Sicherheit im WLAN

Luftschutz im Wohnzimmer

von Sebastian Holler

---

Seit dem Siegeszug des WLANs gelingt die Heimvernetzung im Handumdrehen und ohne störende Kabel. So viele Vorteile die neue Technik auch mit sich bringt, bezüglich der Sicherheit muss der Nutzer selbst tätig werden. Wir zeigen Ihnen, wie Sie sich vor Eindringlingen schützen.

---

Ein Funknetzwerk scheint die perfekte Lösung zu sein, um die Rechner im heimischen Netz zu verbinden und ihnen über einen WLAN-DSL-Router den Zugang zum Internet zu ermöglichen. Gäbe es da nicht das stets aktuelle Thema Sicherheit: Unverschlüsselten Funkverkehr kann jeder neugierige Lauscher, der sich in Reichweite der Sendeeinrichtungen befindet, mitlesen. Das kann in einem Mehrfamilienhaus durchaus die halbe Nachbarschaft sein. Selbst wenn Sie keine Angst vor Spionage haben und nie sensible Daten übers Netz schicken, besteht immer noch die Gefahr, dass Fremde Ihren Internet-Zugang mitnutzen, wenn auch der DSL-Router per WLAN angebunden ist. Bei volumenbasierten Tarifen wird das schnell ein teurer Spaß.

Um sich zu schützen gilt es meistens selbst Hand anzulegen: Derzeit liefern immer noch viele Hersteller ihre WLAN-Hardware ohne vorkonfigurierte Schutzmaßnahmen aus. Dieser Artikel wirft einen Blick auf ein WLAN-Netzwerk mit einer Basisstation (Access Point) und mehreren Clients im Infrastruktur-Modus. Eine Übersicht der wichtigsten Fachbegriffe finden Sie im Kasten WLAN-Terminologie.

Grundsicherung

Der sicherste Schutz vor Angriffen von außen ist gewährleistet, wenn ein Empfang der Funksignale nur innerhalb der eigenen vier Wände möglich ist. Dafür können Sie -- zumindest teilweise -- etwas tun: Funkwellen breiten sich ringförmig nach allen Seiten aus, wobei z. B. feste Hindernisse wie Wände die Reichweite einschränken. Mit zunehmender Entfernung vom Sendegerät nimmt die Empfangsqualität ab. Im Freien überbrücken Funkwellen bis zu 300 m, in geschlossenen Räumen geht müssen Sie immerhin noch mit 30 m Reichweite rechnen. Am besten stellen Sie den Access Point möglichst zentral in der Wohnung auf, so dass sich jeder Client im optimalen Empfangsbereich befindet. Da in kleineren Wohnungen die zu überbrückende Funkstrecke oftmals sehr kurz ist, bieten einige Hersteller die Möglichkeit, die Sendeleistung der Basisstation per Konfigurationsprogramm zu drosseln. Mit sinkender Reichweite verringert sich auch die Gefahr eines Zugriffs von außen.

Jedes WLAN hat eine Kennung, die so genannte SSID oder auch ESSID. Diese legt der Access Point fest. Die meisten Geräte kommen mit einer vorkonfigurierten Standardbezeichnung in den Handel. Per WLAN verbundene Rechner unterscheiden anhand dieser Kennung die Zugehörigkeit zu einem bestimmten Access Point. Es kann also theoretisch vorkommen, dass Sie sich ungewollt im Netz des Nachbarn wiederfinden, wenn Sie und Ihr Nachbar dieselbe SSID verwenden. Ersetzen Sie daher die vordefinierte SSID des Access Points durch eine individuelle Kennung.

Funkverkehr mit WEP verschlüsseln

Die Abkürzung WEP (Wired Equivalent Privacy) steht für Wired Equivalent Privacy, und sollte eigentlich eine drahtgebundenen Netzwerken vergleichbare Sicherheit gewährleisten. WEP-geschützte Netzwerke verwenden einen mathematischen Algorithmus zur Verschlüsselung der zu übertragenden Daten. Als Schlüssel dient ein Kennwort, das der Basisstation und allen Clients bekannt sein muss. Die WEP-Verschlüsselung ist jedoch leicht auszuhebeln, so dass sie heute nicht mehr als besonders sicher gilt. Mit Hilfe frei im Internet erhältlicher Software ist es möglich, innerhalb weniger Stunden in ein WEP-geschütztes Netz einzudringen. Um diese Gefahr zu minimieren, sollten Sie in regelmäßigen Abständen den WEP-Schlüssels wechseln, falls der Access Point nur diese Verschlüsselungsmethode beherrscht. WEP gilt als Mindeststandard für die Sicherheit von WLANs. Wie Sie Linux Ihren Schlüssel mitteilen, erfahren Sie unter [1].

WPA als Zwischenlösung

Nach Bekanntwerden der Sicherheitslücken von WEP war es nötig, schnell einen neuen Standard zur Verschlüsselung zu etablieren. Da aber eine komplette Neuentwicklung viel Zeit in Anspruch genommen und sehr wahrscheinlich inkompatibel zu heutiger WLAN-Hardware gewesen wäre, einigte man sich auf eine Übergangslösung: Diese heißt Wi-Fi Protected Access, kurz WPA.

