Unterstützung für geschützte anmeldungen von wlan-geräten (pmf) aktivieren grau

Die in einem WLAN übertragenen Management-Informationen zum Aufbau und Betrieb von Datenverbindungen sind standardmäßig unverschlüsselt. Jeder innerhalb einer WLAN-Zelle kann diese Informationen empfangen und auswerten, selbst wenn er nicht an einem AP angemeldet ist. Das birgt zwar keine Gefahren für eine verschlüsselte Datenverbindung, kann aber die Kommunikation innerhalb einer WLAN-Zelle durch gefälschte Management-Informationen empfindlich stören.

Der Standard IEEE 802.11w verschlüsselt die übertragenen Management-Informationen, so dass ein Angreifer, der nicht im Besitz des entsprechenden Schlüssels ist, die Kommunikation nicht mehr stören kann.

Um Protected Management Frames für ein logisches WLAN-Interface zu aktivieren, wechseln Sie in LANconfig in die Ansicht , öffnen die Konfiguration der entsprechenden WLAN-Schnittstelle, wechseln auf den Reiter Verschlüsselung und wählen in der Auswahlliste Management-Frames verschlüsseln die entsprechende Option.

Um die Management-Frames bei P2P-Verbindung zwischen den Basisstationen zu verschlüsseln, wechseln Sie in LANconfig in die Ansicht , öffnen die P2P-Konfiguration der entsprechenden WLAN-Schnittstelle, wechseln auf den Reiter Verschlüsselung und wählen in der Auswahlliste Management-Frames verschlüsseln die entsprechende Option.

Um die Verschlüsselung von Management-Frames über einen WLAN-Controller zu verwalten, wechseln Sie in LANconfig in die Ansicht , klicken auf Logische WLAN-Netzwerke (SSIDs) und wählen in der Auswahlliste Mgmt.-Frames verschlüsseln die entsprechende Option.

Folgende Optionen stehen bei allen Konfigurationen zur Auswahl:

Der LANmonitor zeigt unterhalb des entsprechenden Clients an, ob dieser die WLAN-Management-Frames verschlüsselt.

Archiv verlassen und diese Seite im Standarddesign anzeigen : FritzBox mit WPA3 und altem Notebook - keine Verbindung

Hi,

nachdem die Fritzboxen seit kurzem WPA3 unterst�tzen, habe ich das bei meiner 7590 auch mal aktiviert.

Ich habe in meinem Netz auch einen uralt-Laptop mit einer "antiken" intel 4965agn und Win10 mit dem 2004 Update, welche ich �ber den Gastzugang ins Netz h�nge.

Wenn ich die Sicherheit auf WPA2 (CCMP) einstelle, verbindet sich das Ger�t sofort (dabei zeigt es dann in der Fritzbox eine Verbindung mit WPA2 an).

Wenn ich die Sicherheit auf das neue WPA2 + WPA3 stelle, kommt "mit diesem Netzwerk ist keine Verbindung m�glich"

Kennt jemand das Ph�nomen?

Ich nehme mal an, dass die alte Karte noch kein WPA3 kann, richtig? Oder h�ngt das nur am Windows?

Wenn die kein WPA3 kann, m�sste die sich doch per WPA2 anmelden, und das genauso wie bisher, oder? Bei allen anderen WLAN-Ger�ten im Haus tut das ja auch.

Oder versucht Windows eine WPA3-Verbindung aufzubauen und das tut mit dem Treiber nicht und daher versagt die Verbindung. Kann ich dann irgendwo im Windows vorgeben, welche Sicherheitseinstellung es verwenden soll (also WPA2 erzwingen?)

da.phreak

2020-07-24, 12:21:13

Bei mir l�uft es, mit alten und neuen Ger�ten. Beta 7.19 auf einer 6591.

Lurtz

2020-07-24, 13:02:59

Dieser Mischmodus scheint mit vielen Ger�ten Probleme zu machen. Macs sollen zB ziemlich stark betroffen sein.

Ich hab damit auch immer wieder kurze Verbindungsabbr�che, selbst zwischen FritzBox und FritzRepeater. Deshalb hab ich WPA3 noch deaktiviert, hab eh kaum Ger�te, die es unterst�tzen.

Bei mir l�uft es, mit alten und neuen Ger�ten. Beta 7.19 auf einer 6591.

Bei mir ja mit zig alten Ger�ten auch Nur der eine Laptop will nicht

Dieser Mischmodus scheint mit vielen Ger�ten Probleme zu machen. Macs sollen zB ziemlich stark betroffen sein.

Ich finde dazu nichts. Hast du mir evtl. ein oder zwei Links als Anhaltspunkt?

