WLAN sicher konfigurieren

Transkript

1 Drahtlose Netze schützen WLAN sicher konfigurieren In seiner Standardkonfiguration ist ein Wireless-LAN-Router unsicher. So schützen Sie Ihr Funk-Netzwerk vor Spionen und Trittbrett-Surfern Einen WLAN-Router anzuschließen ist einfach. Bei den meisten Geräten führt ein Assistent komfortabel durch die Konfiguration. Was viele Nutzer jedoch nicht wissen: Wer die vorgeschlagenen Standardeinstellungen wählt, öffnet sein drahtloses Netz für Datenspione und Trittbrett-Surfer. Es ist kein Expertenwissen erforderlich, um von der Nachbarwohnung oder mit einem Notebook von der Straße aus in ein ungesichertes Funknetz einzudringen, Festplatten auszuspähen, die Internet- Aktivitäten argloser Drahtlos-Surfer mitzuverfolgen und kostenlos über den fremden Internet-Anschluss zu surfen. Mit wenigen Handgriffen stellen Sie Ihren WLAN-Router so ein, dass Eindringlinge keine Chance haben. Alle Maßnahmen sind wichtig. Selbst wenn einzelne Tipps für sich genommen nur wenig bewirken sie verringern trotzdem die Wahrscheinlichkeit eines Einbruchs. Öffnen Sie dazu das Verwaltungsmenü des WLAN-Routers und gehen Sie der Reihe nach die im Folgenden aufgeführten Punkte durch. Nicht jeder Router lässt alle genannten Maßnahmen zu. Was im Einzelfall möglich ist, hängt vom Funktionsumfang Ihres Router-Modells ab. 1. Administrator-Passwort ändern Bei ungeschützten WLAN-Routern können sich unbefugte Nutzer als Router- Verwalter einloggen. Den standardmäßig voreingestellten Benutzernamen und das standardmäßig voreingestellte Kennwort finden die Hacker im Handbuch des Router-Modells oder im Internet. Ändern Sie also Benutzernamen und Kennwort: Starten Sie Ihren Webbrowser und rufen Sie die Webseite des Routers auf. Geben Sie dazu als Adresse die IP-Nummer des Geräts an. Sie finden sie im Handbuch oder über Start, Ausführen und den Befehl cmd /K ipconfig Im Ausgabefenster sehen Sie in der Zeile Standardgateway die Adresse des Routers. Die Startseite des Routers öffnet ein Anmeldefenster, das den Benutzernamen und das Kennwort des Administrators abfragt. Falls Sie die Voreinstellungen des Herstellers nicht geändert haben, finden Sie Benutzernamen und Kennwort im Handbuch oder im Anmeldefenster. Än- 58 Foto: Corbis

2 Wireless LAN dern Sie das Administrator-Passwort und den Benutzernamen. Achtung: Hacker benutzen gerne so genannte Crack-Tools, die darauf spezialisiert sind, Passwörter zu erraten. Sie probieren dazu Begriffe aus dem Lexikon durch sowie einfache Kombinationen aus Wort und Zahl wie Hase01. Benutzen Sie ein Passwort, das kein Crack-Tool herausfindet. Verwenden Sie dazu am besten eine Kombination aus Buchstaben, Ziffern und Sonderzeichen. Sollten Sie die Daten später einmal vergessen, können Sie bei den meisten Routern mit einer Reset-Taste den Zustand ab Werk wieder herstellen. Danach akzeptiert das Gerät wieder das ursprünglich vom Hersteller vergebene Passwort und den anfänglichen Benutzernamen. 2. SSID ändern WLAN-Geräte tragen einen Netzwerknamen, den so genannten Service Set Identifier, kurz SSID. Nur Geräte mit derselben SSID können miteinander kommunizieren. Lautet die SSID des Routers etwa Berlin, akzeptiert dieser nur Computer, die sich unter dem Namen Berlin anmelden. Ab Werk haben Router einen voreingestellten Netzwerknamen. Er ist jedoch nicht einmalig. Hersteller verwenden oft dieselbe SSID für alle ihre Produkte. Häufig sind es Namen wie default, WLAN, Wireless oder auch Produktnamen. Ein Hacker braucht also nur alle gängigen SSIDs durchzuprobieren, um