben aktives Scanning angesagt, der Client fragt aktiv in regelmäßigen Abständen nach den WLANs. Die geschieht durch sogenannte Probe Requests, auf die ein AP mit einem Probe Response antwortet, sofern er das nachgefragte WLAN anbieten kann.
Wie verhält sich der Client, wenn man die SSID-Broadcast Einstellung des Routers/AP ändert:
Wenn das WLAN neuerdings seine SSID nicht mehr bekanntgibt, würde der Client davon ausgehen, dass das WLAN nicht verfügbar ist, obwohl es ja eigentlich da ist.
Richtig. In den Einstellungen von Windows gibt es zwei Optionen:
Automatisch verbinden, wenn dieses Netzwerk in Reichweite ist
Ist diese Option deaktiviert, findet kein aktives Scanning statt.
Verbinden, selbst wenn das Netzwerk seinen Namen nicht sendet (SSID)
Ohne diese Option findet kein aktives Scanning statt.
Die zweite Option wird automatisch gesetzt, wenn man sich mit einem versteckten WLAN verbindet. Sie wird nicht automatisch gesetzt, wenn man sich mit einem sichtbaren WLAN verbindet. Wenn man also nachträglich das WLAN umkonfiguriert, bleibt diese Option unverändert und das Gerät reagiert entsprechend.
Wie das bei Mobilsystemen aussieht, weiß ich aktuell nicht. Wie das bei Linux-basierenden Systemen aussieht, habe ich ebenfalls noch nicht getestet.
Wenn das WLAN neuerdings seine SSID bekanntgibt, könnte der Client eigentlich aufs Active Probing verzichten. Die Frage ist, ob der Client von selbst auf die Idee kommt, auf Active Probing zu verzichten.
Nach meinem Kenntnisstand nicht.
Eine Konsequenz dieser Theorie wäre, dass man das betreffende WLAN im Client neu anlegen muss, wenn man im Router/AP die Einstellung des SSID-Broadcast geändert hat?
Zumindest bei Windows kann man die Optionen manuell nachträglich anpassen, siehe oben.
Wie das bei Mobilsystemen aussieht, weiß ich aktuell nicht. Wie das bei Linux-basierenden Systemen aussieht, habe ich ebenfalls noch nicht getestet.
Ich habe es jetzt ausprobiert (Samsung Note 8 mit Android 9):
- Hatte man das WLAN im Client eingerichtet während SSID-Broadcast inaktiv war (also musste man die SSID im Client eingeben), verbindet sich der Client auch, wenn SSID-Broadcast vorübergehend eingeschaltet und dann wieder ausgeschaltet wurde. Also wird der Client bei neuerdings aktivem SSID-Broadcast seine Einstellung nicht ändern, sondern sobald man die Reichweite des WLANs verlässt weiterhin Active Probing machen.
- Hatte man das WLAN im Client eingerichtet während SSID-Broadcast aktiv war (also hat man im Client die SSID aus der Liste der gefundenen WLANs ausgewählt), verbindet sich der Client nicht, wenn der SSID-Broadcast ausgeschaltet ist. Also unterlässt der Client die aktive Suche nach diesem WLAN.
- Das gilt auch, wenn andere WLANs mit versteckter SSID eingetragen sind. D.h. auch wenn Active Probing generell noch aktiv ist, werden als eigentlich sichtbar bekannten WLANs dennoch einfach nicht gesucht.
Hatte man das WLAN im Client eingerichtet während SSID-Broadcast inaktiv war (also musste man die SSID im Client eingeben), verbindet sich der Client auch, wenn SSID-Broadcast vorübergehend eingeschaltet und dann wieder ausgeschaltet wurde. Also wird der Client bei neuerdings aktivem SSID-Broadcast seine Einstellung nicht ändern, sondern sobald man die Reichweite des WLANs verlässt weiterhin Active Probing machen.
Ob der Client bei sichtbarem WLAN das aktive Scanning macht, kannst Du bei sichtbarem WLAN nur feststellen, indem Du mitsnifferst. Aber ich würde davon ausgehen, dass der Client seine Einstellungen nicht selbstständig ändert.