Die unter WEP typischen Hacker-Angriffe sind hier nicht mehr so leicht möglich. Die Rechner im Netzwerk weisen sich durch ein Kennwort, die so genannte Passphrase, aus. Der eigentliche Datenschlüssel wird periodisch geändert. Das Abhören und Analysieren des so verschlüsselten Datenverkehrs soll theoretisch nach über 100 Jahren keine ausreichenden Rückschlüsse auf das Kennwort ermöglichen. Arbeiten Sie mit WPA-Schlüsseln, erhöhen Sie den Schutz des WLANs durch die Sicherheit des Kennworts. Es sollte möglichst lang sein --insgesamt sind 63 Zeichen zulässig -- und nicht aus trivialen Begriffen bestehen, die in jedem Wörterbuch stehen. Um auf Nummer Sicher zu gehen, empfiehlt es sich, eine Passphrase zu verwenden, die sowohl Groß- und Kleinbuchstaben als auch Zahlen und Sonderzeichen enthält.

Abb. 1: Die Sicherheitseinstellungen der meisten Access Points passen Sie bequem über ein grafisches Konfigurationsmenü an.

Im Juni 2004 ist das neue Sicherheitskonzept von WLANs, der IEEE-Standard 802.11i, verabschiedet worden. Dieser schreibt unter anderem die Verwendung eines neuen Verschlüsselungssystems (AES) vor. Darauf basiert etwa der WPA-Nachfolger WPA2. Dieser Standard erfordert jedoch den Einsatz neuer Hardware, die jetzt erst langsam in den Handel kommt.

Schutz der Gerätekonfiguration

Viele Basisstationen, auch Geräte wie DSL-Modems mit Router-Funktionalität, lassen sich per Funk konfigurieren. Als Schnittstelle dient oft der Web Browser. In einem ungeschützten oder geknackten WLAN hat der Angreifer vollen Zugriff auf die Konfiguration des Access Points. Das Einrichtungsmenü bietet meistens die Möglichkeit, den Zugriff mit einem Passwort zu schützen. Viele Modelle fordern den Nutzer nicht dazu auf, eines festzulegen, so dass Sie selbst daran denken müssen.

Fazit für die Praxis

In der folgenden Liste nennen wir noch einmal kurz die wichtigsten Regeln für ein (relativ) sicheres drahtloses Netzwerk:

• Ersetzen Sie die vorkonfigurierte SSID durch eine individuelle Bezeichnung.

• Aktivieren Sie zumindest die WEP-Verschlüsselung. Folgen Sie dazu der Bedienungsanleitung des Geräts und wechseln Sie den WEP-Schlüssel mindestens einmal pro Woche.

• Besitzen Sie nur WPA-fähige Hardware, nutzen Sie die WPA- anstelle der unsichereren WEP-Verschlüsselung. Einige Hersteller bieten ein entsprechendes Firmware-Update für ältere Geräte an, mit dem Sie WPA nachrüsten. Manche Access Points erlauben den gemischten Betrieb von WEP und WPA. So können Sie mit WPA-Verschlüsselung arbeiten, selbst wenn Sie Hardware besitzen, die die WPA-Verschlüsselung nicht beherrscht. Ein solches Netz ist jedoch nicht sicherer als ein Funknetz, das nur mit WEP-Verschlüsselung arbeitet.

• Lässt sich ein Gerät per Funk konfigurieren, aktivieren Sie den Passwortschutz.

• Informieren Sie sich regelmäßig über neu entdeckte Sicherheitslücken und reagieren Sie entsprechend darauf. Eine aktuelle Informationsquelle in Sachen IT-Sicherheit finden Sie unter [2].

Weitere informative Einblicke in die WLAN-Technik erhalten Sie unter [3] und [4]. Detailinformationen zur Sicherheit lesen Sie unter [5] nach. (amü)

WLAN-Terminologie
WLAN	Wireless Local Area Network; Bezeichnung für lokale, drahtlose Netzwerke.
Access Point	Zugangspunkt, Basisstation; über dieses Gerät kommuniziert das gesamte WLAN-Netzwerk.
Infrastruktur-Modus	Im Gegensatz zu "Ad-hoc-Modus", in dem alle Stationen gleichberechtigt und direkt miteinander kommunizieren, läuft der Datenverkehr im Infrastruktur-Modus über einen zentralen Access Point.
SSID	Service Set Identifier; Mit dieser Kennung identifiziert sich der Access Point. Jeder Client kann so verschiedene Basisstationen voneinander unterscheiden und sich im zugehörigen Netzwerk anmelden.
Wi-Fi	Unternehmervereinigung zur Förderung der Interoperabilität (reibungslose Zusammenarbeit) von Funknetzkomponenten

Infos

[1] Andrea Müller, Fred Andresen und Mirko Dölle: "Kabellos glücklich?", EasyLinux 07/2004, S. 72 ff. [2] Newsletter des Bundesamtes für Sicherheit in der Informationstechnik (BSI): http://www.bsi.bund.de/presse/newslet/index.htm [3] WLAN-Informationen: http://wiki.uni-konstanz.de/wiki/bin/view/Wireless/WirelessLAN [4] Wikipedia-WLAN-Informationen: http://de.wikipedia.org/wiki/Wireless_LAN [5] Informationen des BSI zur Sicherheit von Funktnetzen: http://www.bsi.bund.de/literat/doc/drahtloskom/drahtloskom.pdf

Dieser Online-Artikel kann Links enthalten, die auf nicht mehr vorhandene Seiten verweisen. Wir ändern solche "broken links" nur in wenigen Ausnahmefällen. Der Online-Artikel soll möglichst unverändert der gedruckten Fassung entsprechen.