Wifi hacken en kraken: hoe het werkt en hoe je je netwerk beschermt

Wifi hacken en kraken draait bijna nooit om het breken van de encryptie zelf. Een aanvaller vangt het aanmeldmoment tussen apparaat en router op en probeert daarna offline het wachtwoord te raden. Tools als Wifite2 zetten die stappen achter elkaar. Wie dat weet, ziet ook meteen waar de verdediging zit: een lang wachtwoord, WPS uit en WPA3 aan.

Zonder toestemming een netwerk binnendringen valt in Nederland onder computervredebreuk. Dit artikel legt uit hoe de aanval werkt en hoe je je eigen netwerk daartegen dichtzet.

In het kort

Een wifi-aanval verloopt in drie stappen: netwerk scannen, de WPA-handshake onderscheppen en het wachtwoord offline kraken met een woordenlijst. WPS met zijn achtcijferige pincode is daarbij de zwakste schakel, omdat een fout in het protocol het aantal te proberen combinaties terugbrengt tot ongeveer 11.000. Je netwerk dichtzetten doe je met WPA3, een wachtwoord van minstens vijftien tekens, WPS uitgeschakeld, actuele firmware en een apart gastnetwerk. Op je eigen netwerk testen mag, op dat van een ander niet.

Hoe een wifi-aanval werkt

De meeste thuisnetwerken draaien op WPA2 of WPA3. Die encryptie rechtstreeks breken is niet haalbaar. Daarom mikt een aanvaller op het moment waarop een apparaat zich aanmeldt, want daar valt informatie te onderscheppen waarmee het wachtwoord later te raden is.

De WPA-handshake

Wanneer een apparaat verbinding maakt, doorlopen router en apparaat een aanmeldproces van vier stappen, de four-way handshake. Daarin tonen beide dat ze het wachtwoord kennen en wordt de sessiesleutel afgesproken.

Een aanvaller die deze handshake opvangt, heeft daarmee niet meteen het wachtwoord. Wel heeft hij genoeg om er offline op los te gaan: hij toetst kandidaat-wachtwoorden tegen de opgevangen handshake tot er een past. Dat kan buiten het bereik van jouw netwerk, zonder dat je er iets van merkt.

Deauthenticatie dwingt een handshake af

Een handshake ontstaat alleen op het moment van verbinden. Om niet te hoeven wachten, stuurt een aanvaller deauthenticatiepakketten die een apparaat kort van het netwerk stoten. Het apparaat verbindt automatisch opnieuw en levert zo de handshake die wordt opgevangen.

Deze pakketten vallen op als je erop let: verbindingen die zonder aanleiding steeds even wegvallen, kunnen op een deauth-aanval wijzen. WPA3 dicht dit gat met beschermde beheerframes, waardoor zo’n gedwongen ontkoppeling niet meer werkt.

De WPS-pincode als kortere weg

Veel routers hebben Wifi Protected Setup, waarmee je een apparaat verbindt via een pincode van acht cijfers. Het protocol controleert die code in twee helften en bevestigt de eerste helft los van de tweede. Daardoor daalt het aantal te proberen combinaties van honderd miljoen naar ongeveer 11.000, een aantal dat een computer in uren afwerkt.

Deze zwakte is al sinds 2011 bekend en beschreven in een waarschuwing van CISA. WPS uitzetten is daarom een van de effectiefste maatregelen die je kunt nemen.

Offline kraken met een woordenlijst

Met de opgevangen handshake volgt de laatste stap: een woordenlijst met bekende wachtwoorden er stuk voor stuk tegenaan houden. Lijsten als rockyou.txt bevatten miljoenen wachtwoorden uit oude datalekken.

Hier ligt de kern van je verdediging. Staat jouw wachtwoord in zo’n lijst of is het kort en voorspelbaar, dan is het een kwestie van tijd. Een lang, willekeurig wachtwoord komt in geen enkele lijst voor en maakt deze stap onbegonnen werk.

Wat is Wifite2?