sich mit einem Router mit voreingestelltem Netzwerknamen zu verbinden. Ändern Sie daher den Netzwerknamen beziehungsweise die SSID Ihres Routers. Alle Geräte bieten diese Möglichkeit. Sie finden die Option in den Wireless-Einstellungen des Routers. Wählen Sie eine Kombination aus zwei Begriffen, beispielsweise Bier+Spring, oder eine Folge aus Ziffern und Buchstaben. Achten Sie dabei auf Groß- und Kleinschreibung. Achtung: Die Schutzmaßnahme greift nur, wenn Sie gleichzeitig auch SSID- Broadcast abschalten. Wie das geht, lesen Stichprobe mit dem Analysegerät Air Magnet in einem großstädtischen Wohngebiet: Nur zwei von acht aufgefundenen privaten WLAN-Routern arbeiten mit Verschlüsselung 1. Administrator-Passwort ändern: Das voreingestellte Kennwort steht im Handbuch und im Internet zugänglich für jeden Sie im nächsten Schritt. Falls sich SSID- Broadcast bei Ihrem Router nicht deaktivieren lässt, so brauchen Sie auch die SSID nicht zu ändern. 3. SSID-Broadcast abschalten WLAN-Router machen kein Geheimnis aus ihrer SSID. Standardmäßig sendet ein Router seinen Netzwerknamen hundert Mal pro Sekunde an alle WLAN-Geräte im Empfangsbereich. Datenspione kommen leicht in den Besitz der nötigen Anmeldeinformation. Die XP-Systemkomponente Drahtlose Netzwerkverbindung des Hacker- PCs zeigt den nahen Knoten mit einem Pop-up-Fenster an. Der Spion braucht nur auf die Pop-up-Meldung zu klicken, dann im Fenster Drahtlose Netzwerkverbindung unter Verfügbare drahtlose Netzwerke den Zugangspunkt auszuwählen und auf Verbinden zu klicken schon ist er in Ihrem Netz. 2. SSID ändern: Wenn Sie eine Standard-SSID wie default verwenden, öffnen Sie dem Mitsurfen auf Ihre Kosten Tür und Tor Deaktivieren Sie also bei Ihrem WLAN- Router falls möglich SSID-Broadcast. Bei manchen Produkten heißt die Option auch SSID verbergen oder SSID unsichtbar machen. Kommt nun ein Drahtlos-Notebook in Ihren Empfangsbereich, zeigt Windows XP Ihr Netzwerk nicht mehr an. Trotzdem können Sie sich mit Ihrem eigenen Notebook anmelden: Gehen Sie auf Start, Systemsteuerung, Netzwerk- und Internetverbindungen, Netzwerkverbindungen und klicken Sie mit der rechten Maustaste auf Drahtlose Netzwerkverbindungen. Wählen Sie im Kontextmenü Eigenschaften und klicken Sie auf den Reiter Drahtlose Netzwerke. Klicken Sie unter Bevorzugte Netzwerke auf Hinzufügen, um ein neues WLAN-Profil anzulegen. Geben Sie die SSID des Routers an, wählen Sie die geeignete Verschlüsselung (siehe 6. Verschlüsselung einschalten ) und bestätigen Sie die Angaben mit OK. Schließen Sie das Fenster Eigenschaften von Drahtlose Netzwerkverbindungen mit OK und klicken Sie doppelt auf Drahtlose Netzwerkverbindungen. Wählen Sie das neue Profil, markieren Sie gegebenenfalls die Option Verbindungsherstellung mit dem drahtlosen Netzwerk ermöglichen und stellen Sie den Kontakt mit Verbinden her. Eine Inhalt 1. Administrator-Passwort ändern S SSID ändern S SSID-Broadcast abschalten S MAC-Adressen filtern S Treiber aktualisieren S Verschlüsselung einschalten S Schlüsselvergabe abschalten S DHCP-Dienst abschalten S Schlüssel periodisch wechseln S Nur bei Gebrauch einschalten S.64 Info-Kasten Was heißt eigentlich? S.62 59

