NASA umgeht WEP-Sicherheitslöcher bei Funknetzwerken
Die Funk-LAN-Verschlüsselung WEP hat Löcher. Die vermeidet man, indem man WEP erst gar nicht verwendet, erklärt die NASA.
Kürzlich veröffentlichte Forschungsergebnisse und ihre Umsetzung legen nahe, dass die bei Funk-Netzwerken (Wireless LANs) verwendete Verschlüsselungstechnik WEP (Wired Equivalent Privacy) längst nicht so sicher ist, wie die Werbung gern suggeriert. Im Gegenteil, seit AirSnort muss man selbst mit WEP geschützte WLANs als offene Scheunentore ansehen.
Angesichts dieser Schwäche setzt die NASA bei einem Funknetzwerk, das laut der Entwicklerin Nichole Boscia hauptsächlich Konferenzgästen der Advanced Supercomputing Division einen leichten Internet-Zugang bieten soll, auf andere Mechanismen: Ein spezieller, unter OpenBSD laufender Wireless Firewall Gateway schottet das drahtlose Netzwerk gegen die restliche Infrastruktur ab. Der Rechner übernimmt dazu die IP-Adressvergabe für drahtlose Clients per DHCP, die Authentifizierung über einen eigenen Webserver sowie Paketfilterung. WEP hat man gar nicht erst aktiviert.
Für den Schutz gegen Eindringlinge sollen bei diesem Modell bereits vorhandene sichere Protokolle – etwa Secure HTTP mit SSL für die Authentifizierung – sowie striktes Filtern sorgen. Der Filter lässt nach dem NASA-Konzept nur die nötigsten Protokolle, beispielsweise DNS, ICMP oder NTP, durch. Zudem hat man per Scripts den DHCP-Server und den Paketfilter eng verknüpft: Unter anderem fliegen abgelaufene IP-Adressen automatisch aus der Firewall-Liste heraus. Implementierungsdetails schildert die NASA in einem White Paper.
Eine Man-in-the-Middle-Attacke, bei der ein Angreifer just den Wireless Firewall Gateway nachbildet und so an Namen/Passwort-Kombinationen gelangt, soll das von Verisign bestätigte SSL-Zertifikat verhindern. Doch auch dieses Vorgehen hat eine Schwäche: Ein argloser Nutzer, dem beim Einloggen nicht auffällt, dass der Server ein falsches Zertifikat vorlegt oder dass keine sichere HTTP-Verbindung zu Stande kommt, wird zur leichten Beute für Hacker. Selbst noch so ausgefeilte Sicherheitssysteme können die Schulung der Anwendern nicht ersetzen. (ea)
