Abo
  • IT-Karriere:

WLAN to Go: Telekom-Hotspots waren für Fremdsurfer anfällig

Beim Angebot WLAN to Go von der Deutschen Telekom und Fon konnten Angreifer die Anmeldung umgehen und so direkt über den Anschluss des eigentlichen Inhabers surfen. Die Telekom hat den Konfigurationsfehler mittlerweile behoben.

Artikel von veröffentlicht am
Die Einrichtung von Wlan to Go soll sehr einfach sein.
Die Einrichtung von Wlan to Go soll sehr einfach sein. (Bild: Telekom)

Bei der Konfiguration ihrer Hotspots hat die Deutsche Telekom einen Fehler gemacht, der unberechtigten Nutzern Zugang zum Internet verschaffen konnte. Dabei wurde auch die Geschwindigkeitsbegrenzung auf 16 Mbit/s aufgehoben. Das Problem ist mit einem Software-Update behoben worden, das seit dem gestrigen Dienstagnachmittag auf allen Hotspots verfügbar sein soll.

Inhalt:
  1. WLAN to Go: Telekom-Hotspots waren für Fremdsurfer anfällig
  2. Update ist ausgerollt

Der Fehler trat nach Angaben des Sicherheitsforschers Joel Höner auf, wenn Nutzer auf einem Speedport-Gerät der Telekom die Option WLAN-To-Go aktiviert hatten. Der Router spannt dann ein zweites, unverschlüsseltes WLAN auf, über das Nutzer des Programms und Telekom-Hotspot-Kunden Internetzugang bekommen können. Der Traffic wird in diesem Fall über einen Telekom-eigenen Proxy-Server abgewickelt, um die Inhaber des Internetanschlusses vor Abmahnungen und Ähnlichem zu schützen.

  • Umgehen der Landing-Page (Bild: Zyantific/Joel Höner).
  • Die Ausnahmeregelungen mittels Regular Expressions (Bild: Zyantific/Joel Höner).
Die Ausnahmeregelungen mittels Regular Expressions (Bild: Zyantific/Joel Höner).

Bei der Konfiguration machten die Techniker der Telekom aber offenbar einen Fehler. Wenn der Nutzer sich zuerst mit dem Hotspot verbindet, besteht kein Internetzugang, lediglich die Anmeldeseite der Telekom und eine Anzahl weiterer Seiten ist per Whitelist freigeschaltet. Dafür werden sogenannte Regular Expressions erstellt. Weil verschiedene Steuerzeichen nicht korrekt bereinigt wurden (Sanitization), hätten Angreifer eigene Server auf eine Whitelist setzen und damit den Login umgehen können.

Probleme mit Störerhaftung und Bandbreitenverlust

Für den Eigentümer des Hotspots könnte dies unangenehme Folgen haben, wenn ein so verbundener Nutzer illegale Dinge tut. Der Eigentümer könnte unter Umständen Abmahnungen oder Strafanzeigen bekommen, ohne jemals Kenntnis von der Sicherheitslücke gehabt zu haben.

Stellenmarkt
  1. SEG Automotive Germany GmbH, Stuttgart-Weilimdorf
  2. Bundeskriminalamt, Wiesbaden, Meckenheim, Berlin

Andere Nutzer, so wie Höner, konnten hingegen auch einen eigenen Proxy-Server nutzen. Nachdem der sich mit dem Internet verbunden hatte, stellte Höner zudem fest, dass die eigentlich festgelegte Maximalgeschwindigkeit von 16 Mbit/s nicht mehr galt. Die illegalen Nutzer des Netzwerkes hätten damit den offiziellen Nutzern Bandbreite wegnehmen können.

Update ist ausgerollt 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. 659,00€
  2. 227,74€ (Bestpreis!)
  3. 69,90€ (Bestpreis!)

ath 22. Feb 2017

In den A-Record dieser Domain konnte dann eine beliebige IP eingetragen werden, die nach...

Ovaron 22. Feb 2017

Das Forensystem hat leider den von Dir sicher beigefügten Link zur damaligen Diskussion...

M.P. 22. Feb 2017

Außer in Hamburg ...

Anonymer Nutzer 22. Feb 2017

Oh Gott, die Römischen Verträge? Die EWG (=Römische Verträge) war der Vorläufer der EG...


Folgen Sie uns
       


Qualcomm Snapdragon 8cx ausprobiert

Der Snapdragon 8cx ist Qualcomms nächster Chip für Notebooks mit Windows 10 von ARM. Die ersten Performance-Messungen sehen das SoC auf dem Niveau eines aktuellen Quadcore-Ultrabook-Prozessors von Intel.

Qualcomm Snapdragon 8cx ausprobiert Video aufrufen
Minecraft Dungeons angespielt: Fehlt nur noch ein Klötzchen-Diablo in der Tiefe
Minecraft Dungeons angespielt
Fehlt nur noch ein Klötzchen-Diablo in der Tiefe

E3 2019 Von der Steuerung bis zu den Schatzkisten: Minecraft Dungeons hat uns beim Anspielen bis auf die Klötzchengrafik verblüffend stark an Diablo erinnert - und könnte gerade deshalb teuflisch spaßig werden!

  1. Augmented Reality Minecraft Earth erlaubt Klötzchenbauen in aller Welt
  2. Microsoft Augmented-Reality-Minecraft kommt zum zehnten Jubiläum
  3. Jubiläum ohne Notch Microsoft feiert Minecraft ohne Markus Persson

Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
Ada und Spark
Mehr Sicherheit durch bessere Programmiersprachen

Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
Von Johannes Kanig

  1. Das andere How-to Deutsch lernen für Programmierer
  2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein

Autonomes Fahren: Per Fernsteuerung durch die Baustelle
Autonomes Fahren
Per Fernsteuerung durch die Baustelle

Was passiert, wenn autonome Autos in einer Verkehrssituation nicht mehr weiterwissen? Ein Berliner Fraunhofer-Institut hat dazu eine sehr datensparsame Fernsteuerung entwickelt. Doch es wird auch vor der Technik gewarnt.
Ein Bericht von Friedhelm Greis

  1. Neues Geschäftsfeld Huawei soll an autonomen Autos arbeiten
  2. Taxifahrzeug Volvo baut für Uber Basis eines autonomen Autos
  3. Autonomes Fahren Halter sollen bei Hackerangriffen auf Autos haften

    •  /