Danske hotel-netværk står pivåbne

Danske hoteller gider ikke besværet med kryptering, vurderer sikkerhedsekspert, som aldrig har mødt et sikkert trådløst netværk på de danske hoteller, han har besøgt.

Sikkerheden på trådløse netværk på danske hoteller er ikke bedre end i USA, hvor en ny undersøgelse har vist, at kun 15 procent af de trådløse netværk er krypterede. Det betyder, at alle på hotellet i princippet kan følge med i andre gæsters internet-trafik, med mindre gæsterne selv sørger for krypteringen.

Situationen er den samme på danske hoteller, vurderer sikkerhedskonsultent hos CSIS, Dennis Rand, ud fra egne erfaringer, da der ikke er foretaget en tilsvarende undersøgelse i Danmark. Han kan ikke mindes at have mødt et trådløst netværk på et hotel med selv den mildeste form for kryptering.

»Hotellerne tilbyder en service ? adgang til trådløst internet ? men det er op til brugerne selv at sørge for sikkerheden ved at logge på med VPN eller via en https-webside. Mange af hotellerne sørger også for at fortælle, at deres netværk ikke er krypteret, hvilket jo bare viser, hvor stort problemet er,« siger Dennis Rand.

Det ville umiddelbart være nemt for hotellerne at kryptere forbindelserne med WEP eller WPA. Alle gæster på hotellet kunne så få et kodeord udleveret ved check-in, men Dennis Rand vurderer, at det giver hotellet for meget bøvl med support til de hotelgæster, der så ikke kan finde ud af at logge på.

»Kunderne vil kunne tænde deres pc og logge på med det samme. For ikke så it-kyndige kan det give problemer, hvis der er kryptering på. Hvis det er en firma-pc, har brugeren måske ikke de nødvendige rettigheder. Der kan være problemer med at få adgang til for eksempel et Windows Active Directory,« siger Dennis Rand.

Han forventer ikke, at situationen ændrer sig, så han opfordrer til, at virksomhederne selv husker at advare og råde deres ansatte.

»Det er et problem, men det er som om, at folk har accepteret det. Så alle virksomheder må opfordre de ansatte til altid at bruge VPN, når de er på et hotel eller andre steder med et åbent netværk,« lyder det fra Dennis Rand.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (13)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Peter Makholm Blogger

Jeg fatter det ikke. Efter min mening er det komplet ligemeget om hotellets wireless er krypteret: Data sendt uden for netværk der er 100% kontroleret af virksomheden skal krypteres.

Det gælder om data skal gennem hotellets netværk, en svensk udbyder eller over atlanten. Altid end to end-krypteret når det krydser mit ansvarsområde.

  • 0
  • 0
Adam Tulinius

Hvad fanden har AD med kryptering af netværket at gøre? Og hvilke firmaer opsætter laptops således, at de kan logge på åbne netværk, men ikke krypterede?

Come on, det kan gøres bedre, hr. ekspert.

  • 0
  • 0
Daniel Gertsen

Jeg har altså været på en del hoteller herhjemme, hvor der var kryptering på deres wifi. At kodeordet til nettet var frit tilgængeligt er så en anden sag, men nettet var stadig krypteret.

Faktisk kan jeg kun huske ét sted, hvor der ikke var kryptering på. For rigtig mange steder handler der faktisk mere om, at naboer osv ikke skal snylte på nettet, end det handler om at beskytte kunderne. Årsagen er så ligemeget, så længe krypteringen er aktiveret...

  • Men som Peter Makholm også skrev, så bør al virksomheds-trafik (også webmail) køre gennemm VPN eller HTTPS!
  • 0
  • 0
Esben Nielsen

Nej. Et krypteret netværk er falsk tryghed. Som så mange andre har sagt: Man skal krypterere "end-to-end", typisk SSL oven på sine TCP forbindelser (HTTPS istedet for HTTP). Stol aldrig på netværket. Et krypteret WIFI netværk kryptere jo ikke alt det, som sker "ude i skyen". Det virker højst lokalt. Hvis en service på nettet ikke tilbyder kryptering, skal du aldrig sende information, som ikke må komme ud til andre.