Ich vermute mal, dass du das WLAN-Passwort am Notebook nicht neu eingegeben hast, sondern einfach nur am Router das WPA3 aktiviert hast.

In dem Fall hat das Notebook die Einstellungen der Verbindung nicht neu abgefragt, sondern versucht mit den bisher bekannten WLAN-Einstellungen die Verbindung aufzubauen. Zum Beispiel mit dem TKIP-Protokoll, wobei WPA3 das TKIP nicht mag.

Also einfach mal die WLAN-Verbindung am Notebook l�schen, dann WPA3 aktivieren und dann die Verbindung mit neuer Passwort-Eingabe aufbauen. Dann holt er sich die korrekten Einstellungen, die f�r dein WPA3 gelten (und f�r WPA2 funktionieren).

Wenn es dann immer noch nicht klappt, dann einfach mal auf das n�chste Fritzbox-Update warten. Vielleicht bessern die da noch nach.

Ich vermute mal, dass du das WLAN-Passwort am Notebook nicht neu eingegeben hast, sondern einfach nur am Router das WPA3 aktiviert hast.

Ne, das habe ich schon neu eingegeben. Der will es ja direkt neu haben nachdem ich umgestellt habe.
Passwort ist auch das richtige, weil wenn ich es absichtlich falsch eingebe, kommt eine andere Meldung.

Habe ja sogar die ganzen Netzwerkverbindungen resettet (gibt ja in Windows 10 diese option, die dann auch einen Neustart erfordert und alle Netzeinstellungen l�scht). Hat leider auch nichts gebracht.

Mein Verdacht ist ja immer noch, dass Win10 versucht per WPA3 zu verbinden (kann es ja theoretisch) und die antike Netzwerkkarte WPA3 halt nicht richtig kann :(

Darkman.X

2020-07-24, 17:44:54

(war zu langsam, hat sich erledigt)

Lurtz

2020-07-24, 21:12:31

Ich finde dazu nichts. Hast du mir evtl. ein oder zwei Links als Anhaltspunkt?
Lese das immer wieder in diversen Router/DSL-Foren, wo ich unterwegs bin.

Hier zB: https://www.ip-phone-forum.de/threads/f-b-repeater-2400-7-20-vo-21-07-20.307453/#post-2379490

Ich habe gerade einen Hinweis gefunden, womit ich es mir erkl�ren k�nnte. Kann das jemand best�tigen?

setzen zwingend die Aktivierung von "Protected Management Frames (PMF; 802.11w)" voraus. Das gilt auch f�r parallele WPA2/3-Verbindungen im WPA-Modus "WPA2 + WPA3" (https://avm.de/wpa3/)

Intel(R) Wireless WiFi Link 4965AGN ... 802.11w Management Frame Protection wird unterst�tzt: Nein (https://answers.microsoft.com/en-us/windows/forum/all/cant-change-hosted-network-to-yes/9367804f-2afd-4a8b-8e64-6dad33867603)

Kann es sein, dass die Karte wirklich kein 802.11w kann und das wirklich zwingend in dem Mischmodus aktiv sein muss?
(Habe ehrlich gesagt erst jetzt von dem Standard was geh�rt, ist mir also komplett neu)

x-dragon

2020-07-24, 22:24:16

Jepp, das Intel Wireless WiFi Link 4965AGN ist ja in etwas genauso alt wie der Standard 802.11w selber, wird also genau das Problem sein.

PMF wars auch an einem alten HP-Drucker aus 2014, was bei WPA3 ja zwingend ist.
Hilft wohl nur in Zukunft mal einen aktuellen Repeater zu kaufen und dann per LAN dranh�ngen.

Hat es einen sinnvollen Grund, weshalb in dem WPA2+WPA3-Modus auch WPA2 dieses PMF erfordert?
Gerade f�r eine �bergangszeit werden ja einige �ltere aber doch noch genutzte Ger�te damit ausgeschlossen oder aber die Aktivierung von WPA3 (und sei es nur zu Testzwecken) behindert :(

Jetzt lasse ich wegen dem Ger�t WPA3 aus, dabei k�nnte ich zumindest den aktuellen Laptop und die Handies von meiner Frau und mir per WPA3 absichern.

x-dragon

2020-07-25, 11:33:15

Das hat einfache Sicherheitsgr�nde, weswegen ja grunds�tzlich auch WPA3 eingef�hrt wird. Dieser PMF-Standard ist ja bereits von 2009, daher "sollten" inzwischen eigentlich alle Ger�te dieses auch unterst�tzen.

