Das WEP-Fiasko : Ausgehebelt? Sicherheit in drahtlosen Netzwerken

Tom's Hardware > Tests > Speicher & Netzwerk > Netzwerktechnik > Ausgehebelt? Sicherheit in drahtlosen Netzwerken

Das WEP-Fiasko

19:00 - 25/04/2003 von Arno Kral

Als die IEEE im Jahre 1985 mit der Einsetzung einer Arbeitsgruppe 802.11 begann, den heute als WLAN bekannten Standard zu entwickeln, standen sie nicht gerade unter Zeitdruck. Erst nach zwölf (!) Jahren Arbeit wurde schließlich am 26. Juni 1997 der Standard intern festgezogen und am noch im gleichen Jahr am 18. November veröffentlicht. Doch trotz der langen Entwicklungszeit hatte es das IEEE sehr zum Leidwesen aller WLAN-Anwender nicht geschafft, wirklich praxistaugliche Sicherheitsmechanismen im Standard zu verankern. WEP (Wired Equivalent Privacy), also das im Standard IEEE802.11 spezifizierte, kryptografische Mittel, hat sich als völlig unbrauchbar erwiesen, denn die in WEP verwendete Methodik ist heute bereits vollständig durchbrochen.

NASA sagt NEIN zu WEP

Die Abteilung Advanced Supercomputing der NASA hat eine neue, eigene Sicherheitslösung für Funk-LANs vorgestellt. Die NASA-Experten waren 2002 zu dem Schluss gekommen, dass alle in den WLAN-Standard IEEE 802.11 integrierten Sicherheits-Features nutzlos seien und ersetzten sie durch ein System, das auf handelsüblichen Komponenten basiert: Dem Betriebssystem OpenBSD, einem Apache-Web-Server, einem DHCP-Server und einer IPF-Firewall-Software. "Alle 802.11-Sicherheitsfunktionen wurden entfernt, da sie nur Ressourcen verbrauchen, ohne wirklich Sicherheit zu bieten", erklärte NASA-Sicherheitsexperte Dave Tweten. Seine Gruppe ging von der Voraussetzung aus, dass ein WLAN keine verlässliche Authentifizierung und keine Sicherheit vor Abhören biete. So könne weder der Sendebereich auf ein definiertes Gebiet begrenzt werden, noch erlauben Adressen für die Funk-LAN-Karten eine sichere Identifikation der Benutzer.

Schließlich ist die WEP-Verschlüsselung ungenügend, da der Schlüssel geknackt oder durch simples Abhören in Erfahrung gebracht werden kann. Stattdessen setzen die NASA-Wissenschafter auf striktes Filtern. Damit können nur die nötigsten Protokolle wie NTP, DNS, DHCP, und ICMP überhaupt das System erreichen. Das Funk-LAN wird vom restlichen Netzwerk durch ein eigenes Wireless-Gateway getrennt. Benutzer, die keine Authentifizierung benötigen, erhalten begrenzten Zugang zu Services wie E-Mail und VPN oder dem Internet.

Anstatt den Zugang zum Funk-LAN mit einer Authentifizierung zu sichern, wird für jeden Service eine eigene Anmeldung eingeführt. Diese Services führen auch die Verschlüsselung des Funkverkehrs durch.

Die NASA-Wissenschafter implementierten die benötigte Software zur Verbindung der einzelnen Komponenten nach eigenen Angaben in nur 40 Arbeitsstunden. Einzelheiten haben sie in einem White Paper veröffentlicht.

Diese Situation gilt unter Kryptologen schlichtweg als GAU (Größter Anzunehmender Unfall). Mit allgemein zugänglichen Werkzeugen - ein Notebook mit WLAN-Adapter und eventuell eine Range-Extender-Antenne genügen bereits - hat sich der Einbruch in bestehende WLAN-Netze sogar zum Volks-Sport entwickelt. Betroffene Systemadministratoren wissen heute nur zu genau, was sich hinter WAR-DRIVING, also dem Ausspähen offener WLANs aus einem Fahrzeug heraus verbirgt.