WLAN - Sicherheit in Funknetzwerken

Die Nutzung von WLAN (Wireless Local Area Network) hat sich in den letzten Jahren stark durchgesetzt. Das ist natürlich zum einen darauf zurück zu führen, dass es äußerst praktisch ist, wenn mehrere Rechner in einem Haushalt über den gleichen Zugang ins Internet gehen, nicht die ganze Wohnung verkabeln zu müssen. Zum anderen hat die Tatsache, dass viele Internet-Anbieter bei Vertragsabschluss kostenlos einen WLAN-Router zur Verfügung stellen wohl auch ihren Teil zur Verbreitung dieser kabellosen Netze beigetragen. Nicht zuletzt könnte aber wohl auch die Unkenntnis vieler Benutzer über die Sicherheitsrisiken in WLAN Netzen, ein Grund für die weite Verbreitung sein. Diese Risiken sollen hier etwas näher beleuchtet werden.

Einige WLAN-Netze werden -vermutlich auf Grund mangelnder Sachkenntnis seitens der Benutzer- komplett unverschlüsselt betrieben. Das hat den Effekt, dass sich wirklich jeder, der sich in Reichweite des Netzes befindet mit diesem verbinden und den Internetzugang mitbenutzen kann. Das alleine wäre ja abgesehen von der Tatsache, dass so ein Eindringling sich etwas Bandbreite ab zwackt ja gar nicht mal so schlimm. Schlimm wird es erst, wenn der Eindringling den Internetzuggang für illegale Zwecke nutzt. Er ist nämlich logischerweise mit der IP-Adresse des Anschlussinhabers im Internet unterwegs. Und für diesen ist im Falle einer Strafverfolgung sehr schwer nachzuweisen, dass nicht er, sondern jemand anders für die illegalen Aktivitäten verantwortlich ist. Und auch wenn es gelingen sollte das nachzuweisen, so kann dem Anschlussinhaber trotzdem eine Mitschuld gegeben werden, da er dafür zu sorgen hat, dass eben nicht jeder seinen Internetzugang mitbenutzen kann (Bericht auf Heise Online: http://www.heise.de/netze/Unverschluesseltes-WLAN-hat-Folgen--/news/meldung/77921).

Des Weiteren kann jemand, der sich im gleichen Netz befindet problemlos Ihren kompletten Internetverkehr belauschen (Sniffen). Es können also auch ganz einfach vertrauliche Daten in Erfahrung gebracht werden, sofern diese nicht wie es im Kapitel Email erläutert wird, über eine SSL-Verbindung geschützt werden. Ein weiterer Aspekt ist, dass jemand, der sich schon im selben lokalen Netz befindet, es deutlich leichter hat Ihren Computer gezielt anzugreifen.

Das WLAN sollte also verschlüsselt werden. Dazu bieten aktuelle WLAN-Router verschiedene Methoden an:

WEP:

steht für "Wired Equivalent Privacy" und sollte nicht mehr verwendet werden. Die Verschlüsselung von WEP ist stark fehlerhaft und von daher ist es schon seit Jahren möglich WEP Schlüssel sehr leicht zu knacken. Dabei spielt es keine Rolle, wie lang die Passphrase ist.

WPA:

Die Abkürzung bedeutet "Wi-Fi Protected Access" und ist der Nachfolger von WEP. Er bringt einige Verbesserungen mit sich und ist momentan bei Verwendung einer sicheren Passphrase als relativ sicher anzusehen.

WPA2:

ist, wie man der Bezeichnung entnehmen kann der Nachfolger von WPA. Sofern vom Router unterstützt, sollte WPA2 zur Verschlüsselung gewählt werden. Auch hierbei hängt die Sicherheit stark von der verwendeten Passphrase ab.

Passphrase:

Bei WPA und WPA2 beträgt die maximale Länge der Passphrase 63 Zeichen. Mindestens 20 davon sollten Sie nutzen. Außerdem ist es wichtig, dass die Passphrase aus Klein- und Großbuchstaben sowie Zahlen besteht. Dabei sollten nicht nur "echte" Wörter, sondern möglichst sinnlose Zeichenkombinationen verwendet werden. Da eine solche Passphrase schwer im Gedächtnis zu behalten ist, sollte sie in eine Textdatei geschrieben und diese an einem sicheren Ort (nicht auf der Festplatte) aufbewahrt werden.

