Fremde Geräte im WLAN erkennen (der Raspberry-Pi-Trick aus Mr. Robot)

In der ersten Staffel von Mr. Robot hängt der Zugang zu einem streng bewachten Rechenzentrum an einem einzigen kleinen Gegenstand: einem Raspberry Pi, einem Computer im Scheckkartenformat, der eingeschmuggelt und ans Netzwerk des Gebäudes angeschlossen wird. Von dort ist er von außen erreichbar und lässt sich gegen die Systeme um ihn herum einsetzen. Die Szene bleibt hängen, weil sie so plausibel ist. Ein Raspberry Pi ist billig, läuft mit Linux, braucht kaum Strom und ist, einmal im Netzwerk, nur ein Gerät unter vielen.

Sie müssen kein Rechenzentrum betreiben, damit das für Sie zählt. Ein Heim- oder kleines Büronetzwerk wird meist von Dutzenden Geräten geteilt — Smartphones, Laptops, Fernseher, Lautsprecher, Steckdosen, Kameras, ein Drucker — und kaum jemand kennt die vollständige Liste. Tritt ein neues Gerät bei, schlägt nirgends etwas Alarm. Genau auf diese Lücke setzen ein eingeschleustes Gerät, ein Nachbar in Ihrem WLAN oder ein Gadget, das sich still danebenbenimmt.

Warum ein Gerät in Ihrem Netzwerk ein Problem ist, auch wenn es Sie nie „hackt“

• Es kann nach Diensten suchen, die andere Geräte im lokalen Netzwerk anbieten: freigegebene Ordner, Bildschirmfreigabe, Fernanmeldung, Drucker.
• Es kann beobachten, welche Geräte wann da sind — ein überraschend aufschlussreiches Muster darüber, wer zu Hause ist.
• Es kann warten. Viele Angriffe im lokalen Netzwerk brauchen keine Geschwindigkeit, nur Anwesenheit.
• Es kann ein legitimes, aber schlecht gesichertes Gadget sein, das jemand anderes kontrolliert — was für Ihr Netzwerk auf dasselbe hinausläuft.

Wie Ihr Mac längst weiß, wer da ist

Geräte im selben lokalen Netzwerk finden einander über einen Mechanismus namens ARP. Bevor Ihr Mac irgendetwas an ein anderes Gerät im WLAN schicken kann — den Router eingeschlossen —, lernt er dessen Hardwareadresse, die sogenannte MAC-Adresse, und führt eine kurze Liste der zuletzt gesehenen. Diese Liste ist ein ehrliches Protokoll der Geräte, mit denen Ihr Mac im lokalen Netzwerk tatsächlich Kontakt hatte.

Die erste Hälfte jeder MAC-Adresse ist ein Herstellercode, vergeben von der IEEE und in einem öffentlichen Register veröffentlicht. Raspberry-Pi-Boards etwa melden Einträge wie „Raspberry Pi Trading Ltd“. Apple, Samsung, Sonos, TP-Link und Tausende andere haben ihre eigenen. Allein aus dieser kurzen Liste kann Ihr Mac also nicht nur sagen „unter dieser Adresse gibt es ein Gerät“, sondern „hier ist ein Gerät dieses Herstellers“.

Die Rohfassung können Sie selbst im Terminal sehen:

$ arp -an
? (192.168.1.1) at a4:2b:b0:12:34:56 on en0 ifscope [ethernet]
? (192.168.1.23) at dc:a6:32:ab:cd:ef on en0 ifscope [ethernet]

Nützlich, aber nicht gerade lesbar. Niemand lernt Herstellercodes auswendig.

Die lesbare Fassung: Who’s online in FireAI

Who’s online macht aus dieser Liste etwas, mit dem Sie wirklich arbeiten können. Es liest die ARP-Tabelle Ihres Macs einmal pro Minute — kein Netzwerkscan, kein Abtasten anderer Geräte, keine Pakete an sie — und schlägt den Hersteller jedes Geräts im öffentlichen IEEE-Register nach, das in FireAI mitgeliefert wird, sodass keine Abfrage jemals Ihren Mac verlässt.

• Jedes Gerät erscheint mit seinem Hersteller, seiner aktuellen Adresse, dem Namen, den es sich selbst gibt, wenn Sie die Namensabfrage einschalten (standardmäßig aus: Sie ist der einzige Teil, der Ihren DNS-Server etwas fragt), und einem Symbol dafür, was es vermutlich ist — ein Mac, ein Telefon, ein Fernseher, ein Lautsprecher, Ihr Router. Liegt die Vermutung daneben, wählen Sie das richtige.
• Geben Sie Geräten eigene Namen: „Küchenlautsprecher“, „Davids MacBook“, „Fernseher Wohnzimmer“. Benannte Geräte sind die, die Sie erkannt haben; die unbenannten sind die, die Sie sich ansehen sollten.
• Beobachten Sie ein Gerät, und FireAI benachrichtigt Sie, wenn es dem Netzwerk beitritt oder es verlässt. Das hilft bei der Sicherheit — die unbekannte Box, die immer wiederkommt — und bei Alltagsfragen, etwa ob der Laptop eines Familienmitglieds zu Hause ist.
• Nicht beobachtete Geräte werden still erfasst. FireAI überflutet Sie nie mit einer Mitteilung, sobald ein Telefon aufwacht.

