Avoimien verkkojen turvallisuus

[tinttia]

Ei varsinaisesti Apple-aiheinen keskustelu, mutta kun tästä uudesta iBookista tuo Airport löytyy, niin arvelin että täältä joku osaisi vastata.

Kuinka luotettavia nuo avoimet verkot oikein ovat, mitä koneella uskaltaa oikesti niissä tehdä? Onko kannattavaa esim. pankkipalveluja käyttää langattomasti, tai sitten nettisähköposteja lueskella? Voiko joku kaapata salasanoja tms. siitä välistä? Vai pitääkö tyytyä vain uutisia lukemaan ja nettipelejä pelailemaan, ilman henkilökohtaisia tietoja? Kuinka langaton verkko eroaa turvallisuutensa puolesta normaalin piuhan päässä olevaan veljeensä?

Lahdesta ainakin löytyy tuollainen ilmainen kansalaisverkko, johon kaikilla on pääsy, olenko ymmärtänyt oikein? Ja muualta löytyy useita palveluntarjoajia, jotka tarjoavat Wlaneja rahaa vastaan. Itse käytän lähinnä koululta löytyvää langatonta Wlan-verkkoa, joka tarvitsee autentikoinnin ennenkuin sitä pääsee käyttämään. Siihen tarvitsee koulun koneille olevan intranet-tunnuksen, jolla pääsee sitten palvelua käyttämään. Eroaako tämä turvallisuutensa puolesta noista yllä mainitsemistani verkoista?

Itseä vaan lähinnä windows-maailman aiheuttaman paranoian jälkeen tuntuu kovin helpottavalta mac-maailman turvallisuus ilman ulkoisia virussoftia tai haittaohjelmia. Vai onko tämä vain silmänlumetta ja joku tälläkin hetkellä konettani moukaroi..?

Tällaisia pohdiskellen ja palomuurin säätöruuvia kiristellen,

[Jamac]

Voiko joku kaapata salasanoja tms. siitä välistä?

Kyllä voi ja todella helposti, ellei mitään salausta käytetä. Jos paikalla on muita wlan-vastaanottimia, niin tilanne on sama kun huutelisit lujaa ääneen kadun yli luotettavalle taholle salasanojasi, ja toivot ettei kukaan muu kadulla ole kiinnostunut kuulemaan niitä salasanoja. Radioyhteys ilman suuntaavaa antennia leviää aina joka suuntaan, ja ellei radioyhteyden kautta lähetettävää dataa cryptata niin kuka tahansa sen voi vastaanottaa. Ja jos se on cryptattu niin edelleenkin kuka tahansa voi ottaa datan talteen, mutta siitä ei (helpolla) saa mitään tolkkua.

[Lare]

Mielenkiintoinen aihe.
Pankkipalvelut käyttävät HTTPS-protokollaa joka salaa yhteyden. Lisäksi esim Nordealla on vaihtuvasalasanalista. -> kaappaus ei paljoa hyödytä. Silti epäileilen enkä käyttäisi avointa verkkoa rahaasioissa.
Esim Hopeisen omenan salasanan saa kaapattua.

Ethernet piuha on jossainmäärin turvallisempi, riippuu tietysti kenen verkossa olet. Jos olet esim Elisa/Sonera tms:ssä kiinni, linjalla roikkujia tuskin on.

Mänsälän WLAN-verkko ja Rauma näyttää ehdottavan VPN-yhteyttä. VPN:ssä tarvitaan verkonpäässä taho, joka purkaa salauksen. Firmat käyttää VPN:ää kun otetaan etäyhteyksiä firman servereille.

[BugsBunny]

Kylläpä vain Soneran verkossa taannoin porttiskannauksista varoittava ohjelma aina silloin tällöin pärisi...

[mtoivo]

Jotenkin koen itseni vastuulliseksi vastata tähän, kun ainakin yritän hoitaa tietoverkon turvallisuuden ylläpitoa myös työkseni.