Wifite2 is een opensourcetool in Python die de stappen hierboven aan elkaar rijgt. In plaats van scannen, deauthenticeren, handshake opvangen en kraken los uit te voeren, draait de tool die keten automatisch. Het is daarmee geen nieuwe aanvalstechniek, maar een verpakking van bestaande tools.

Onder de motorkap gebruikt Wifite2 bekende componenten: Aircrack-ng voor de handshake, Reaver en Bully voor WPS, en Hashcat voor het kraakwerk. Je vindt de tool voorgeinstalleerd in Kali Linux, de distributie die pentesters voor dit soort werk gebruiken.

Pentesters zetten de tool in om te laten zien hoe snel een zwak beveiligd netwerk valt. De uitkomst is een rapport waarmee een organisatie weet welke access points aandacht nodig hebben. De actief onderhouden broncode staat op GitHub bij kimocoder/wifite2. Dat is ook de versie die Kali Linux meelevert.

Wat een test op je eigen netwerk vraagt

Wil je op je eigen netwerk zien hoe ver je komt, dan heb je drie dingen nodig. Dit is bewust een overzicht op hoofdlijnen, geen kant-en-klaar aanvalsrecept.

• Kali Linux, waar Wifite2 en de onderliggende tools al in zitten. Een virtual machine volstaat om te beginnen.
• Een wifi-adapter met monitor mode. Een ingebouwde laptopadapter kan dit meestal niet, een externe USB-adapter met een geschikte chipset zoals de Atheros AR9271 wel.
• Een woordenlijst om het kraakgedeelte te testen. Zo zie je zelf of jouw wachtwoord standhoudt.

De tool draait daarna zelf de scan, kiest een doel dat je aanwijst en probeert de handshake en het kraken. Zie je dat je eigen netwerk binnen enkele minuten valt, dan weet je genoeg over je huidige wachtwoord.

Je netwerk beschermen tegen wifi kraken

De aanval kent een paar duidelijke zwakke plekken om op te sturen. Onderstaande maatregelen halen het merendeel van de kans op succes weg.

Kies een wachtwoord van minstens vijftien tekens

Dit is de belangrijkste maatregel, want het offline kraken staat of valt met de woordenlijst. Een reeks van vier of vijf willekeurige woorden achter elkaar is lang, makkelijk te onthouden en komt in geen enkele lijst voor. Vermijd straatnamen, geboortejaren en de naam van je provider.

Zet WPS uit

WPS is de kortere weg uit de vorige uitleg. Uitschakelen haalt die complete aanvalsroute weg. Je vindt de instelling in de routerinterface, meestal onder de draadloze instellingen. Verbinden doe je daarna gewoon met het wachtwoord.

Schakel over op WPA3 waar het kan

WPA3 gebruikt een aanmeldmethode genaamd SAE, die het offline raden van wachtwoorden onmogelijk maakt. Ook beschermt het de beheerframes, waardoor de deauth-truc niet meer werkt. Ondersteunen niet al je apparaten WPA3, kies dan de gemengde WPA2/WPA3-modus.

Houd de firmware van je router bij

Fabrikanten dichten bekende lekken via firmware-updates. Zet automatische updates aan als je router dat ondersteunt, en controleer anders af en toe handmatig. Een router die jaren geen update kreeg, is zelf een risico.

Zet bezoekers op een gastnetwerk

Een gastnetwerk staat los van je hoofdnetwerk. Raakt het wachtwoord ervan bekend, dan komt niemand daarmee bij je eigen apparaten. Handig voor bezoekers en voor slimme apparaten die je liever apart houdt.

Het volledige overzicht met instellingen staat bij wifi beveiligen. Werk je onderweg vaak op andere netwerken, kijk dan ook naar een VPN.

Bestaat er een app of website om wifi te kraken?

Rond dit onderwerp circuleren veel apps en websites die beloven een wifi-wachtwoord “online” te kraken. Vrijwel zonder uitzondering leveren die niets op. Wat ze wel doen: advertenties tonen, een enquete laten invullen die nooit eindigt, of zelf malware installeren.

