ASUS WL-330G Access Point - SicherheitindrahtlosenNetzwerken

Bevor man "wireless appliances" in Betrieb nimmt sollte man sich mit den Grundlagen der Sicherheit in drahtlosen Netzwerken vertraut gemacht haben, WPA, WEP und MAC-Liste sollten bekannte Begriffe sein. Deswegen vorweg ein kleiner Einschub zum Thema "Sicherheit in drahtlosen Netzwerken".

Im Bereich der drahtlosen Netzwerk-Technologie gibt es mehrere Möglichkeiten, sich vor ungewollten Mitsurfern zu schützen. Dabei handelt es sich teilweise um triviale Dinge wie eine MAC-Whiteliste, auf der zugelassene "Gäste" registriert sind, aber auch konfigurationsaufwändigere Sachen wie WPA-Verschlüsselung, bei der Verschlüsselungsstärke und -Komplexität eingestellt werden.

Die einfachen Sicherheitstipps:

• Viele Accesspoints erlauben es, das Senden der SSID (Service-Set-ID) zu unterdrücken, auf diese Weise kann ein vorbeifahrender Scanner nicht feststellen, dass das Funknetz da ist. Man kann sich diese Technik mit dem Abschrauben des Namensschildes an der Klingel vorstellen. Das mit Windows XP mitgelieferte Konfigurationsprogramm kann allerdings nicht verwendet werden, da es auf diese SSID angewiesen ist. Die meisten Hersteller bieten Programme an, in denen man neben der SSID auch den Funkkanal einträgt, so dass man trotzdem eine Verbindung aufbauen kann.
  
  
• Um nur "geladene" Gäste einzulassen, kann man eine "Gästeliste" führen. Diese nennt man MAC-Liste. Die MAC-Adresse (Multiple Access Protocol-Adresse) ist die eindeutige Kennnummer einer jeden Netzwerkhardware. Diese Nummer ist in einen EPROM gebrannt. Mittels geeigneter Programme kann man diese allerdings zumindest bis zum nächsten Neustart des Rechners ändern. Was für Hacker kein unüberwindliches Hindernis darstellt, aber für eine generelle Erhöhung der Sicherheit genügt.
  
  
• Nachdem man nun schon dafür gesorgt hat, dass Unbefugte das Netzwerk nicht sehen, weil das "Klingelschild" abgeschraubt wurde bzw. sich nicht einloggen können, weil sie nicht auf der "Gästeliste" stehen, läßt sich weiterhin die Übertragung verschlüsseln. Eine Verschlüsselung verhindert, dass interessierte Dritte Daten, die über das Netzwerk gesendet werden, abfangen können. Neben verschiedenen herstellereigenen Verfahren, die oftmals aber nicht interoperabel mit anderen Produkten sind, gibt es in den IEEE 802.11a/b/g Standards nur die WEP-Verschlüsselung (Wired-Equivalent-Privacy) sowie das neue WPA (Wi-Fi Protected Access), dass gerade erst in IEEE 802.11i standardisiert wurde.
  
  
  • Die Verschlüsselung per WEP wird mit dem RC4-Algorithmus durchgeführt, dessen effektiv eingesetzter Schlüssel aus einem konstanten WEP-Schlüssel und einem Initialisierungsvektor generiert wird. In den Standards wurden zwei verschiedene Stärken definiert: 40bit und 104bit. Oftmals wird von 64bit- und 128bit-Verschlüsselung geschrieben, was dasselbe ist, allerdings wird hierbei der Protokoll-Overhead mit einberechnet. Leider ist der verwendete RC4-Algorithmus linear, das heißt, mit etwas Arbeit und Zeit kann man berechnen, wie sich der verschlüsselte Text ändern muss, wenn man die Nachricht ändert.
    
    Mittlerweile gibt es für verschiedene Systeme Zubehör, welches durch Mithören einer ausreichenden Menge des Datenverkehrs den verwendeten WEP-Schlüssel berechnen kann. In der Regel genügt es wenige Stunden mitzuhören, um genügend Informationen zu sammeln. In der Folge kann WEP nicht mehr als ausreichend sicher angesehen werden. Es ist nicht sonderlich schwierig, manipulierte Daten in WLAN-Netze einzuspeisen oder aber eine direkte Verbindung mit einem Access Point herzustellen, um dann Zugang zum verkabelten Netz zu erhalten.
    Nachdem die Probleme mit WEP bekannt geworden waren, setzte man sich zusammen, um einen neuen Verschlüsselungsstandard zu entwickeln.
    
    
  • Die Verschlüsselung per WPA (Wi-Fi Protected Access) bietet zusätzlichen Schutz durch dynamische Schlüssel, die auf dem TKIP (Temporal Key Integrity Protocol) basieren und erfordert die Anmeldung von Nutzern über das Extensible Authentication Protocol (EAP). WPA fand mittlerweile Eingang in den Standard 802.11i. Die erhöhte Sicherheit gegenüber WEP besteht darin, dass der Schlüssel nur bei der Initialisierung verwendet wird und anschließend ein Session-Key zum Einsatz kommt.

    Der Standard sieht zwei Möglichkeiten der Schlüsselverwaltung vor:
    1. Die Zugangskennungen werden auf einem zentralen Server verwaltet (Managed Key)
    2. "Pre-Shared-Keys" (WPA-PSK)

    Bei der "Pre-Shared-Keys"-Methode melden sich alle Nutzer eines Netzes mit demselben Kennwort an. Falls zu kurze und leicht zu erratende Passwörter verwendet werden, liegt hier ein Angriffspunkt für Hacker (z.B. über Brute Force).

    Das ist jedoch keine Sicherheitslücke des WPA-Standards. In diesem Fall hängt von der Qualität des vom Benutzer ausgedachten Passworts die Sicherheit des Systems ab. Ein nutzloses Passwort wäre beispielsweise "admin". Besser, aber immer noch nicht optimal, wäre beispielsweise ein längeres Passwort. Ein relativ unknackbares WPA-Keyword wäre daraus abgeleitet ein langes Passwort, welches Gross- und Kleinschreibung sowie Ziffern enthält (z.B. "mAsTeR_of_MaCh1n3" (1=i; 3=e)). Dabei sollte man zusätlich noch darauf achten, möglichst ein frisch erdachtes Schlüsselwort zu verwenden, wer weiß schon, wer dieselbe Quelle gelesen hat.

Auf der nächsten Seite schauen wir uns den Access-Point nun näher an.