  • 0
  • 0
Daniel Gertsen

Det kan godt være det er falsk trykhed, men det er altså stadig bedre end ukrypteret, da det trods alt forhindrer at andre trådløse pc'ere på samme AP kan se din trafik. At fuldstændigt se bort fra kryptering, bare fordi det ikke er den bedste og mest perfekte løsning, er lidt ligesom at lade være med at sætte lås på cyklen, fordi man ved at de fleste tyve let kan klippe den over - det forhindrer stadig de fleste impulsive amatører fra at forsage skade.

  • 0
  • 0
Niels Elgaard Larsen

WEP forhindrer ikke alle de andre trådløse PC'ere på hotelnettet i at se din trafik (selv uden at knække WEP).

I din analogi svarer det mere til at lade være med at stikke en pind gennem baghjulet på sin cykel fordi man også låser den med en solid bøjlelås.

  • 0
  • 0
Daniel Gertsen

WEP kan man ikke tage seriøst, og WEP tæller ikke som kryptering i min bog (og vist heller i nogen andre IT-professionelles bøger).

De fleste virksomheder der blokerer for adgang til ukrypterede hotspots, blokerer også for adgang til WEP "krypterede" hotspots.

Men ok, hvis nogen har valgt WEP som deres sikkerheds-løsning, så er det en stor fejl. Men det er efterhånden mange år siden jeg har set udstyr i aktion, der bruger WEP, og ikke WPA eller WPA2.

  • 0
  • 0
Mark Gjøl

Er manden dum? For at WEP skulle være bare den mindste smule sikker skulle hver gæst have sit eget accesspoint! Det vil give vanvittigt meget støj at skulle have et trådløst netværk per værelse. Gør man det ikke sådan vil alle kunne se hinandens data, så længe de kan komme på nettet. Altså i den grad falsk tryghed.

Uden at være 100% inde i WPA mistænker jeg at problemstillingen her er den samme. Yderligere gælder det for WEP, at det er en protokol med uhyre ringe sikkerhed, som man ikke bør bruge...

  • 0
  • 0
Niels Elgaard Larsen

Ikke desto mindre er min erfaring at de fleste hoteller, der krypterer deres netværk bruger WEP. Heldigvis er der flere og flere hoteller, der ikke krypterer deres net.

SAS-lougen i Københavns lufthavn har fx et trådløst netwærk, med en WEP kode, man får udleveret når man kommer ind. Det giver ingen mening at betragte det som mere sikkert end et helt åbent net.

Trådede net kan man heller ikke stole på. Man kender ikke topologien eller switchtyper. Og er formodentlig sårbar overfor DHCP man-in-the middle-angreb.

Eftersom ens bærbar alligevel jævnligt vil komme på mere eller mindre usikre netværk, kan man ligeså bare sørge for at bruge kryptering til al følsom trafik.

  • 0
  • 0
Henrik Kramselund Jereminsen Blogger

Helt enig

Fakta, hvis netværket bruger en fælles hemmelighed som WEP eller WPA-PSK, Preshared key er der EEN nøgle der kan dekryptere al trafikken.

Det giver således INGEN sikkerhed for brugeren med den kryptering. Det giver dog en vis sikkerhed for at folk der går på netværket har et "tilhørsforhold" eksempelvis er kunder i butikken, gæster på hotellet osv.

Man SKAL bruge mere sikre protokoller ALTID, så igen med POP3 over SSL, IMAP over SSL, HTTP over SSL (HTTPS), SFTP fremfor FTP osv. osv.

Med WEP er det endda værre idet WEP kryptering relativt nemt kan brydes, se tidligere tråde om dette eller søg efter spoonwep værktøjet og film der demonstrerer dette.

God sikkerhed opnås ved at antage en kritisk holdning til sikkerhed og ved langvarige initiativer ikke ved hovsa-løsninger.

  • 0
  • 0
Log ind eller Opret konto for at kommentere