De reden is technisch. Het kraken gebeurt offline op een opgevangen handshake en vraagt lokale rekenkracht, meestal van een videokaart. Een website heeft geen toegang tot het draadloze signaal bij jou in de buurt en kan die handshake dus niet eens opvangen. Een echte wifi-audit draait op je eigen hardware met een adapter in monitor mode, niet in een browsertabblad.

Kom je zulke tools tegen terwijl je je eigen wachtwoord kwijt bent, dan is de route eenvoudiger: het wachtwoord staat in de beheerinterface van je router en op veel routers op een sticker aan de onderkant.

Verwante aanvalstechnieken

Het kraken van een wachtwoord is niet de enige manier om via wifi binnen te komen. Een WiFi Pineapple zet een nepnetwerk op waar apparaten uit zichzelf mee verbinden, zonder dat er een wachtwoord aan te pas komt. Die aanval richt zich op het apparaat en de gebruiker, waar het kraken zich op de router richt.

Tegen dat type aanval helpt vooral gedrag: automatisch verbinden uitzetten en certificaatwaarschuwingen serieus nemen. Meer daarover staat bij telefoon beveiligen tegen hackers.

Losse tools achter Wifite2

Wie stap voor stap wil begrijpen wat er gebeurt, werkt met de onderliggende tools los in plaats van via de automaat.

• Aircrack-ng is de toolkit voor het opvangen en verwerken van handshakes, met documentatie op de projectsite.
• Reaver richt zich specifiek op de WPS-pincode.
• Hashcat doet het kraakwerk op de videokaart en haalt daarmee veel hogere snelheden dan op de processor.

Is wifi hacken strafbaar in Nederland?

Het binnendringen van een netwerk zonder toestemming valt onder computervredebreuk, artikel 138ab van het Wetboek van Strafrecht. Dat geldt ook wanneer je alleen het wachtwoord achterhaalt zonder verder iets te doen.

Toegestaan is het testen van een netwerk dat van jou is, een penetratietest met schriftelijke opdracht, of onderzoek binnen een afgeschermde labomgeving. Een test in opdracht van een organisatie loopt via een vastgelegde scope en periode, zoals beschreven bij penetratietest.

Wil je je netwerk laten toetsen zonder het zelf te doen, dan vind je aanbieders van draadloze audits in het overzicht van cybersecuritybedrijven in Nederland.

Veelgestelde vragen

Hoe lang duurt het om een wifi-wachtwoord te kraken?

Dat hangt volledig af van het wachtwoord. Staat het in een woordenlijst of is het kort, dan kan het binnen minuten. Een lang, willekeurig wachtwoord van vijftien tekens of meer is met deze methode praktisch niet te kraken.

Werkt wifi kraken ook tegen WPA3?

De klassieke handshake-aanval niet. WPA3 gebruikt SAE, dat offline raden onmogelijk maakt, en beschermt de beheerframes tegen de deauth-truc. Daarom is overstappen op WPA3 zo effectief.

Heb ik een speciale wifi-adapter nodig?

Voor het opvangen van pakketten is monitor mode nodig, en dat kunnen ingebouwde laptopadapters meestal niet. Een externe USB-adapter met een geschikte chipset wel.

Wat is het verschil tussen Wifite2 en Aircrack-ng?

Aircrack-ng is de onderliggende toolkit waarmee je elke stap zelf uitvoert. Wifite2 automatiseert die stappen en roept Aircrack-ng en andere tools op de achtergrond aan.

Kan mijn buurman zien dat ik zijn wifi test?

Een deauth-aanval veroorzaakt zichtbare verbindingsonderbrekingen, en dat is meestal het enige merkbare signaal. Los daarvan geldt: het testen van een netwerk dat niet van jou is, is strafbaar, ongeacht of iemand het merkt.

Wat is de belangrijkste maatregel tegen wifi kraken?

Een lang wachtwoord. Het offline kraken is de laatste en beslissende stap, en die valt stil bij een wachtwoord dat in geen enkele woordenlijst voorkomt. WPS uitzetten en WPA3 aanzetten sluiten de overige routes.