3 Was heißt eigentlich? Advanced Encryption Standard (AES): Das Verschlüsselungsverfahren chiffriert Daten blockweise mit einem Schlüssel von mindestens 128 Bit Länge. AES ist eine symmetrische Verschlüsselungsmethode. Das heißt, Sender und Empfänger nutzen denselben Schlüssel. Dynamic Host Control Protocol (DHCP): Der Standard regelt die automatische Vergabe von IP-Adressen. DSL- und WLAN-Router nutzen DHCP, um die angeschlossenen Computer mit IP-Nummern zu versorgen. IEEE 802.1x: Das den WLAN-Standard IEEE ergänzende Protokoll regelt die Benutzerauthentifizierung und die zentrale Vergabe von Schlüsseln. MAC-Adresse: MAC steht für Media Access Control, die Hardware-Schicht im OSI- Netzwerkmodell (Open System Interconnection). Auf dieser Ebene werden die Netzteilnehmer anhand einer zwölfstelligen Hexadezimalzahl identifiziert. Service Set Identifier (SSID): Jeder WLAN-Zugangsknoten wird mit einem frei wählbaren Netzwerknamen bezeichnet, der SSID. Der Zugangsknoten akzeptiert nur WLAN-Geräte, die sich mit seiner SSID anmelden. SSID-Broadcast: Standardmäßig senden Router ihre SSID an jedes WLAN-Gerät im Empfangsbereich. Die SSID ist deshalb selten ein Geheimnis. Wireless Equivalent Privacy (WEP): Das betagte Verschlüsselungsverfahren für WLAN- Verbindungen arbeitet mit einer Stromchiffre-Technik, bei der ein per Zufallsgenerator erzeugter Datenstrom die Anwenderdaten bitweise mit einer logischen Oder-Verknüpfung kodiert. WEP gilt als unsicher. Wi-Fi Protected Access (WPA): Das neue WLAN-Verschlüsselungsverfahren nutzt eine Stromchiffre oder AES. WPA hat keine bekannten Sicherheitslücken. WLAN-Router: Das Gerät verbindet PCs per Funk mit dem Zugangs-Modem. Meist lassen sich über RJ45-Netzwerk-Ports auch mehrere Rechner mit Kabeln anschließen. Wie alle Router enthalten die WLAN-Geräte eine Firewall, die das interne Netzwerk gegenüber dem Internet schützt und nur angeforderte Datenpakete passieren lässt. 3. SSID-Broadcast abschalten: Mit der Option SSID unsichtbar verhindern Sie, dass der Netzwerkname gesendet wird Pop-up-Meldung bestätigt nach wenigen Sekunden die Verbindungsaufnahme. Achtung: Selbst bei abgeschaltetem SSID-Broadcast hält der Router nicht ganz dicht. Es gibt noch andere Datenpakete, die die SSID enthalten. Spezielle Hacker-Tools nutzen diese Tatsache aus und fischen den Netzwerknamen auf diese Weise aus dem Äther. 4. MAC-Adressen filtern WLAN-Karten besitzen wie Netzwerkkarten eine Hardware-Nummer, die so genannte MAC-Adresse (Media Access Control), eine zwölfstellige Hexadezimalzahl. Das Besondere daran: Im Unterschied zur IP-Adresse Ihres WLAN-Rechners, die mit jeder Einwahl ins Internet wechseln kann, bleibt die MAC-Adresse stets dieselbe. Manche Router bieten die Möglichkeit, neben der SSID auch die MAC-Adresse abzufragen. Vorteil: Nur Computer mit einer in der Routerkonfiguration ausdrücklich erlaubten MAC- Nummer werden ins WLAN eingelassen. Teilen Sie Ihrem WLAN- Router also die MAC-Adressen aller Geräte mit, die Ihr drahtloses Netz nutzen dürfen. Die MAC-Adresse Ihres PCs oder Notebooks entnehmen Sie dem Statusfenster der WLAN-Verbindung. Öffnen Sie dazu über die Systemsteuerung das Fenster Netzwerkverbindungen. Klicken Sie mit der rechten Maustaste auf den Eintrag Drahtlose Netzwerkverbindungen und wählen Sie im Kontextmenü Status. Wählen Sie die Registerkarte Netzwerkunterstützung und klicken Sie auf Details. Achtung: Auf diese Weise können Sie zwar Datenspionen die Arbeit erschweren. Ganz sicher ist Ihr Drahtlosnetz aber nicht: Mit Sniffer-Tools schneiden Hacker den Datenverkehr zwischen Ihrem Notebook und dem Zugangspunkt mit und erlauschen die von Ihrem Router erlaubte MAC- Zahlenfolge. Zudem lassen sich MAC-Adressen mit Hilfe von Spoofing- Programmen fälschen. 