Weitere wichtige Sicherheitsmaßnahmen:

1. Standard-Passwort: Auch das Standard-Passwort des Routers sollte dringend durch ein sicheres ersetzt werden.
2. Kabellose Konfiguration: Der Router sollte so eingestellt werden, dass er nur über eine Kabelverbindung konfiguriert werden kann.
3. Fernkonfiguration: Sofern vorhanden, sollte die Fernkonfiguration deaktiviert werden.

Wenig sinnvolle bzw. sinnlose Sicherheitsmaßnahmen:

1. Beschränkung des Zugriffs auf den Access-Point mittels einer White List: Durch diese Maßnahme wird nur bestimmten Computern Zugriff auf den Router gewährt. Identifiziert werden diese Computer anhand ihrer MAC-Adresse (http://de.wikipedia.org/wiki/MAC-Adresse). Da sich MAC-Adressen leicht manipulieren lassen, ist dieser Schutz nur sehr bedingt wirkungsvoll.
2. SSID Broadcast deaktivieren: Mit SSID (Service Set Identifier) Broadcast bezeichnet man das Aussenden der Kennung des Funknetzwerkes durch den Access-Point (also durch den WLAN-Router). Durch das Deaktivieren dieser Funktion wird der Router nicht wirklich unsichtbar. Anstatt diese Funktion abzuschalten sollte man die Kennung nur dahin gehend verändern, dass sie nicht mehr die Bezeichnung des Routers enthält.
3. Switch statt Hub: Preisgünstige WLAN-Router verteilen die Datenpakte im Netzwerk über einen Hub. Dabei werden die Datenpakete gar nicht wirklich verteilt, sondern jedes Datenpaket wird an jede Station gesendet. Allerdings mit einer Information versehen, wer der Empfänger sein soll. Der Empfänger nimmt das Datenpaket also an, während alle anderen Computer im Netzwerk es verwerfen. Allerdings ist es kein Problem einen Rechner so zu konfigurieren, dass er auch alle nicht für ihn bestimmten Pakete annimmt. Dadurch lässt sich dann der Datenverkehr des gesamten Netzwerkes mithören (Sniffen). Bei einem Switch hingegen werden die Datenpakete gezielt jeweils nur an den jeweiligen Empfänger gesendet. Jedoch wird dieser über das Schwächen enthaltende Address-Resolution-Protocol (ARP) adresseriert. Dadurch ist es für einen Angreifer möglich die Datenpakete unbemerkt über seinen eigenen Rechner umzuleiten (Man in the Middle Angriff), um sie mitzulesen oder zu manipulieren. Ein Man in the Middle Angriff zur Manipulation der Daten ist bei einem Hub natürlich genauso möglich, zum Mitlesen des Datenverkehrs aber nicht mal nötig.

Ungebetene Gäste ausfindig machen:

Der einfachste Weg festzustellen, ob sich außer den Computern Ihres Haushalts noch weitere Rechner im WLAN befinden, ist ein Blick in die DHCP Tabelle des Routers (DHCP = Dynamic Host Configuration Protocol). Diese Tabelle gibt Aufschluss über alle mit dem Router verbundenen Computer. Sie brauchen also nur zu wissen, wie viele Computer in Ihrem Haushalt auf den Router zugreifen dürfen und wie der jeweilige Name dieser Computer ist. Taucht jetzt ein andere Computer in der DHCP Tabelle auf, so handelt es sich höchstwahrscheinlich um einen Eindringling. Sie brauchen diesen Eindringling noch nicht mal unbedingt auf frischer Tat zu ertappen, da die Einträge im Regelfall solange gespeichert werden, bis sie durch neue überschrieben werden.



dhcp.gif

DHCP Tabelle eines Siemens Routers


Anmerkungen:
Es kann auf dieser Seite keine detaillierte Anleitung geben, wie die einzelnen Einstellungen vorzunehmen sind. Das funktioniert bei jedem Router anders und sollte im Handbuch des Routers nachzuschlagen sein.