Sicherheitsaspekte in drahtlosen Netzen (WLANs) – Lösungen

Anbieter zum Thema

ALE Deutschland GmbH

Vitel GmbH

WLAN-Sicherheit: systematisch

Es gibt innerhalb IEEE 802 und 802.11 eine Reihe von Initiativen zur Verbesserung der Sicherheit. Teilweise sind diese spezifisch für WLANs, teilweise allgemein für LAN-Umgebungen gedacht. Doch diese Vorschläge greifen teilweise nicht wirklich oder nur in Kombination mit anderen Funktionalitäten. Deshalb werden wir sie hier nur kurz vorstellen und dann zu einer systematischen Betrachtung der Realisierung von Sicherheit in Netzen kommen. Denn das Ziel ist es ja nicht nur, innerhalb des kleinen Wirkungsraums eines WLANs für Sicherheit zu sorgen, sondern man möchte ja Sicherheit auch über eine Kette unterschiedlicher hintereinander geschalteter Netze hinweg.

IEEE 802.1x Authentisierung

Ist ein Teilnehmer der, der er zu sein vorgibt? Das prüft die Authentisierungsphase. Die standardmäßig in IEEE 802.11 WLANs vorgesehene „Shared Key Authentification“ ist hierzu jedoch ungeeignet, weil sie auf WEP basiert.

Unter der Bezeichnung IEEE 802.1x wurde 2001 ein Standard für die portbasierte Netzwerk-Zugriffskontrolle veröffentlicht, der generell für höhere Sicherheit in LANs sorgen soll. Der Standard zerlegt den Authentifikationsprozess in zwei Teile.

Zum einen findet eine Kommunikation zwischen einer Station und einem Access Point statt, zum anderen muss es eine laufende Verbindung zwischen diesem Access Point und einem speziellen Authentifikationsserver geben. Mittels eines schon länger definierten Einwahlprotokolls muss sich die Station über den Access Point mit dem Authentifikationsserver auseinandersetzen. Es gibt hierfür unterschiedliche Implementierungen von den Herstellern, vielfach wird der Authentifikationsserver aber als RADIUS-Server bezeichnet.

Nach erfolgter positiver Anmeldung darf die Station dann via Access Point auf Betriebsmittel wie Server zugreifen. Das gesamte System funktioniert gut in geswitchten Ethernet-Umgebungen, denn es ist für Punkt-zu-Punkt-Verbindungen gedacht, die hier vorliegen. Das System wurde aber entworfen, als man eigentlich Shared-Medium-Systeme aus dem Gedankengut gestrichen hatte. Es gibt also Probleme, wenn man es in einem WLAN, einem typischen Shared-Medium-System, einsetzen möchte.

Man braucht als Ersatz für die physischen Ports, die die Endpunkte der Punkt-zu-Punkt-Verbindungen definieren, logische Ports, die die Verbindung zu genau einem Gerät repräsentieren. Dazu muss sichergestellt sein, dass die über einen derartigen Port ausgetauschten Daten unverändert und definitiv vom gleichen Gerät kommen. Die gesamte Kommunikation muss also verschlüsselt werden, damit das Verfahren überhaupt sicher arbeiten kann. Solange dies nicht sichergestellt ist, führt IEEE 802.1x nicht zu sicherer Kommunikation.

IEEE 802.11i

Auch innerhalb der WLAN-Arbeitsgruppe ist man aber zügig zu der Erkenntnis gekommen, dass WEP nichts taugt. Also hat man eine Arbeitsgruppe ins Leben gerufen, die sich hiermit beschäftigen sollte. Herausgekommen sind zwei neue Verschlüsselungsverfahren genannt TKIP und WRAP. Man definiert zwei Arten von Netzen:

• Robust Security Network (RSN) ist ein Netz, welches das Verschlüsselungsprotokoll WRAP und IEEE 802.1x zur Authentifizierung benutzt. Alle Stationen und Access Points benutzen ausschließlich die für RSN definierten Verschlüsselungs- und Authentisierungsmethoden.
• Transition Security Network (TSN) ist ein Netzwerk, welches kein RSN ist, sondern eine Mischung aus RSN-fähigem und älterem nicht-RSN-fähigem Equipment unterstützt.

RSN

Ein RSN benutzt 802.1x-Authentifikation, ein Schlüsselmanagement basierend auf 802.1x, dynamische, sitzungsspezifische Schlüssel und das Verschlüsselungsverfahren WRAP. WRAP steht für Wireless Robust Authenticated Protocol und ist eine 128-Bit-Variante des AES (Advanced Encryption Standard), welcher seinerseits ein Nachfolger des DES bzw. von TripleDES oder kurz 3DES ist. Es handelt sich also auch um einen symmetrischen Blockchiffrieralgorithmus. Dieser ist zwar richtig gut, aber es gibt noch ein paar Lizenzprobleme.

Deshalb denkt man auch über den Einsatz von TKIP nach, dem sog. Temporary Key Integrity Protocol. Während man für den Einsatz von AES im Grunde genommen neues Equipment benötigt, würde TKIP die Investitionen in bestehende IEEE 802.11b Komponenten schützen, soweit diese softwaremäßig modifiziert werden können. TKIP verwendet das alte WEP weiter, versieht es aber mit sitzungsspezifischen, dynamischen Schlüsseln und hebelt somit die momentan populärste Angriffsbasis aus. TKIP ist nur ein verändertes Verfahren zur Bestimmung der WEP-Schlüssel.

Fazit

Auch wenn sich die Hersteller mit permanenten Nachbesserungen immer weiter bemühen, ist und bleibt ein WLAN eine sehr wackelige Sache. Für Unternehmen gibt es hier wirklich tolle Gesamtlösungen, die die Sicherheitsmaßnahmen für konventionelle und drahtlose Netze konsequent einheitlich betrachten und verwalten.

Besonders die Lösung von Cisco ist hier sehr gut gelungen und weit verbreitet. Sicherheitsfunktionen sind immer dann besonders wirkungsvoll, wenn sie auch direkten Zugriff auf die Switchports haben, über die der gesamte Verkehr läuft. Das setzt bei WLANs in Unternehmen jedoch ein Controller-basiertes Design voraus. Diese Controller sind aber leider nicht billig.

Für den Privatanwender sieht es hingegen erheblich schlechter aus. Die Hauptanwendung für WLAN ist hier ja der Verkehr zwischen DSL-Boxen und dem Rest der heimischen DV und Unterhaltungselektronik. Diese Boxen müssen aber aus Wettbewerbsgründen billig sein, können also keine im Aufwand den Verfahren für Corporate Networks auch nur halbwegs ebenbürtigen Verfahren unterstützen.

(ID:2052470)