5. Treiber aktualisieren Je neuer die Steuerungs-Software ist, desto besser und zuverlässiger funktionieren die Geräte. Zahlreiche ältere Treiber unterstützen die neuesten Verschlüsselungsverfahren nicht. Sie basieren auf veralteten Techniken und gewähren keinen Schutz. Besorgen Sie sich die aktuelle Firmware Ihres WLAN-Routers. Fast alle Geräte erledigen das von selbst. Sie finden den Menüpunkt Firmware aktualisieren zum Beispiel unter System oder Verwaltung. Bringen Sie außerdem auf allen Rechnern des Drahtlosnetzes Windows XP auf den neuesten Stand. Spielen Sie dazu das Service Pack 2 auf. Wer Service Pack 2 nicht installieren möchte, sollte Service Pack 1 mit einem WLAN-Patch ergänzen. Rufen Sie dazu auf und klicken Sie links auf Downloads. Geben Sie links oben unter Einen Download suchen die Zahl ein und klicken Sie auf GO. 4. MAC-Adressen filtern: Mit Hilfe einer Liste von Adressen lassen Sie nur ausgewählte Geräte am WLAN teilnehmen 60

4 Wireless LAN Klicken Sie in der angezeigten Trefferliste auf Windows XP-Supportpatch für Wireless Protected Access. Gehen Sie auf der Support-Patch- Seite auf Download, um den Patch herunterzuladen. Starten Sie die Installation mit einem Doppelklick auf die heruntergeladene Datei und folgen Sie den Anweisungen des Setup-Assistenten. Auf Computern mit älteren Windows-Varianten aktualisieren Sie den Treiber der WLAN-Karte. Sie bekommen ihn kostenlos auf der Webseite des Karten- Herstellers im Support- Bereich oder auf der Download-Seite. 6. Verschlüsselung einschalten Selbst wenn Sie alle bisher genannten Maßnahmen treffen, ist Ihr kabelloses Netz vor Spionen nicht sicher. Lauscher, die mit Spezial-Software den Datenverkehr Bit für Bit mithören, kriegen jedes Wort mit, das Sie per verschicken. Der Grund: WLAN-Router sind ab Werk so eingestellt, dass sie alle Daten im Klartext übertragen. Der einzig wirksame Schutz gegen Lauscher ist ein chiffrierter Datenverkehr. Alle Wireless-LAN-Router bieten die Möglichkeit, die zwischen Computer und Zugangspunkt übertragenen Daten zu verschlüsseln. Die meisten Router stellen dafür zwei Verschlüsselungsmethoden zur Auswahl: Wired Equivalent Privacy kurz WEP und Wi-Fi Protected Access kurz WPA. Das ältere WEP-Verfahren gilt als unsicher, selbst wenn es mit langen 128- Bit-Schlüsseln arbeitet. Es nutzt das RC4- Stromchiffre-Verfahren und verwendet dazu 24 Bit lange, zufällige Initialisierungsvektoren, die die Stromchiffre für jedes Datenpaket neu bestimmen. Die Sicherheit hängt davon ab, dass kein Initialisierungsvektor mehrfach vorkommt. Tatsächlich ist aber schon nach rund 4000 Datenpaketen die erste Wiederholung eines Initialisierungsvektors zu erwarten. Mehrfach auftretende Initialisierungsvektoren werden von Hackern genutzt, um den WEP-Schlüssel des Routers zu knacken. 5. Treiber aktualisieren: Windows XP mit Service Pack 2 unterstützt WPA-Schlüssel WPA-Schlüssel kombinieren den RC4- Algorithmus mit dem Block-Chiffre-Verfahren des Advanced Encryption Standards (AES). Beim WPA-Verfahren sind die Schwachstellen der WEP-Methode beseitigt. WPA basiert auf einem Netzwerkpasswort, mit dem sich das tragbare Gerät gegenüber dem WLAN-Router zu erkennen gibt. Das Passwort kann bis zu 63 Zeichen lang sein. Schalten Sie also bei Ihrem Router die Verschlüsselung ein. Wählen Sie die sichere Variante WPA. Nutzen Sie die maximale Länge des WPA-Kennworts und denken Sie sich ein Passwort aus, das in keinem Lexikon steht. Falls der Router oder eines Ihrer anderen Wireless-LAN- Geräte keine WPA-Verschlüsselung unterstützt, wählen Sie das WEP-Verfahren mit 128-Bit-Schlüsseln. Achtung: Sobald Sie die Verschlüsselung beim Router einschalten, fällt