Ennenkuin kyseenalaistaa WLAN-verkon turvallisuuden, kannattaa miettiä ihan normaalien yhteyksiensä turvallisuutta. Itse en enää luota siihen, että mikään internet-yhteys olisi täysin turvallinen ilman salausta. Tämä on käytännön tosiasia, etenkin kun internet-palveluntarjoajat ovat paisuneet niin jättiläismäisiksi. En halua nimetä tai sen paremmin osoitella ketään, mutta kokemukset aivan yksinkertaisista tietoturvapalveluista ovat niin masentavia, etten luottaisi salaamattoman tiedon kulkevan ilman tarkkailijoita operaattorin runkoverkossa. Voitte aivan vapaasti luokitella minut paranoidiksi, myönnän aika-ajoin hieman olevanikin.

Vaikka kyse ei olisi pankkiyhteydestä tai muusta yhtä tärkeästä, ei kannata uskotella itselleen, että "kuka minun sähköpostin / web-hotellin salasanalla muka mitään tekee". Harvemmin rikolliset haluavat kenenkään web-sivuja sutata, mutta tietovarkaat ovat aina vaikeampi jäljittää jos jäljet johtavat pentti-peruskäyttäjän tunnuksiin ja loppuvat siihen. Kannattaa miettiä tätä, vaikkei se kovin todennäköiseltä tuntuisikaan.

Suurin osa internet-liikenteestä on edelleen salaamatonta. Onneksi kukaan ei nykyään enää telnettiä käytä (kuin ehkä sisäverkossa diagnostiikkaan tms), mutta se, FTP (normi tiedonsiirto), HTTP (webbi), POP3/IMAP/SMTP (sähköpostiliikenne) ovat esimerkkejä sellaisia protokollista, joissa ei lähtökohtaisesti mitään salausta käytetä. Kaikki nämä ovat kuitenkin salattavissa. Telnetin on hyvin korvannut jo SSH (secure shell), tiedonsiirtoliikenne esim. webbihotelliin onnistuu nykyään myös SSH:n yli tunneloituna. Perusprotokollien tyypillinen salaustekniikka on laittaa se kulkemaan SSL:n yli (secure socket layer), jolloin protokolla pysyy samana mutta välissä on vain rajapinnat jotka salaavat ja purkavat salauksen. Tällä tavalla salatut protokollat tunnistää yleensä s-kirjaimesta protokollan alkuperäisen kirjainyhdistelmän alussa tai lopussa (esim. SFTP, HTTPS, POP3S, IMAPS).

Eli aina kun laitat tunnuksesi ja salasanasi maailmalle ilman minkäänlaista salausta protokollassa, se on mahdollista siepata. Mitä pidemmällä palvelin on, sen todennäköisemmin.

Tältä pohjalta kannattaa miettiä, kuinka arkaluontoista tietoa kannattaa mihinkäkin syöttää. Normaali web-surffailu, foorumeille kirjoittelu yms. ei välttämättä salausta kaipaa, mutta sähköpostin kohdalla olisin jo aika tarkka, ainakin tunnuksien suhteen. Jos sähköpostin sisällön haluaa pysyvän turvattuna koko reitin vastaanottajalle asti, on suositeltavaa salata koko sisältö protokollista välittämättä käyttäen PGP:tä tms. Tämä vaatii hieman enemmän panostusta, mutta se maksaa kyllä itsensä takaisin saavutettuna yksityisyytenä.

WLAN sekoittaa pakkaa vain sen pätkän osalta, jonka liikenne kulkee tietokoneelta tukiasemaan, siitä edespäin se yleensä jatkaa johtoja myöden. Jos käyttää lähtökohtaisesti turvallisia protokollia, ei tuon liikenteen "sniffaamisesta" juuri ole iloa, oli se sitten salaamatonta tai ei. Mahdollisuuksien mukaan tietenkin kannattaa tämäkin liikenne suojata niin hyvin kuin mahdollista. En ole täysin ajantasalla sen suhteen, mikä noista salaustekniikoista pystytään jo murtamaan. Tämä on hieman myös kiinni käytettävästä raudasta, tukiasemista ja verkkokorteista, sekä osittain myös käyttöjärjestelmistä raudan perässä. Käsittääkseni WPA on WEP:iä parempi, ja nyrkkisääntönä: mitä enemmän bittejä salauksessa, sen hankalampi se on murtaa. Mahdollisimman pitkä salasana (tämän voi nykyään melko huoletta antaa koneen tallentaa, vaikka riskinsä on siinäkin) ja riippuen riskistä tätäkin on syytä vaihtaa niin usein kuin mahdollista (=käytännöllistä). Ylläpitäjät, astukaa myös käyttäjän kenkiin näissä tapauksissa; kuinka mukava tällaista verkkoa on sitten käyttää, kun aina pitää ruikuttaa salasanoja jostain.

