19C3: Hacker entwickeln WLAN-Sicherheitslösung
Das "Wireless LAN Security Framework" soll eine durchgängige Verschlüsselung der drahtlosen Kommunikation ermöglichen, weiß aber auch keinen Rat gegen Denial-of-Service-Attacken.
Reyk Flöter vom Hannoveraner Zirkel des WaveHAN hat auf dem 19. Chaos Communication Congress "19C3", der am gestrigen Freitag in Berlin startete, eine Open-Source-Entwicklung zum Abdichten mehrerer Lücken in Funknetze vorgestellt. "Es handelt sich um ein komplettes "Wireless LAN Security Framework" auf Basis von vorhandenen Verfahren wie IPSec", erläuterte der Funknetz-Experte in einem Vortrag. Im Prinzip wird es mit Hilfe des Sicherheitsrahmenwerks möglich, den gesamten Prozess der Authentifizierung bei der Datenkommunikation über einen Zugangspunkt für ein drahtloses Netz zu verschlüsseln und damit etwa das ungewollte Mitlesen von E-Mail zu verhindern.
Die einzelnen Komponenten sind unter der GPL beziehungsweise unter der BSD-Lizenz veröffentlicht und entstehen in der für Open-Source-Software üblichen Zusammenarbeit einer Community. Sie sollen so eine offene Alternative zu den hinter verschlossenen Bemühungen der IEEE, der US-Standardorganisation hinter den wichtigsten WLAN-Protokollen, sowie ihrer Mitgliedsfirmen bilden, mit denen die Industrie momentan eher schlecht als recht drahtlose Netze sicherer zu machen versucht. Die Lösung nutzt einzelne Charakteristika bereits vorhandener Sicherheitsprogramme wie WEP (Wireless Equivalent Privacy) oder EAP (Extensible Authentication Protocol), unterfüttert sie aber mit vorhandenen und zuverlässigeren Verfahren wie IPSec. So wird beispielsweise nicht die WLAN-Karte instruiert, eine WEP-Verschlüsselung auszuführen, sondern der Treiber der Karte sorgt für den Aufbau einer Verbindung über IPSec. Flöter erläutert: "Das sieht dann aus wie WEP, ist aber keins".
Der Austausch von Schlüsseln und die eigentliche Authentifizierung im Netz erfolgt über ISAKMP (Internet Security Association and Key Management Protocol), wozu ein Tunnel über EAP aufgebaut wird. Die Codes werden dabei letztlich aufwendig in EAP-Pakete verschachtelt. Das ist nötig, da die Hotspots der neuen Generation, die etwa auf dem 802.1x-Standard der IEEE aufbauen, nur genau nach dessen EAP-Vorgaben kodierte Datenpakete annehmen. Obwohl das Projekt nicht mit geschlossenen Lösungen kompatibel sein will, wird durch diesen Ansatz gewährleistet, dass es auch bei WLAN-Zugangsservern der nächsten Generation funktioniert. Vorteil des Einsatzes von ISAKMP ist, dass einzelne Schlüssel für Sitzungen erzeugt werden und diese nach gewisser Zeit ihre Gültigkeit verlieren. Die Lösung läuft momentan unter Linux, soll aber auf andere Plattformen portiert werden.
Am Herzen liegt Flöter vor allem, mit dem Projekt auch der ungehemmten Verbreitung von "Buzzwords" rund um die WLAN-(Un-)Sicherheit entgegenzuwirken. Denn hinter den unterschiedlichsten EAP und WEP-Varianten, die momentan kursieren und zusammen mit altbekannten Prinzipien wie AAA (Authorization, Authentification, Accounting) als Allheilmittel beworben werden, hält der Security-Berater für vantronix "gar nichts". Die wachsende WLAN-Industrie habe da ein "Riesenproblem", da die von ihr vermarktete Zukunftstechnologie weiter Negativschlagzeilen in punkto Sicherheit produziere. Auch das unter der Führung von Microsoft entwickelte RADIUS-Protokoll für zentrale, institutionsweite WLAN-Server habe zahlreiche Schwächen. Durch das vorgestellte Rahmenwerk soll das entsprechende Roaming in WLANs über dezentrale Strukturen in Peer-to-Peer-Netzen durchgesetzt werden.
Gegen die um sich greifenden Denial-of-Service-Attacken auf WLAN-Systeme weiß Flöter allerdings auch noch keinen Rat. Wie die immer wiederkehrenden Netzstockungen auf dem 19C3 selbst vor Augen führten, lassen sich Hotspots nicht absolut absichern. "Es ist relativ leicht, mit modifizierten Access Points über 'Packet-Injection' ganze WLANs per Knopfdruck lahm zu legen", sagte der Hannoveraner Hacker. Die betroffenen Geräte würden sich abmelden, wenn sie die entsprechenden Datenpakete dazu auffordern würden. Eine Chance zur Neuanmeldung gebe es dann erst mal nicht mehr. Aber auch das Überfluten der Hotspots mit zufällig erzeugten Absenderadressen verlangsame die Funktion der Geräte und würden im schlimmsten Fall zum Knock-out führen. (Stefan Krempl) / (se)