Eine Box, die als „Raspberry Pi Trading Ltd“ auftaucht oder als Hersteller, bei dem Sie nie etwas gekauft haben, ist die moderne Version eines Kabels, das niemand erklären kann. Sie ist vielleicht harmlos — viele Leute betreiben zu Hause ganz bewusst einen Raspberry Pi. Entscheidend ist: Jetzt wissen Sie, dass sie da ist, und können nachfragen.

Die ehrlichen Grenzen

Wir möchten lieber, dass Sie der Liste für das vertrauen, was sie ist, und nicht für mehr:

• Private Adressen. Die meisten modernen Smartphones, Tablets und Laptops verwenden in jedem Netzwerk eine zufällige, private WLAN-Adresse. Diese Geräte erscheinen in FireAI als „Private Adresse“ — wir raten keinen Hersteller, denn jede Vermutung wäre erfunden. Sie einmal zu benennen, funktioniert trotzdem.
• Was Ihr Mac gesehen hat. Die ARP-Liste enthält nur Geräte, mit denen Ihr Mac kürzlich im lokalen Netzwerk Daten ausgetauscht hat. Aktive Geräte erscheinen schnell; ein stilles Gerät oder eines in einem separaten Gastnetz womöglich nicht.
• Der Router hat das volle Bild. Die Verwaltungsseite Ihres Routers listet jedes Gerät, dem er eine Adresse zugeteilt hat. Who’s online ist die schnelle Sicht von Ihrem Mac aus; der Router ist die maßgebliche Quelle und der Ort, an dem Sie ein Gerät ganz aus dem Netzwerk aussperren.

Etwas Unbekanntes gefunden? Das können Sie tun

1. Benennen Sie zuerst alles, was Sie erkennen. Die Liste der Unbekannten schrumpft schnell.
2. Beobachten Sie das unbekannte Gerät, damit Sie erfahren, wann es da ist — dieses Muster verrät oft, was es ist („nur, wenn die Putzhilfe da ist“, „jede Nacht um 2 Uhr“).
3. Suchen Sie dieselbe Hardwareadresse in der Geräteliste Ihres Routers und sehen Sie nach, welchen Namen er anzeigt.
4. Können Sie es immer noch nicht zuordnen, ändern Sie Ihr WLAN-Passwort — jedes Gerät muss sich neu verbinden, und nur die, die Sie wieder hereinlassen, schaffen es.
5. In Netzwerken, die Sie nicht kontrollieren, schalten Sie FireAI in den Coffee-shop-Modus: Eingehende Verbindungen werden abgelehnt und die Datei- und Bildschirmfreigabe Ihres Macs zu anderen lokalen Geräten wird blockiert, sodass die Box eines Fremden niemanden zum Reden hat.

Der Raspberry Pi in Mr. Robot funktionierte, weil niemand aufs Netzwerk schaute. In Ihrem eigenen WLAN ist Hinschauen jetzt eine Gewohnheit mit einem Klick. Die übrigen Techniken der Serie und was sie stoppt, lesen Sie in Die Hacks aus Mr. Robot, erklärt.

Wo FireAI und HisnLabs ins Spiel kommen

Eine fremde Box im Netzwerk funktioniert nur, solange sie niemand bemerkt. Who’s online in FireAI macht jedes Gerät sichtbar, das Ihr Mac sieht, benannt nach seinem Hersteller — und sagt Ihnen, wann die Geräte, die Ihnen wichtig sind, kommen und gehen.

FireAI ist das eigene Produkt von HisnLabs: eine KI-Firewall für den Mac, die direkt auf dem Gerät läuft. Sie zeigt jede Verbindung Ihrer Apps in verständlicher Sprache und lässt Sie entscheiden, was Ihren Mac verlässt — die KI arbeitet lokal, Ihr Datenverkehr wird also nie an uns oder irgendjemand anderen gesendet. Das Sicherheitsforschungsteam von HisnLabs sorgt dafür, dass diese Entscheidungen verlässlich bleiben: Es katalogisiert, welche Domains gewöhnliche Telemetrie und welche ein echter Dienst sind, verfolgt Land und Netzwerk hinter einer Verbindung und trainiert das lokale Modell (die Autopilot-Funktion) mit echten Verkehrsmustern — ohne dass irgendetwas davon Ihren Mac verlässt.

Die technischen Entscheidungen dahinter können Sie nachlesen — oder FireAI 17 Tage lang ausprobieren — unter FireAI, von HisnLabs.