Niin, ja jollei lähiverkkokaapelointi ole toteutettu erittäin hyvin häriösuojatulla kaapelilla, voi sitäkin "kuunnella" vaikka rakennuksen ulkopuolelta, jos on aikuisten vehkeet. Legendan mukaan Suomessakin Setecin pihoille ilmaantuu parkkeerattuja "mustia pakuja" joita joudutaan sieltä hoputtelemaan muualle. Se, kuinka paljon jonkin tiedon kalastelussa halutaan mennä, rippuu toisinaan myös siitä kuinka arvokasta se on.

VPN on pätevä systeemi esim. liikenteen kotoa töihin salaamista varten, ja tätä tulisi harrastaa myös lankayhteyksissä. VPN on tavallaan verkkoyhteys toisen verkkoyhteyden sisällä. Ulospäin se näkyy yhtenä salattuna yhteytenä, mutta verkkoyhteyttä käyttävät ohjelmat eivät salauksesta tiedä tai siitä välitä. Vähän kuin menisi oma piuha töihin. Fiksu keksintö, mutta pidetään jälleen mielessä, että liikenne on sittenkin salattu vain välillä koti- työpaikka. Eikä kaksin- tai kolminkertainen salaus mitään haittaa, paitsi niitä jotka yhteyttä luvatta koittavat seurata. Ei siis kannata luopua "ylimääräisistä" salauksista, vaikka käyttäsikin VPN-yhteyttä.

Tässä tällainen perusannos dataa, jonka ei ole tarkoitus vastata niinkään alkuperäiseen kysymykseen kuin tuoda esille perspektiiviä verkkojen tietoturvaan yleensä. Ja nämäkin ohjeistukset pätevät vain tapauksiin, joissa ongelmana on verkon kuuntelu. Jos jokin taho pystyy asettumaan suoraan Sinun ja palvelimen välille, johon olet yhteydessä, ei edes vaihtuvista salasanoista ole hyötyä. Niin kireälle ei foliohattua kannata kuitenkaan vetää, muuten elämä vaikeutuu liikaa.

EDIT: Täällä oli aikoinaan juttua aiheesta, kannattaa lukea jos lontoonkieli ei pelota. Vanhat slashdot-keskustelut on siitä hyviä, että sieltä on kaikki paskapuhe moderoitu näkymättömiin. Linkki: WPA Weak Key Cracker Posted. Artikkelikin on ihan hyvä, lukekaa ainakin /.:n summary niin pääsee vähän kärryille missä on menty jo vuosi sitten.

[mikian]

Hauskintahan on, että WLANit on tietyssä mielessä jopa turvallisempia kuin langalliset yhteydet, kun WLANeissa matti meikäläinenkin alkaa miettimään tietoturvaa. Kukaanhan ei estä jossain kytkimessä pistämästä yhtä porttia valvontaportiksi, johon ohjautuu kaikki liikenne, mutta WLANin yli käytetään yleensä salattuja yhteyksiä postien lukuun, VPN:iä yms.
Itse taas olen sitä mieltä, että WLAN-yhteyksien salaamisessa ei ole mitään järkeä. Ainoastaan käytön rajoituksella sitä voisi perustella ja siihenkin löytyy parempia tapoja, kuin vain slauksen päälle pistäminen. Sillä nyt ei ole mitään väliä, jos joku kuuntelee verkkoa ja lukee Hopeisen Omenan viestejä, ja kaikki mahdollisesti kiinnostava asia (mm. postit, pankki) käyttää kuitenkin SSL-yhteyksiä, joten mitäs sitten, vaikka joku kuuntelisikin sitä.

