WLAN Passwort eines WPA2 verschlüsselten Netzwerk knacken

Wie schwer ist es das W-LAN Passwort vom Nachbarn zu knacken? Davon abgesehen, dass es illegal ist fremde W-LANs anzugreifen kann man das ja mal mit dem eigenen W-LAN versuchen oder den Nachbarn um Erlaubnis fragen. Für meinen Test habe ich ein Thinkpad T400 mit Debian Wheezy benutzt das ein WPA2 verschlüsseltes WLAN dessen Passwort aus Buchstaben und Zahlen besteht und eine länge von acht Zeichen hat knacken soll.

Mit dem Smartphone

Es gibt zwar einige Apps die versprechen ein WLAN Passwort zu cracken, aber die werden alle nicht funktionieren. Das hat zwei Gründe:

1. Die Netzwerkkarten die in den meisten Smartphones verbaut sind erfüllen nicht die nötigen technischen Voraussetzungen um den Trafic des WLANs mitzuschneiden. Das ist aber zwingend nötig um das Passwort zu knacken.
2. Selbst wenn man erfolgreich ein Datenpaket mitschneiden konnte würde es auf dem Smartphone viel zu lange dauern um an das Passwort zu kommen. Selbst wenn das Passwort aus nur 6 Klein-Buchstaben besteht werden mehrere Jahre benötigt.

Man sollte mit der Installation solcher Apps vorsichtig sein, die meisten Apps die ich gefunden habe haben nur das Ziel Werbung einzublenden oder Daten vom Smartphone zu saugen. Erfolgreich damit ein WPA2 verschlüsseltes WLAN wird man damit auf jeden Fall nicht knacken.

Mit dem Laptop

Mit dem richtigen Laptop ist es zumindest theoretisch möglich das Passwort eines WPA2 verschlüsselten Netzwerks zu bekommen. Dazu verwendet man einfach das Programm aircrack-ng. Am besten verwendet man dazu einen Linux Rechner, den man auch über eine Live-CD starten kann ohne Linux auf die Festplatte zu installieren. Eine Distribution die sich besonderst gut dafür eignet ist Kali Linux.

Vorbereitungen

Als erstes muss das Paket aircrack-ng installiert werden. Unter Debian ist es schon in den Paketquellen enthalten so dass man das Paket ganz einfach über den Paketmanager installieren kann.

apt-get install aircrack-ng

Nach der Installation muss man seine WLAN Karte in den Monitor Modus schalten, der Monitor Modus wird nicht von allen WLAN Karten unterstützt, die Intel Karte meines Thinkpad T400 den ich zum testen benutzt habe hatte damit aber kein Problem. Die WLAN Karte darf mit keinem WLAN verbunden sein, wenn man nebenbei Internet nutzen möchte kann man dazu einfach eine Kabelverbindung oder eine zweite WLAN Karte benutzen.

airmon-ng start wlan0

Dadurch wird ein neues Interface mit dem Namen mon0 erstellt mit dem wir jetzt weiter arbeiten. Am besten ändert man nun noch die MAC Adresse der Netzwerk Karte die man für den Angriff benutzt:

ifconfig mon0 down
macchanger -m NEUE_MAC_ADDRESSE mon0
ifconfig mon0 up

Als nächstes lässt man sich alle WLANs in Reichweite auflisten, dazu führt man folgenden Befehl aus:

airodump-ng mon0

In der Liste sucht man sich nun den Access Point den man angreifen möchte. Für den Access Point notiert man sich die MAC Adresse und den Kanal auf dem das WLAN läuft. Danach kann man anfangen Pakete mit zu schneiden.

Pakete mitschneiden

Jetzt braucht man Geduld da man nun so viele Handshakes in dem WLAN wie möglich abfangen muss, das dauert einige Zeit wenn sich lange kein neues Gerät mit dem Access Point verbindet.

airodump-ng -w dump -c 4 --bssid MAC_ADDRESSE_DES_AP mon0

Hier wird jetzt angezeigt wie viele Pakete man mit geschnitten hat, um so mehr um so besser. Unten werden alle Clients aufgelistet die mit dem WLAN verbunden sind. Im Idealfall erwischt man jetzt einen oder mehrere Clients die sich mit dem WLAN verbinden, wenn sich gerade kein Client verbindet kann man versuchen die verbundenen Clients aus dem WLAN zu kicken damit sie sich neu verbinden und man den Handshake mitschneiden kann. Dazu öffnet man ein zweites Terminal Fenster und führt dort folgenden Befehl aus:

aireplay-ng --deauth 100 -a MAC_ADDRESSE_DES_AP --ignore-negative-one mon0

durch diesen Befehl werden 100 deauthentication Pakete an die mit dem WLAN verbundenen Clients gesendet. Normalerweise verbinden sich darauf hin die Clients automatisch wieder mit dem Access Point da sie das Passwort gespeichert haben.