Protected Management Frames, kurz PMF, sch�tzen Steuerinformationen im WLAN, beispielsweise beim An- und Abmelden. Ohne PMF k�nnen Angreifer WLAN-Clients von ihrer Basis abmelden, um sie dazu zu bewegen, sich bei einem von ihnen eingerichteten Honeypot neu anzumelden.

https://www.heise.de/select/ct/2019/2/1546773697424925

Aber alternativ kannst du doch einfach mit einem WLAN-Stick dein Notebook nachr�sten, so teuer sind die ja nicht mehr (falls ein Anschluss daf�r frei ist).

Das hat einfache Sicherheitsgr�nde, weswegen ja grunds�tzlich auch WPA3 eingef�hrt wird. Dieser PMF-Standard ist ja bereits von 2009, daher "sollten" inzwischen eigentlich alle Ger�te dieses auch unterst�tzen.

Naja, 2009 eingef�hrt kann auch heissen, dass erst ab ca. 2012 ALLE Ger�te das an Bord haben. Wenn ich Wake oben richtig verstanden habe, gibt es auch 2014er Ger�te die das nicht k�nnen.

Die typische PC-Hardware in diesem Forum wird das schon an Bord haben, aber ich sehe immer mehr, dass bei mir auch Hardware teilweise 15 Jahre betrieben wird. Laptops werden 4 mal rumgereicht (In Corona-Tagen habe ich auch meine 2 Grundschulkinder mit Laptop ausstatten d�rfen, daher die Reaktivierung des alten Ger�ts), und neue Haustechnik hat auch oft WLAN und soll auch ein paar Jahre laufen. Die ganze neu SmartHome-Technik hat ja jetzt WLAN an Bord und ist sicher auf l�ngere Lebendsdauer ausgelegt. Bei mir sind es die Harmony, die Klimaanlage, die Wasserenth�rtung, der Receiver die Gartenbew�sserung und die Photovoltaik welche hoffentlich noch >10 Jahre an meinem WLAN funktionieren werden. Macht mir irgendwie schon Sorgen, dass da so bereitwillig �ltere Ger�te abgeschnitten werden.

Aber alternativ kannst du doch einfach mit einem WLAN-Stick dein Notebook nachr�sten, so teuer sind die ja nicht mehr (falls ein Anschluss daf�r frei ist).

Leider NoGo. Schonmal Kinder gesehen, die einen Laptop durch die Gegend tragen? Und wie fragil ein aus dem USB-Port ragender Stick ist? :devil:

Dass es einen Modus gibt, bei dem nur der neuere Standard unterst�tzt wird ist ja aus Sicherheitsgr�nden verst�ndlich. Ich verstehe aber nicht, wieso nicht zumindest optional angeboten wird:
WPA3 + PMF und aber parallel immer noch WPA2 ohne PMF.
Das ist doch immer noch besser wie nur WPA2 ohne PMF. Bei der Fritzbox kann man ja bei reinem WPA2-Betrieb das PMF ja auch separat ein oder abschalten.
Oder geht das technisch nicht, wiel beim Mischbetrieb die Anmeldeprozedur f�r WPA2 und WPA3 gleich ist?

anddill

2020-07-25, 12:30:27

https://www.amazon.de/TP-Link-TL-WN725N-Adapter-150Mbit-geeignet/dp/B008IFXQFU/

oder was �hnliches. ragt nur etwa so weit raus wie die Logitech Mausempf�nger, und die machen auch keine Probleme.

Rolsch

2020-07-25, 13:51:25

Oder einfach warten bis die Sache ausgereift ist, da wird sicher noch viel nachgebessert. WPA2-PSK mit einem ausreichend starken Passwort ist immer noch sicher.

lumines

2020-07-25, 14:34:51

Dass es einen Modus gibt, bei dem nur der neuere Standard unterst�tzt wird ist ja aus Sicherheitsgr�nden verst�ndlich. Ich verstehe aber nicht, wieso nicht zumindest optional angeboten wird:
WPA3 + PMF und aber parallel immer noch WPA2 ohne PMF.
Das ist doch immer noch besser wie nur WPA2 ohne PMF. Bei der Fritzbox kann man ja bei reinem WPA2-Betrieb das PMF ja auch separat ein oder abschalten.
Oder geht das technisch nicht, wiel beim Mischbetrieb die Anmeldeprozedur f�r WPA2 und WPA3 gleich ist?