[fjonga]

Kaikki nämä ovat kuitenkin salattavissa. Telnetin on hyvin korvannut jo SSH (secure shell), tiedonsiirtoliikenne esim. webbihotelliin onnistuu nykyään myös SSH:n yli tunneloituna. Perusprotokollien tyypillinen salaustekniikka on laittaa se kulkemaan SSL:n yli (secure socket layer), jolloin protokolla pysyy samana mutta välissä on vain rajapinnat jotka salaavat ja purkavat salauksen. Tällä tavalla salatut protokollat tunnistää yleensä s-kirjaimesta protokollan alkuperäisen kirjainyhdistelmän alussa tai lopussa (esim. SFTP, HTTPS, POP3S, IMAPS).

SSH prokollaversion 1 salasanat saa ihan netistä haettavalla ohjelmalla selville (ettercap muistaakseni). Samoin, sopivalla yhdistelmällä spooffausta ja SSL varmenteita, saadaan myös käyttäjän liikenne kulkemaan pahantekijän koneen kautta ja myös SSL:llä salatut kredentiaalit selville. Tämä tosin vaatii jo aikas paljon dedikoitumista ja asiantuntemusta. SFTP ei käytä SSL -protokollaa, vaan SecSH (SSH) protokollaa.

hankalampi se on murtaa. Mahdollisimman pitkä salasana (tämän voi nykyään melko huoletta antaa koneen tallentaa, vaikka riskinsä on siinäkin) ja riippuen riskistä tätäkin on syytä vaihtaa niin usein kuin mahdollista (=käytännöllistä). Ylläpitäjät, astukaa myös käyttäjän kenkiin näissä tapauksissa; kuinka mukava tällaista verkkoa on sitten käyttää, kun aina pitää ruikuttaa salasanoja jostain.

Öö... Eikös se nyt ole järkevämpää antaa käyttäjän valita piitkä ja monimutkainen salasana ja sen jälkeen pitää se? Jos salasanaa pakotetaan vaihtamaan 2kk välien, valitaan kompromissi; lyhyempi ja helpommin muistettava salasana. Ja jos vaihtoväli vielä pienenee, niin tuloksena on jatkuva soittorumba tietohallintoon kun salasana on unohtunut... Tai vielä pahempi > se kirjoitetaan siihen monitoriin kiinnitettyyn PostIT lappuun.

joissa ongelmana on verkon kuuntelu. Jos jokin taho pystyy asettumaan suoraan Sinun ja palvelimen välille, johon olet yhteydessä, ei edes vaihtuvista salasanoista ole hyötyä. Niin kireälle ei foliohattua kannata kuitenkaan vetää, muuten elämä vaikeutuu liikaa.

Jep, eli phishing, spoofing jne. Kuuntelun ja Man-in-the-middle -hyökkäysten ero on mun mielestä vähän hämärtynyt, sillä kyllähän se kuuntelija voi olla myös yks reitityspiste datan viuhuessa sun koneelta oletetulle palvelimelle. Paras keino näissä tapauksissa (jos niitä halutaan välttää, estää riskiä toteutumasta) on erottaa tunnistus- ja data-kanava toisistaan. Tällä mää tarkotan esim mobiilitunnistusta ja transaktioiden vahvistusta päätelaitteella (kännykkä).

[mtoivo]

Pitihän se arvata, mutta vastaanpa jotain kuitenkin.

SSH prokollaversion 1 salasanat saa ihan...

Ei tässä nyt mitään vuosisadan turvallisinta verkonkäyttötapaa ollut tarkoituskaan tuoda esille, lähinnä salaamaton vs. salattu. Eikä kai kukaan nyt enää SSH1:stä käytä muutenkaan, EIHÄN?

Samoin, sopivalla yhdistelmällä spooffausta ja SSL varmenteita, saadaan myös käyttäjän liikenne kulkemaan pahantekijän koneen kautta...