Das Passwort cracken

Jetzt braucht man wieder Geduld, je nach Passwortlänge sehr viel Geduld da das knacken des Passworts bei ausreichender Länge sehr lange dauert. Zum cracken des Passworts benötigen wir eine Wortliste. Fertige Listen gibt es hier. Wenn man möchte kann man sich auch seine eigene Wortliste erzeugen. Dazu benutzt man das Programm crunch mit dem man Listen die sämtliche möglichen Kombinationen enthalten erzeugen kann.

crunch 1 10 0123456789abcdefghijklmnopqrstuvwxyz -o wordlist.txt

Der Befehl erzeugt in der Datei wordlist.txt eine Liste aus allen möglichen Passwörtern mit der Länge 1-10 Zeichen die aus Zahlen und Kleinbuchstaben bestehen. Das erzeugen der Liste dauert je nach Rechenleistung recht lange. Hier müssen mehrere Stunden eingerechnet werden. Die Liste ist wenn sie vollständig ist 36 Peta Byte groß, man benötigt also sehr viel Platz oder muss die Liste etwas einschränken. Hier ist es also von Vorteil wenn man weiß wie viele Zeichen das Passwort hat.

Wenn man eine Wortliste hat kann man damit nun versuchen aus dem Dump den man mit aircrack erstellt hat das Passwort auszulesen.

aircrack-ng dump-01.cap -w wordlist.txt

Falls man keine Wortliste erstellen möchte sondern die Passwörter direkt probieren möchte macht man das mit dem folgenden Befehl:

crunch 1 10 0123456789abcdefghijklmnopqrstuvwxyz -u | aircrack-ng dump-01.cap -e 'DIE_ESSID_DES_WLAN' -w-

Das knacken des Passworts kann je nach Größe der Wortliste bzw. der möglichen Kombinationen einige Zeit dauern, mein T400 testet so ca. 1400 Passwörter, pro Sekunde oder 84.000 pro Minute, das klingt erst mal viel, wenn man sich aber die möglichen Passwort Kombinationen bei 8,9 oder 10 Zeichen Länge anschaut wird man schnell merken das es hier Tage, Wochen, Monate oder sogar Jahre dauern kann bis man Erfolg hat. Ein Passwort mit 8 Stellen das aus Kleinbuchstaben und Zahlen besteht hat 36⁸ bzw. 2.821.109.907.456 Möglichkeiten. Bei 84.000 versuchen pro Minute wurde es also 64.7 Jahre dauern bis man alle Möglichkeiten durch probiert hat. Die Wahrscheinlichkeit dass erst das letzte Passwort ein Treffer ist ist zwar extrem gering, genau so gering ist aber auch die Wahrscheinlichkeit dass wir mit dem ersten Versuch einen Treffer haben. Wenn man also vom Mittelwert ausgeht dauert es ca 32 Jahre ein 8 stelliges Passwort das aus Kleinbuchstaben und Zahlen besteht zu knacken. Mit einem schnelleren Rechner kann man das zwar beschleunigen, aber wenn man nicht gerade einen Supercomputer zur Hand hat muss man auf jeden Fall mit mehreren Jahren rechnen. Bis dahin ist dann wahrscheinlich der WLAN Router kaputt und wurde durch einen neuen ersetzt.

Mit Menschlichem versagen

Da es mit reiner Technik kaum möglich ist ein WPA2 verschlüsseltes W-LAN zu knacken bleibt noch die Möglichkeit auf die Unachtsamkeit der Nutzer zu setzen. Dazu eröffnet man einfach ein eigenes W-LAN und gibt ihm den gleichen Namen wie das W-LAN das man knacken möchte, hier loggt man jetzt einfach alle Passwörter mit. Wenn sich ein Nutzer nun dort anmeldet hat man direkt das Passwort für das "echte" W-LAN. Im Idealfall schafft man es, dass das eigene W-LAN stärker ist wie das original. Um das zu erreichen kann man eine Richtantenne benutzen. Voraussetzung dafür ist natürlich, dass sich ein Nutzer mit einem Gerät anmeldet das das Passwort nicht gespeichert hat und sein Passwort eingibt.