digitalDokumente.com und der-PCNotarzt.de - Zwei die zusammen gehörten

Datensicherheit

Ohne Maßnahmen zur Erhöhung der Informationssicherheit sind drahtlose, lokale Netzwerke Angriffen ausgesetzt, wie zum Beispiel beim Snarfing oder bei Man-In-The-Middle-Angriffen. Es ist daher erforderlich, das mit entsprechenden Mitteln, insbesondere durch die Verwendung von Verschlüsselung und Kennwörtern (Authentifizierung) zu verhindern oder zumindest deutlich zu erschweren.

Verschlüsselung

Teil des WLAN-Standards IEEE 802.11 ist Wired Equivalent Privacy (WEP), ein Sicherheitsstandard, der den RC4-Algorithmus enthält. Die darin enthaltene Verschlüsselung mit einem nur 40 Bit (64 Bit genannt) bzw. 104 Bit (128 Bit genannt), bei einigen Herstellern auch 232 Bit (256 Bit genannt) langen statischen Schlüssel reicht jedoch nicht aus, das WLAN ausreichend zu sichern. Durch das Sammeln von Schlüsselpaaren sind Known-Plaintext-Angriffe möglich. Es gibt frei erhältliche Programme, die sogar ohne vollständigen Paketdurchlauf in der Lage sind, einen schnellen Rechner vorausgesetzt, das Passwort zu entschlüsseln. Jeder Nutzer des Netzes kann den gesamten Verkehr zudem mitlesen. Die Kombination von RC4 und CRC wird als kryptografisch unsicher betrachtet.

Aus diesen Gründen sind technische Ergänzungen entwickelt worden, etwa WEPplus, Wi-Fi Protected Access (WPA) als Vorgriff und Teilmenge zu 802.11i, Fast Packet Keying, Extensible Authentication Protocol (EAP), Kerberos oder High Security Solution, die alle mehr oder weniger gut das Sicherheitsproblem von WLAN verkleinern.

Der Nachfolger von WEP ist der neue Sicherheitsstandard 802.11i. Er bietet eine erhöhte Sicherheit durch Advanced Encryption Standard (AES) (bei WPA2) und gilt zur Zeit als nicht entschlüsselbar, solange keine trivialen Passwörter verwendet werden, die über eine Wörterbuch-Attacke geknackt werden können. Als Empfehlung kann gelten, mit einem Passwortgenerator Passwörter zu erzeugen, die Buchstaben in Groß- und Kleinschreibung, Zahlen und Sonderzeichen enthalten und nicht kürzer als 32 Zeichen sind.

WPA2 ist das Äquivalent der Wi-Fi Alliance zu 802.11i, das mit dem Verschlüsselungsalgorithmus AES (Advanced Encryption Standard mit Schlüssellängen von 256 Bit) arbeitet und in neueren Geräten meist unterstützt wird. Einige Geräte lassen sich durch Austausch der Firmware mit WPA2-Unterstützung nachrüsten. Jedoch erfolgt hier die Verschlüsselung meist ohne Hardwarebeschleunigung, so dass der Zugewinn an Sicherheit durch eine starke Einbuße an Übertragungsrate erkauft wird.

Eine alternative Herangehensweise besteht darin, die Verschlüsselung komplett auf IP-Ebene zu verlagern. Dabei wird der Datenverkehr beispielsweise durch die Verwendung von IPsec oder durch einen VPN-Tunnel geschützt. Besonders in freien Funknetzen werden so die Inkompatibilitäten verschiedener Hardware umgangen, eine zentrale Benutzerverwaltung vermieden und der offene Charakter des Netzes gewahrt.

Zur rechtlichen Situation siehe weiter unten.