Käytännössä vaatii aika korkean tason pääsyn, jos meinaa myrkyttää nimipavelinliikennettä ja saada esim. pankin webbipalvelimen private-key:t haltuunsa. Kaikki on tietysti mahdollista. Silti tähdennän edelleen, että mikä tahansa kunnon salaus pitää jo 95% urkkijoista loitolla.

SFTP ei käytä SSL -protokollaa, vaan SecSH (SSH) protokollaa.

Aivan kuten mikäläistä tuossa jo lainasitkin:

tiedonsiirtoliikenne esim. webbihotelliin onnistuu nykyään myös SSH:n yli tunneloituna.

Ja toisekseen, FTP on mahdollista heittää SSL:n alle ilman mitään linkkiä SSH:iin, vaikka yleisin tapa olisikin vetää se SSH:n läpi. Mutta ei tässä nyt ole tarkoitus brassailla sillä, kuka eniten on perillä mistäkin asiasta, vaikka siihenhän tämä nyt meni, tietenkin.

Öö... Eikös se nyt ole järkevämpää antaa käyttäjän valita piitkä ja monimutkainen salasana ja sen jälkeen pitää se?

Tässä saattoi tulla pieni väärinkäsitys. Tarkoitin tukiaseman käyttöön oikeuttavaa salasanaa, tai avainta, enkä oikeastaan tiedä mitä sinä tarkoitit, mutta sillä ei ole väliä. Jos salasanan vaihtaa sihen vaikkapa tuon 2kk:n välein, ei käyttäjällä siinä ole juuri mahdollisuutta kuin syöttää se uusi salakala, jos verkkoon mielii, mutta tässä taisi tosiaan tulla pieni väärinymmärrys.

Mutta ymmärsin kyllä pointtisi ainakin suurinpiirtein. Ja tosiaan, mitä arvokkaampi data on kyseessä, sitä röyhkeämmin sitä yritetään selvittää. Jarkko Jokapäivän nettisurfailu ei kuitenkaan niin hirveästi kiinnosta rikollisia, että perussalauksella saa kyllä kohtalaisen yksityissuojan aikaiseksi. Tullaan kuitenkin taas siihen, että jos vaikka järjestäytyneen rikollisuuden leivissä työskentelevä hakkeri tarvitsee way-pointteja, niin kyllähän se ne saa hankittua, vaikka tavanomaiset salaushässäkät olisikin käytössä. Nyt kun pohdiskelu saatiin aikaiseksi, niin kaiketi olisi kuitenkin huomaamattomapaa napata jonkun sellaisen tunnarit, joka ei salauksista tiedä eikä välitä. Tämä tuskin edes huomaa, jos tunnuksiaan on väärinkäytetty, ellei sitten satu olemaan viimeinen hyppäys ennen hakkerin varsinaista kohdetta.

Tunnistus- ja data-kanavien erotus on todellakin fiksua, ja tämä varmaan onkin suuntaus ainakin erityisen arkaluontoisten tietoliikenneyhteyksien kanssa.

[fjonga]

Sori, ei ollu mitenkään tarkoitus brassailla. SSH1sta taitaa valitettavasti monet Ciscon purkit edelleen käyttää (?), ainakin vuos pari sitten tilanne oli näin... Lisäksi monet saattavat tarvita SFTP:tä työn / opiskelun merkeissä ja mitä tahdoin sanoa tolla rotokollatarkennuksella oli, että se tarttee sitten SSH Clientin ja SSH Serverin jotta homma toimii. SSL implementaatiot FTP:stä tarvittevatten sitten eri komponentteja.

