Erkennen einer Passwort Attacke ( dictionary attack )

Heute musste ich eine dictionary Attacke auf meinem router feststellen. Mein Passwort war ziemlich einfach eingestellt - uff, Glück gehabt dass ich's noch rechtzeitig gemerkt habe.

Menü Status

Sicher hast du auf deinem openwireless Router schon den Menü Punkt -Status- ausgewählt. In der Übersicht werden unter anderem die Verbindungen zu den Nachbaren aufgeführt.

Von mir bis jetzt weniger beachtet stehen die darunter liegenden auswählbaren Log's und Netzwerk Informationen zur Verfügung.

Analyse

Als erstes ist mir aufgefallen, dass unter aktive Verbindungen eine IP Adresse eingetragen ist, die nicht aus dem Pool der openwireless Verbindungen stammt (10.247.x.x), die nicht aus dem lokalen netzwerk stammt (192.168.x.x) und die viele Verbindungen offen hat ( mehr als 40 ).

Danach habe ich im Systemlog nach der Ursache geforscht. Das log war gefüllt mit Einträgen mit folgendem Inhalt:

.
.
.
Mar 24 22:42:49 (none) kern.info dropbear[15467]: Child connection from 206.210.96.40:38431
Mar 24 22:42:50 (none) kern.warn dropbear[15467]: login attempt for nonexistent user from 206.210.96.40:38431
Mar 24 22:42:51 (none) kern.info dropbear[15467]: exit before auth: Disconnect received
Mar 24 22:42:51 (none) kern.info dropbear[15468]: Child connection from 206.210.96.40:38755
Mar 24 22:42:53 (none) kern.warn dropbear[15468]: login attempt for nonexistent user from 206.210.96.40:38755
Mar 24 22:42:53 (none) kern.info dropbear[15468]: exit before auth: Disconnect received
Mar 24 22:42:54 (none) kern.info dropbear[15469]: Child connection from 206.210.96.40:39093
Mar 24 22:42:55 (none) kern.warn dropbear[15469]: login attempt for nonexistent user from 206.210.96.40:39093
Mar 24 22:42:56 (none) kern.info dropbear[15469]: exit before auth: Disconnect received
.
.
.

Meine Interpretation des LOG's

dropbear ist der ssh server/client der openwireless firmware. Es wurde nun also im 3 Sekunden Takt eine ssh Verbindung auf den router aufgebaut und ein System hat versucht sich einzuwählen. Hierbei hat es einen ungültigen usernamen verwendet und wurde abgewiesen.

Folgerung

• Es gibt diese Attacken wirklich und auch ich und du können davon betroffen sein.
• Auch wenn ich alle im openwireless Netzwerk kenne und allen vertraue, muss ich ein sicheres Passwort für meinen router wählen. Die Attacken kommen von ausserhalb.
• Ein sicheres Passwort ist eines, dass von einem Programm/einer Maschine wahrscheinlich nicht zufällig erraten wird => Wörter zusammensetzen, Zahlen einsetzen, Gross/Kleinschreibung verwenden und genügend langes Passwort wählen.
‹ Network Map Welche Elemente der „Hacker-Ethik“ finden sich in der Idee von openwireless.ch wieder? ›