Beim sogenannten WarWalking (oder beim Abfahren ganzer Gegenden mit dem Auto Wardriving genannt) werden mit einem WLAN-fähigen Notebook oder PDA offene WLANs gesucht. Diese können mit Kreide markiert werden (WarChalking). Das Ziel dabei ist, Sicherheitslücken aufzudecken und dem Betreiber zu melden und die Verbreitung von WLAN zu untersuchen, oder diese zum eigenen Vorteil (kostenlos und unter fremdem Namen surfen) auszunutzen.

Authentifizierung

Extensible Authentication Protocol ist ein Protokoll zur Authentifizierung von Clients. Es kann zur Nutzerverwaltung auf RADIUS-Server zurückgreifen. EAP wird hauptsächlich innerhalb von WPA für größere WLAN-Installationen eingesetzt.

Eine Authentifizierung ist auch über die MAC-Adresse der drahtlosen Netzwerkadapter möglich. Die MAC-Adresse ist eine Hardware-Kennung anhand derer sich jeder angeschlossene Netzwerkadapter identifizieren lässt. Die meisten Access Points bzw. Router bieten die Möglichkeit, den Zugriff nur für bestimmte MAC-Adressen zu ermöglichen. Allen nicht zugelassenen MAC-Adressen wird dann keine IP-Adresse zugewiesen, bzw. der Zugriff auf den Access Point ist blockiert. Eine alleinige Sicherung über MAC-Adressen-Filterung ist jedoch nicht sicher, da sich solche Adressen problemlos einstellen lassen. Gültige MAC-Adressen können z. B. durch das Mitlauschen des Datenverkehrs anderer Teilnehmer gefunden werden. Aber auch Verschlüsselungen lassen sich auf diese Weise knacken.

Grundlegende Sicherheitsmaßnahmen

Dazu gehören einige grundlegende Einstellungen am Router bzw. Access Point:

• Aktivierung der Verschlüsselung mit einer sicheren Verschlüsselungsmethode, d. h. mindestens WPA; dabei spezifische Hinweise zur Sicherheit der gewählten Verschlüsselungsmethode im jeweiligen Artikel beachten,
• Vergabe eines sicheren Netzwerkschlüssels,
• Ersetzen der werkseitig voreingestellten Router- bzw. Access-Point-Passwörter,
• Änderung des werkseitig voreingestellten SSID-Namens, sodass keine Rückschlüsse auf verwendete Hardware, Einsatzzweck oder Einsatzort möglich sind,
• Deaktivierung der Fernkonfiguration des Routers, soweit vorhanden (insbesondere bei privaten Haushalten),
• Konfiguration des Access Points nach Möglichkeit nur über kabelgebundene Verbindungen vornehmen bzw. Konfiguration per WLAN deaktivieren,
• Ausschalten von WLAN-Geräten, solange sie nicht genutzt werden,
• Minimierung der Reichweite des WLANs. Dies kann durch Reduzierung der Sendeleistung bzw. Standortwahl des WLAN-Gerätes durchgeführt werden,
• Regelmäßige Firmware-Aktualisierungen des Access Points, um sicherheitsrelevante Verbesserungen zu erhalten,
• Trennung des Access Points vom restlichen (kabelgebundenen) Netzwerkteil mit Hilfe von VLANs und gleichzeitiger Einsatz einer Firewall zwischen den Netzwerkteilen,
• Verwendung einer anderen als der Default-IP-Adresse (oft 192.168.1.1 oder 192.168.0.1) des Routers,
• Aktivierung der Zugriffskontrollliste auf MAC-Adressen-Basis (geringer Sicherheitsgewinn, vergleiche dazu den Abschnitt Authentifizierung),
• Prüfen der Option zur SSID-Übermittlung (Aktivieren sorgt für Unsichtbarkeit des Access Points, erzeugt aber Sicherheitsprobleme auf allen Endgeräten, Details im Abschnitt Infrastruktur-Modus),
• Deaktivieren von Wi-Fi Protected Setup, wenn die Funktion nicht (mehr) benötigt wird.

Originaltext bei http://www.com-magazin.de