Suurin uhka tietoturvalle on käyttäjä. Teknisin keinoin riskejä pystytään hallitsemaan johonkin tasoon asti, kunnes tulee raja vastaan kustannksissa. Sen jälkeen (ja sitä ennen) avainasemassa on käyttäjä. Esim nää phishing -huijaukset on toistaiseksi pysyneet isojen operaattoreiden ja kauppapaikkojen riesana ja ne ovat valitettavasti todella yleisiä. Ei ole enää ajan kysymys, milloin huijausyritykset siirtyvät pienempiin toimijoihin (näin on jo käynyt). Kuinkakohan moni suomalainenkin on joutunut esim PayPal phishing -huijauksen kohteeksi (ja vieläpä langennut siihen)? Tämä on mahdollista koska a) käyttäjä ei tiedosta riskiä b) on liian hyväuskoinen. Tuloksena on rahaa huijareille ja surua käyttäjille. Ainoa tapa millä tuosta voisi päästä eroon on tuo kanavaerotus, vaikka silloinkin phishing yritys voi onnistua, jos transaktioita ei tarkisteta / allekirjoiteta päätelaitteella.

ELI EI MENNÄ KLIKKAAMAAN SITÄ LINKKIÄ MIKÄ TULEE SIINÄ MUKAMA PAYPAL / EBAY MAILISSA. Muistakaa tämä hyvät ystävät! Sama pätee mihin tahansa kauppapaikkaan. Jos epäilet, että oma tili on vaarassa, niin näpyttelet kiltisti sen oikean (esim http://www.paypal.com) osoitteen selaimeen ja menet sitä kautta siihen palveluun. Noita huijausviestejä on tosin kiva aina silloin tällöin katella, mistäpäin ne tulee (kursori linkin kohdalle, niin se näyttää oikean osoitteen). Aika aktiivisia tuntuvat olevan tuolla entisen itäblokin alueella...

Back to the topic ... Avoimessa verkossa en itse ainakaan postejani lue, varsinkin paikoissa jossa on paljon ihmisiä. Ei ole kovin vaikeaa ladata netistä valmista ohjelmaa, joka laitetaan kuuntelemaan koko verkon liikennettä ja nappaamaan sieltä avainsanojen passwd tms mukaisia tietoja. Pankkipalveluita (tai muita esim SSL:llä suojattuja) uskaltaisin ehkä silti käyttää hätätilanteessa. Avoimet WLAN verkot soveltuu siis hyvin surffaukseen ja esim hopeisen ompun lukemiseen/postailuun. Töitä niissä ei kannata tehdä, ellei käytä edellämainittuja suojauskeinoja, kuten VPN:ää.

Omassa kodissa kaikki liikenne menee WLANin kautta, jossa käytetään sitten WPA2:sta (AES siis kryptaa). Enkä nyt usko että ihan heti tähän tulee kiinni rikollisia.

[jonesb]

Je, näin on kuten on todettu. Niitä kriittisimpiä juttuja ei julkisissa avoimissa wlaneissa kannata tehdä, ellei ole ihan pakko. Sen verran vielä tuosta suojaamisesta että se todellakin kannattaa. Ihan viime viikolta muistan lukeneeni metro-lehdestä jutun, jossa suurehkon yrityksen tietoturvajohtaja oli kavaltanut firmaltaan satoja tuhansia euroja käyttämällä hyväkseen naapurissa ollutta avointa wlan-verkkoa. Poliisilta oli kulunut kyllä aikaa selvittelyssä, kun rikosta oli alettu tutkia pankin internet-palvelusta lähtien. ( Ironista kyllä kaveri oli jäänyt kiinni kun poliisit olivat mielenkiinnosta halunneet tutkia tietotuvajohtajan konetta, ei ollut tullut mieleen hävittää todistusaineistoa). Tämä siis täällä Suomessa. Ehkä vastaavaa ei joka talossa tapahdu, mutta silti on syytä olla tarkkana. Nytkun tietoturvalakejakin ollaan kiristämässä, ei ole ihan sama kuka verkkoasi käyttää, puhumattakaan, murtautumisesta ja nuuskimisesta, naapurin pikkukaveria voi oikeasti kiinnostaa juuri sinun mp3sesi.

Itse tiedän että ainakaan kaikki Espoolaiset eivät hoida salauksiaan kunnolla. Pelkästään Ison Omenan ympäristöstä oma PB:ni löytää useita salaamattomia verkkoja. Toisaalta, eipä paljoa haittaisi tuo kaikkein yleisimmin käytetty WEP-salauskaan, se kun sattuu aukeamaan suhtpikaisesti, kun on asiansa osaavat kaverit asialla (lue: 15-vuotiaat internet-quake-gurut). Kunnolla vaan kaikki verkkot WPA:lla muilta piiloon.

