News
 
 

Schwachstellen in WLAN-Verschlüsselung? 02.11.2017

 

Eine Warnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) schreckte Mitte Oktober viele Unternehmen auf: Nach wie vor sei der Sicherheitsstandard WPA2, der insbesondere zur Verschlüsselung von WLAN-Netzwerken empfohlen wird, über kritische Schwachstellen verwundbar. Experten halten diese Warnung für überzogen.

Die Nachrichtenagentur dpa zitiert den Sprecher des Chaos Computer Club, Linus Neumann:  „Mir erscheint die generelle Warnung vor Online-Banking und Shopping im eigenen WLAN als überzogen, wenn die Kanäle jeweils selbst (mit https:// oder VPN) verschlüsselt sind“.
Das BSI meldete, dass alle derzeit aktiven WLAN-fähigen Endgeräte in unterschiedlichen Ausprägungen betroffen seien und riet dazu, WLAN-Netzwerke bis zur Verfügbarkeit von Sicherheits-Updates nicht für Online-Transaktionen wie Online Banking und Online Shopping oder zur Übertragung anderer sensitiver Daten zu nutzen.
"Nutzen Sie Ihr WLAN-Netzwerk so, als würden Sie sich in ein öffentliches WLAN-Netz einwählen, etwa in Ihrem Lieblings-Café oder am Bahnhof. Verzichten Sie auf das Versenden sensibler Daten oder nutzen Sie dazu einen VPN-Tunnel. Auch das kabelgebundene Surfen ist weiterhin sicher. Unternehmen sollten ihre Mitarbeiter sensibilisieren und geeignete Maßnahmen zur Absicherung ihrer Firmennetzwerke ergreifen. Sicherheitsupdates wurden bereits von verschiedenen Herstellern angekündigt und sollten umgehend durch den Nutzer eingespielt werden, sobald sie zur Verfügung stehen," erklärt Arne Schönbohm, Präsident des BSI. Im Industrieumfeld sollten Betroffene auf ihren Anlagenbauer oder Hersteller etwaiger verbauter WLAN-Komponenten zugehen.
Die WPA2-Schwachstellen ermöglichen Angreifern das Mitlesen und Manipulieren von Datenpaketen, die über ein WLAN-Netzwerk gesendet oder empfangen werden. Sie betreffen insbesondere Geräte mit Android und Linux-Betriebssystemen. Windows- und Apple-Betriebssysteme sind eingeschränkt betroffen, hier können die Schwachstellen derzeit nicht in vollem Umfang erfolgreich ausgenutzt werden. Um einen Angriff über die WPA2-Schwachstellen durchführen zu können, muss sich der Angreifer zudem im Funkbereich des WLAN-Signals aufhalten. Die Ursache der Schwachstellen sind Designfehler des zugrunde liegenden IEEE-Standards 802.11. Keinesfalls sollten Nutzer den WPA2-Sicherheitsstandard deaktivieren, da ältere verfügbare Sicherheitsstandards als unsicher gelten und dafür keine Patches zu erwarten sind.
Mittlerweile haben einige von der WPA2-Lücke KRACK betroffene Hersteller Patches veröffentlicht, die die Gefahr abwehren. Andere meldeten sich in Stellungnahmen zu Wort. Den Link dazu finden Sie hier: https://www.heise.de/security/meldung/KRACK-Hersteller-Updates-und-Stellungnahmen-3863455.html.
Der von belgischen Forschern demonstrierte Angriff auf die aktuelle WLAN-Verschlüsselung ist kein Super-GAU. Sehr wichtige Dinge sollten ohnehin durch explizite Transportverschlüsselung via TLS und wenn möglich mit Ende-zu-Ende-Verschlüsselung gesichert sein – und damit außer Reichweite von KRACKern sein.
KRACK ist ein ernstes Problem, das die Sicherheit in bestimmten Szenarien in Frage stellt – aber es lässt sich beheben. Genauer: Es ließe sich beheben – wenn die Hersteller von Geräten mit WLAN sich dazu herablassen, uns Updates zu spendieren. Das haben einige auch schon getan. Aber viele Android-Smartphones haben schon lange kein Sicherheits-Update zu sehen bekommen – und sie werden das wohl auch in diesem Fall nicht mehr.
https://www.bsi.bund.de