Hatte man das WLAN im Client eingerichtet während SSID-Broadcast aktiv war (also hat man im Client die SSID aus der Liste der gefundenen WLANs ausgewählt), verbindet sich der Client nicht, wenn der SSID-Broadcast ausgeschaltet ist. Also unterlässt der Client die aktive Suche nach diesem WLAN.
... weil kein aktives Scanning stattfindet. Wie gesagt, das war vor ein paar Jahren noch anders.
Das gilt auch, wenn andere WLANs mit versteckter SSID eingetragen sind. D.h. auch wenn Active Probing generell noch aktiv ist, werden als eigentlich sichtbar bekannten WLANs dennoch einfach nicht gesucht.
Aktives Scanning ist keine Einstellung der Schnittstelle, sondern gehört zur Einstellung einer konkreten WLAN-Konfiguration. Und das ist auch gut so.
Gar nicht. Die machen das unabhängig von dieser Einstellung, sobald sie das wlan nicht mehr sehen.
Gar nicht. Die machen das unabhängig von dieser Einstellung, sobald sie das wlan nicht mehr sehen.
Klingt einleuchtend - ich habe im Android Smartphone auch keine Einstellung dazu gesehen.
Aber ich frage mich dann, warum diese Artikel etwas Anderes behaupten:
Another giveaway for your hidden network are your mobile devices themselves. For user convenience, computers and cell phones are always trying to reconnect to your preferred Wi-Fi network.
Normally this is handled by the device acting as a receiver – it is listening for a ping with the SSID of the router to establish a connection. When you use a hidden SSID, you shift that responsibility to the mobile device as opposed to the router. Now, whenever your device is away from the hidden network, it’s constantly sending pings to look for the router.
Neben dem Komfortverlust besteht die Gefahr, dass man sich durch eine versteckte SSID verrät, wenn man mit seinem Smartphone unterwegs ist. Statt passiv die empfangbaren WLANs nach bekannten Namen zu durchsuchen und dabei keine Informationen nach außen zu tragen, muss das Smartphone aktiv in der Umgebung nach der versteckten SSID fragen, um eine Verbindung aufbauen zu können. Dadurch verrät das Smartphone seinen Standort an WLAN-Betreiber.
Wie schätzt Du das ein?
Interessant, das war mir so tatsächlich nicht bekannt, macht aber tatsächlich Sinn. Ich weiß nur, dass es sich nicht explizit am Client deaktivieren lässt.
Ok, dann bin ich mit meiner Unsicherheit dazu nicht alleine.
Bei Ratgebern zu IT-Sicherheit ist es manchmal wie bei Gesundheitsratgebern:
Die machen einen mit einer Sache verrückt, die eigentlich kein Problem ist oder die man sowieso nicht ändern kann...
Die machen das unabhängig von dieser Einstellung, sobald sie das wlan nicht mehr sehen.
Das ist tatsächlich nicht der Fall. Die Schnittstellen machen passives Scanning um zu erkennen, welche WLANs in der Reichweite angeboten werden. Aktives Probing machen sie nach meiner Erfahrung nur noch, wenn ein "verstecktes" WLAN konfiguriert ist - und dann auch nur für dieses versteckte WLAN.
Es war bis vor ein paar Jahren tatsächlich noch anders. Da haben insbesondere die Mobilbetriebssysteme, und von denen insbesondere iOS, ständig aktives Scanning gemacht für alle WLANs, mit denen das Gerät irgendwann mal verbunden war. Aber wie gesagt, das ist schon Jahre her. Von Desktop-Betriebssystemen kenne ich ein derartiges Verhalten überhaupt nicht.
Ich habe die Fragebeschreibung um weiterführende Informationen ergänzt - bitte lesen.
Macht ja Sinn. Dann bleibt nur die Frage, wie es im Detail implementiert ist:
Wie verhält sich der Client, wenn man die SSID-Broadcast Einstellung des Routers/AP ändert:
Meine Vermutung: Eventuell legt der Client die Einstellung zum Active Probing daran fest, wie das WLAN im Client eingerichtet wurde:
Eine Konsequenz dieser Theorie wäre, dass man das betreffende WLAN im Client neu anlegen muss, wenn man im Router/AP die Einstellung des SSID-Broadcast geändert hat?