[mikian]

No enpä sanoisi, että WPA on avain onneen, eipä sekään mitään auta, jos salasana on helposti arvattavissa. Edelleen olen sitä mieltä, että moninkertainen kryptaus on turhaa CPU-kuormaa, eli jos oikeasti pitää suojata liikennettä, niin VPN-tunnelia koneelta serverille jne. Ja jos haluaa turvallisen WLAN-yhteyden, niin löytyy siihenkin parempia konsteja kuin WPA. Itse olen joskus viritellyt Linksysin tukiasemaan VPN-serverin ja 2048-bittisellä salausavaimella kryptannut kaiken liikenteen koneen ja tukiaseman välillä. Sanoisin, että hiukkasen parempi salaus kuin mikään WPA

[Lare]

Toisaalta, eipä paljoa haittaisi tuo kaikkein yleisimmin käytetty WEP-salauskaan, se kun sattuu aukeamaan suhtpikaisesti, kun on asiansa osaavat kaverit asialla (lue: 15-vuotiaat internet-quake-gurut). Kunnolla vaan kaikki verkkot WPA:lla muilta piiloon.

Tuo ongelma oli vanhoissa WEP-toteutuksissa, uudemmat eivät käytä niitä kombinaatioita (?) jotka ovat helposti avattavissa. Vanhoissakin toteutuksissa piti olla megatavuja siirrettyä dataa.
Tuosta oli juttua vuosi pari sitten Tietokone tai MikroPC-lehdessä.

Voihan sitä piruuttaan muuttaa avaimen hetkeksi toiseksi -> laskenta alkaa alusta...
Tod. näk WEP:kin on niin paljon riesaa että valitsevat salaamattoman verkon.

[Lare]

Hauskintahan on, että WLANit on tietyssä mielessä jopa turvallisempia kuin langalliset yhteydet, kun WLANeissa matti meikäläinenkin alkaa miettimään tietoturvaa. Kukaanhan ei estä jossain kytkimessä pistämästä yhtä porttia valvontaportiksi, johon ohjautuu kaikki liikenne, mutta WLANin yli käytetään yleensä salattuja yhteyksiä postien lukuun, VPN:iä yms.

Se WLAN on siinä kotikäyttäjän tapauksessa vain ylimääräinen hyppy, samalla tavalla sinne kytkimeen pääsee, oli huoneessa WLAN tai Ethernet piuha.
Enpä usko että VPN:ää käytetään sen enempää WLANin yli verratuna kaapeliin.
Perussetup on että:
- töihin -> VPN. (Muuten en pääse)
- suoraan nettiin -> ei VPNää.
HomePNAssa tuo taloyhtiön konehuone on se heikkokohta.

Itse taas olen sitä mieltä, että WLAN-yhteyksien salaamisessa ei ole mitään järkeä. Ainoastaan käytön rajoituksella sitä voisi perustella ja siihenkin löytyy parempia tapoja, kuin vain slauksen päälle pistäminen. Sillä nyt ei ole mitään väliä, jos joku kuuntelee verkkoa ja lukee Hopeisen Omenan viestejä, ja kaikki mahdollisesti kiinnostava asia (mm. postit, pankki) käyttää kuitenkin SSL-yhteyksiä, joten mitäs sitten, vaikka joku kuuntelisikin sitä.

Itse suosittelen lämpimästi WLANin salausta, sekä kuunteluun että käytönestoon. Eikä siitä haittaa ole vaikka muitakin tapoja käyttää.
Mitä parempia käytön estotapoja tarkoitat?