Genau das wird wahrscheinlich nicht der Fall sein. Extrem viele Angriffe funktionieren �ber Downgrades, die eine �ltere Protokollversion erzwingen.

x-dragon

2020-07-25, 15:24:12

Es gab 2017 auch schon mal einen gr��erem Angriff auf WPA2:
https://www.heise.de/security/meldung/Details-zur-KRACK-Attacke-WPA2-ist-angeschlagen-aber-nicht-gaenzlich-geknackt-3862571.html

Aber dieses d�rfte auch nur noch Ger�te betreffen die �lter als 2017 sind und seit dem keine Sicherheitsupdates mehr bekommen haben (also Windows 10 ist definitiv gefixt):
https://github.com/kristate/krackinfo

Rolsch

2020-07-25, 15:27:17

Hier wird PMF erkl�rt, AVM k�nnte die Option ohne PMF also schon noch anbieten.

Drei verschiedene Optionen f�r Protected Management Frames

Sind in einem WLAN beziehungsweise an einem WLAN-Accesspoint Protected Management Frames nach IEEE 802.11w implementiert, stehen f�r die Anmeldung der Clients grunds�tzlich drei Optionen zur Verf�gung. Mit diesen Optionen l�sst sich sicherstellen oder ausschlie�en, dass Clients ohne 802.11w-Unterst�tzung das drahtlose Netzwerk nutzen. Die drei verf�gbaren PMF-Optionen sind:

1. Clients melden sich ohne PMF an. Die Management Frames sind grunds�tzlich nicht gesch�tzt und nicht verschl�sselt. PMF ist nicht aktiviert oder konfiguriert

2. Protected Management Frames sind zwingend vorgeschrieben. Die Management Frames werden daher immer verschl�sselt. Clients ohne 802.11w-Unterst�tzung erhalten keinen Zugang zum drahtlosen Netzwerk.

3. Die Verwendung von Protected Management Frames ist optional. Je nach 802.11w-Unterst�tzung des WLAN-Clients sind die Management Frames unverschl�sselt oder verschl�sselt. Der Client entscheidet selbst, ob er PMF verwendet oder nicht.

https://www.ip-insider.de/was-sind-protected-management-frames-pmf-80211w-a-780737/

x-dragon

2020-07-25, 15:49:29

K�nnte schon, aber das war ja schon eine bewusste Entscheidung von denen. Diese Funktion gibt es ja schon einige Zeit optional bei den Fritzboxen:
[X] Unterst�tzung f�r gesch�tzte Anmeldungen von WLAN-Ger�ten (PMF) aktivieren (so siehts aktuell noch bei meiner aus, das neue Update steht noch aus)

Oder einfach warten bis die Sache ausgereift ist, da wird sicher noch viel nachgebessert. WPA2-PSK mit einem ausreichend starken Passwort ist immer noch sicher.

Nat�rlich werde ich jetzt einfach WPA3 nicht aktivieren. finde es nur schade, weil ich normalerweise neue Features gerne schnell ausprobiere.
Und es mir vom Prinzip missf�llt, dass so nebenbei alte aber sonst noch voll funktionsf�hige Ger�te abgekoppelt werden.

(netsh wlan show driver zeigt �brigens tats�chlich "802.11w Management Frame Protection wird unterst�tzt: Nein" an)

Hier wird PMF erkl�rt, AVM k�nnte die Option ohne PMF also schon noch anbieten.

3.[...]

https://www.ip-insider.de/was-sind-protected-management-frames-pmf-80211w-a-780737/
Danke!
D.h. es spricht technisch nichts dagegen und es ist rein eine Entscheidung von AVM :(

K�nnte schon, aber das war ja schon eine bewusste Entscheidung von denen. Diese Funktion gibt es ja schon einige Zeit optional bei den Fritzboxen:
(so siehts aktuell noch bei meiner aus, das neue Update steht noch aus)

Ich weiss. So sieht es auch nach dem Update aus, wenn du WPA2 ausw�hlst. Wenn du aber WPA2+WPA3 ausw�hlst ist diese Einstellung ausgegraut und angekreuzt, d.h. nicht mehr abw�hlbar.

Interessant ist auch, dass diese Option beim Gast-WLAN gar nicht zu finden ist (ist nur beim Internen).

Oder einfach warten bis die Sache ausgereift ist, da wird sicher noch viel nachgebessert. WPA2-PSK mit einem ausreichend starken Passwort ist immer noch sicher.Passwort St�rke bringt nicht viel wenn man das Netzwerk "st�ren" kann und hier ist WPA2 mittlerweile der letzte M�ll in Sachen Sicherheit bzw. wie damit von den Herstellern umgegangen wird.

vBulletin®, Copyright ©2000-2022, Jelsoft Enterprises Ltd.

Was bedeutet Unterstützung für geschützte Anmeldungen von WLAN Geräten PMF aktivieren?

Sollte man PMF aktivieren?

Wie kann ich Geräte im WLAN priorisieren?

Warum verbindet sich Handy nicht mit Fritzbox?