Wi-Fi Protected Access

aus Wikipedia, der freien Enzyklopädie

Wi-Fi Protected Access (WPA) ist eine Verschlüsselungsmethode für ein Wireless LAN. Nachdem sich die Wired Equivalent Privacy (WEP) des IEEE-Standards 802.11 als unsicher erwiesen hatte und sich die Verabschiedung des neuen Sicherheitsstandards IEEE 802.11i verzögerte, wurde durch die Wi-Fi eine Teilmenge von IEEE 802.11i vorweggenommen und unter dem Begriff WPA als Pseudostandard etabliert. Die Zertifizierung nach diesem Standard begann im April 2003.

Inhaltsverzeichnis 1 Funktionsweise 2 Angriffsmöglichkeiten 3 Sicherheitsmaßnahmen 4 Weblinks 5 Literatur

[Bearbeiten] Funktionsweise

WPA enthält die Architektur von WEP, bringt jedoch zusätzlichen Schutz durch dynamische Schlüssel, die auf dem Temporal Key Integrity Protocol (TKIP) basieren, und bietet zur Authentifizierung von Nutzern PSK (Pre-Shared Keys) oder Extensible Authentication Protocol (EAP) über IEEE 802.1x an.

WPA basiert auf dem RC4-Stromchiffre, welcher schon für WEP genutzt wurde. Im Gegensatz zu WEP nutzt WPA nicht nur einen 48 Bit langen Initialisierungsvektor (IV), sondern auch eine „Per-Packet-Key-Mixing“-Funktion, einen „Re-Keying“-Mechanismus sowie einen Message Integrity Check (MIC).

Die Authentifizierung über EAP wird meist in großen Wireless-LAN-Installationen genutzt, da hierfür eine Authentifizierungsinstanz in Form eines Servers (z. B. ein RADIUS-Server) benötigt wird. In kleineren Netzwerken, wie sie im SoHo-Bereich (Small Office, Home Office) häufig auftreten, werden meist PSK (Pre-Shared-Keys) genutzt. Der PSK muss somit allen Teilnehmern des Wireless LAN bekannt sein, da mit seiner Hilfe der Sitzungsschlüssel generiert wird.

Am 3. Februar 2004 wurde die Erweiterung von WPA (WPA2) angekündigt. In WPA2 wurde nicht nur der vollständige 802.11i-Standard umgesetzt, sondern es nutzt auch einen anderen Verschlüsselungsalgorithmus: AES (Advanced Encryption Standard). Hierbei ist zu erwähnen, dass WPA-fähige Geräte, die AES beherrschen, nicht unbedingt WPA2 unterstützen.

[Bearbeiten] Angriffsmöglichkeiten

Bei der Nutzung von Pre-Shared-Keys ist unbedingt auf die Qualität des verwendeten Passworts zu achten. Ein möglicher Angreifer kann über die Brute-Force-Methode oder einen Wörterbuchangriff das genutzte Passwort erraten und so alle möglichen Varianten des Pre-Shared-Keys generieren. Um zu sehen, welcher der generierten Keys der richtige ist, muss ein Anmeldevorgang mitgehört werden (welcher von einem Angreifer jederzeit initiiert werden kann). Bei jeder Anmeldung findet ein Schlüsselaustausch statt, der über einen MD5-Hash gesichert wird und mit dessen Hilfe man die generierten Schlüssel auf ihre Richtigkeit überprüfen kann.

Seit dem 28. April 2004 existiert für einen möglichen Wörterbuchangriff ein Proof-of-Concept, das im Mac-OS-X-Programm KisMAC implementiert wurde. Seit November 2004 existiert auch ein weiteres Programm, WPA Cracker, diesmal für Linux, welches einen Offline-Wörterbuchangriff anhand mitprotokollierter Pakete durchführt und mittlerweile im Quelltext vorliegt. Für einen Brute-Force- oder Wörterbuchangriff auf den aufgezeichneten 4-Way-Handshake des TKIP-Protokolls kann "cowpatty" verwendet werden.

[Bearbeiten] Sicherheitsmaßnahmen

An erster Stelle sollte die Wahl einer sicheren Passphrase (Pre-Shared-Key) stehen. Diese sollte die maximale Schlüssellänge von 63 Zeichen nutzen. Wichtig ist hierbei die lose Kombination von Buchstaben, Ziffern und Sonderzeichen, um Brute-Force- oder Wörterbuchangriffe zu erschweren.

Weitere Sicherheitsmaßnahmen sind:

• das Standard-Passwort des Access-Points ändern bzw. überhaupt erst mal ein Passwort setzen
• die Zugriffskontrollliste (ACL = Access Control List) aktivieren, um vom Access-Point nur Endgeräte mit bekannter MAC-Adresse zuzulassen. Diese Maßnahme ist kein wirklicher Sicherheitsgewinn. MAC-Adressen sind leicht manipulierbar.
• die SSID des Access-Point sollte keine Rückschlüsse auf verwendete Hardware, Einsatzzweck oder Einsatzort zulassen
• Umstritten ist die Deaktivierung der SSID-Übermittlung (Broadcasting). Sie verhindert das unabsichtliche Einbuchen in das WLAN, jedoch kann die SSID auch bei deaktiviertem Broadcasting mit einem Sniffer ausgelesen werden.
• WLAN-Geräte (z. B. der Access Point) sollten nicht per WLAN konfiguriert werden, sondern ausschließlich über eine kabelgebundene Verbindung
• im Access Point sollte, sofern vorhanden, die Fernkonfiguration abgestellt werden
• WLAN-Geräte ausschalten, wenn sie nicht genutzt werden
• Reichweite des WLANs durch Reduzierung der Sendeleistung bzw. Standortwahl des WLAN-Gerätes beeinflussen
• regelmäßige Firmware-Updates des Access-Points durchführen, um sicherheitsrelevante Aktualisierungen zu erhalten

[Bearbeiten] Weblinks

• Diplomarbeit UNI Chemnitz Netzzugangsteuerung auf Basis des Standards 802.1x [.pdf Dokument]
• offizielle WPA-Seite
• Artikel auf Heise Security – Angriffe auf WPA
• Freeware zum Generieren von WEP- und WPA-Schlüsseln [Windows-Programm]
• Website zum Generieren von WEP- und WPA-Schlüsseln

[Bearbeiten] Literatur

• Roland Bless et. al.: Sichere Netzwerkkommunikation, Springer Verlag, 2005, ISBN 3-540-21845-9