[jonesb]

No enpä sanoisi, että WPA on avain onneen, eipä sekään mitään auta, jos salasana on helposti arvattavissa. Edelleen olen sitä mieltä, että moninkertainen kryptaus on turhaa CPU-kuormaa, eli jos oikeasti pitää suojata liikennettä, niin VPN-tunnelia koneelta serverille jne. Ja jos haluaa turvallisen WLAN-yhteyden, niin löytyy siihenkin parempia konsteja kuin WPA. Itse olen joskus viritellyt Linksysin tukiasemaan VPN-serverin ja 2048-bittisellä salausavaimella kryptannut kaiken liikenteen koneen ja tukiaseman välillä. Sanoisin, että hiukkasen parempi salaus kuin mikään WPA

Niin niin, voithan toki tehdä kodistasikin murtoystävällisen valamalla ovet sentillä kiinnä ja asettamalla lasi-ikkunoiden tilalle metalilevyt. Jokahuoneeseen vielä kassaholvi ovet ja liikkuva lasertunnistus yleisiin tiloihin. Kuten aikaisemmin ketjussa todettu, mahdollinen murtautuja suuntaa katseensa jo muualle kun huomaa salauksen löytyvän. WPA tai WEP ei kyllä niitä cpu tehoja niinpaljoa vie että sitä ei kannattaisi peruskäyttäjän käyttää, kaikilla ei ole taitoa tai halua luoda mainitsemaasi vpn-tunnelia omaan käyttöönsä.

[tinttia]

Ymmärränkö nyt ketjun perusteella oikein, että jos ensin avoimeen verkkoon liityttyäni otan yhteyden koulumme vpn-palvelimeen ja käytän tuon tunnelin kautta saamaani ip-osoitetta, vältyn noilta turhilta urkkijoilta? Tuolla siis voi surffailun hoitaa huoletta, ja ssh:n kautta kuitenkin hoidan sähköpostit yms. joten tuntisin olevani turvassa. Vai?

Itselläni ei kotona ole langatonta verkkoa (vielä), mutta palaanpa asiaan kun sellaista olen pystyttämässä.

[mikian]

No, tuolla välttää urkkijat väliltä oma kone - koulun vpn-serveri. koulun vpn-serveriltähän liikenne jatkaa matkaansa salaamattomana (pl ssh, ssl yms.). Eli siis vain koulun tarjoamia palveluja voi käyttää sen jälkeen aikas varmana, ettei kukaan urki liikennettä, mutta koulun palvelimien ulkopuolelle on taas pidettävä huoli, että salaus (ssl, ssh) on käytössä. Mutta esim postin lukeminen koulun palvelimelta on turhaa putkittaa ssh:n läpi, jos koulun vpn-serveriin on yhteys.

[fjonga]

VPN on ns. kuorisuojaa, se loppuu yleensä verkon rajalle, siellä missä VPN gateway on. SSH on taas päästä-päähän turvaa, eli kyseessä on sovellustason protokolla, joten suoja ulottuu aina omalta koneelta siihen serveriin mihin otetaan yhteys. VPNää käytettäessä on myös muistettava, että kun se on auki, kaiken liikenteen pitäisi kulkea tuon tunnelin läpi. SSH:n läpi voi putkittaa mitä tahansa TCP liikennettä, jos haluaa, mutta onko se tarkoituksenmukaista on eri juttu.

WPA2 käyttää AESää salausalgoritmina, eli tuo saman suojan kuin mikä tahansa VPN. Avaintenvaihtoalgoritmissa voi sitten olla eroja, ja se lienee aina akilleen kantapää WPA2ssa. Muttta oli se sitten WPA tai WPA2 niin verkkosi on kyllä turvassa jos huomioi myös muut konffausasiat ja tekee ne oikein; WLAN tukiaseman admin salasana muutetaan, SSID muutetaan ja sitä ei toitoteta julkisesti, oletuskanava vaihdetaan, tehdään MAC filtteröinti jos ollaan oikein vainoharhaisia ja sitten polkastaan WPA päälle ja laitetaan salasana, joka ei nyt ihan heti ole arvattavissa. On se prkle jos tähän verkkoon joku tulee... Sille tarjoan kopan bisseä, joka sen tekee. (ihmettelee ens viikolla kämpän edessä majailevia pakuja ja metsässä läppärin kanssa kyykkiviä nörttejä - kai ne siellä sienestää...).