Zwanzig Jahre Hak5 und eine WiFi Pineapple, die in die Hand passt

Die WiFi Pineapple ist seit Langem das Gerät, an das man bei Hak5 zuerst denkt. An der DEF CON 33 im August zeigte die Firma zum zwanzigjährigen Bestehen die Pineapple in neuer Form: als Handgerät namens Pager.

Was angekündigt wurde

Hak5 nahm während der Konferenz Vorbestellungen entgegen, darunter eine limitierte Autograph Edition und eine Founders Edition. Die Auslieferung ist für später in diesem Jahr vorgesehen. Bisher richtete und bediente man Geräte der Pineapple-Reihe über den Browser, etwa die Mark VII. Der Pager wird direkt am Gerät bedient, mit eigenem Bildschirm und eigenen Tasten.

Warum die Bauform zählt

Ein WLAN-Audit bedeutete bisher Laptop, Gerät und einen Platz zum Sitzen. Ein eigenständiges Handgerät mit Ton- und Vibrationsalarm ändert das. Es kann beim Gang durch ein Gebäude in der Tasche stecken und melden, wenn etwas Interessantes auftaucht.

Für Testerinnen und Tester ist das praktisch. Es bedeutet aber auch: Das Bild vom Angreifer mit offenem Laptop auf dem Parkplatz ist überholt, falls es je gestimmt hat.

Was sich nicht ändert

Neue Hardware ändert nichts daran, wie sich WLAN-Clients verhalten. Die Schwächen, auf die solche Geräte schon immer gesetzt haben, bleiben dieselben:

Clients, die sich offene Netze merken und automatisch wieder verbinden.
Menschen, die eine Zertifikatswarnung wegklicken, um weiterarbeiten zu können.
Enterprise-WLAN ohne strikte Prüfung des Serverzertifikats.
Netze, in denen das WLAN nur der erste Schritt ist, weil dahinter alles erreichbar ist.

Diagramm eines WLAN-Angriffswegs: Ein Client wird von seinem gewohnten Netz getrennt, verbindet sich mit einem gespeicherten offenen Netz, die Benutzerin akzeptiert eine Zertifikatswarnung, und hinter dem WLAN ist alles erreichbar. Bei jedem Schritt die Gegenmassnahme. — Neue Hardware ändert, wie der Angreifer das Gerät trägt, nicht, wie sich Clients verhalten.

Was jetzt zu tun ist

Gespeicherte Netze aufräumen auf verwalteten Geräten, besonders offene wie in Hotels und Cafés.
Zertifikatsprüfung vorschreiben für WPA2/WPA3-Enterprise, per Richtlinie und nicht als Entscheid der Nutzenden. Client-Zertifikate (EAP-TLS) nehmen das Passwort ganz aus der Gleichung.
Protected Management Frames einschalten, wo deine Clients sie unterstützen. Mit WPA3 sind sie Pflicht.
Prüfen, was das WLAN erreicht. Gäste- und Firmennetz gehören sauber getrennt, und auch das Firmennetz sollte kein Freipass sein.

Wir kommen auf den Pager zurück, sobald es mehr Erfahrungen aus der Praxis gibt.

Fragen zu deiner eigenen Umgebung? Pentesting und Beratung →