zunächst die WLAN-Verbindung zu den Geräten aus! Verbinden Sie zur Konfiguration den Router und Ihren PC oder das Notebook also über ein Netzwerkkabel. WPA-Schlüssel: Schalten Sie zunächst die Verschlüsselung auf dem Router ein. Nutzen Sie die maximale Länge des Netzwerkkennworts beziehungsweise des Preshared Key. Je länger das Passwort, desto höher die Sicherheit. Sie dürfen bis zu 63 Zeichen eingeben: Buchstaben, Ziffern und Sonderzeichen. Notieren Sie den Schlüssel. Sie benötigen ihn anschließend für die Konfiguration Ihrer WLAN-Geräte. Bei Windows-XP-Rechnern klicken Sie im Fenster Netzwerkverbindungen mit der rechten Maustaste auf Drahtlose Netzwerkverbindungen. Wählen Sie Eigenschaften. Markieren Sie auf der Registerkarte Drahtlose Netzwerke unter Bevorzugte Netzwerke das Router-Profil und aktivieren Sie bei Netzwerkauthentifizierung die Variante WPA-PSK. Wählen Sie bei Datenverschlüsselung zunächst TKIP die bessere Variante, die nicht auf RC4 basiert. Falls Sie damit keine Verbindung zum Router herstellen können, so unterstützt dieser nur RC4 und Sie benötigen die Option WEP. Geben Sie bei Netzwerkschlüssel und Netzwerkschlüssel bestätigen jeweils den Key ein, den Sie sich beim Router notiert haben. Bestätigen Sie die Änderung mit OK. WLAN-Geräte mit älteren Windows- Versionen lassen sich über die mitgelieferte Verwaltungs-Software der WLAN- Karte konfigurieren. Die Optionen heißen dabei ähnlich wie bei Windows XP. 6. Verschlüsselung einschalten: Nutzen Sie falls möglich das sichere WPA-Verfahren 61

5 Wireless LAN 8. DHCP-Dienst abschalten: Auf diese Weise erschweren Sie es Hackern vor Ihrem Haus, auf Ihre Kosten ins Internet zu gehen Klicken Sie nach der Konfiguration im Fenster Netzwerkverbindungen doppelt auf den Eintrag Drahtlose Netzwerkverbindungen, um das WLAN-Gerät mit dem Router zu verbinden. WEP-Schlüssel: Aktivieren Sie die Verschlüsselung zunächst beim Router. Falls dieser den WEP-Schlüssel auf Grund eines von Ihnen angegebenen Startworts automatisch erzeugt, wählen Sie als Startwort eine möglichst lange, zufällige Zeichenfolge, die ein unbefugter Nutzer nicht erraten kann. Schalten Sie dann die Verschlüsselung bei dem WLAN-Rechner ein, den Sie mit dem Router verbinden möchten. Ist dort Windows XP installiert, klicken Sie im Fenster Netzwerkverbindungen mit der rechten Maustaste auf den Eintrag Drahtlose Netzwerkverbindungen und wählen Sie Eigenschaften. Markieren Sie auf der Registerkarte Drahtlose Netzwerke unter Bevorzugte Netzwerke das Router- Profil und aktivieren Sie bei Datenverschlüsselung die Option WEP. Bei Netzwerkauthentifizierung muss es Offen heißen, weil die mit Gemeinsam verwendet aktivierte WEP-Authentifizierung Schwachstellen aufweist. Bei Rechnern mit älteren Windows- Versionen stellen Sie die Verschlüsselung über die Verwaltungs-Software der Wireless-LAN-Karte her. Die Bezeichnungen der Optionen lauten dort ähnlich wie bei Windows XP. Achtung: Die WEP-Verschlüsselung ist wirkungslos, wenn Sie nicht die automatische Schlüsselvergabe deaktivieren. Wie das geht, erklärt der nächste Schritt. 7. Automatische Schlüsselvergabe abschalten Das WLAN-Protokoll IEEE 802.1x ermöglicht eine automatische Vergabe von WEP- und WPA-Schlüsseln eine Funktion, die für große Firmennetze gedacht ist. Trotzdem ist bei manchen Routern die automatische Vergabe von WEP- Schlüsseln aktiv. Das Sicherheitsrisiko: Router geben die Schlüssel frei heraus. Sie verlangen keine Authentifizierung. Jeder Mitsurfer erhält den Schlüssel automatisch, sobald er mit seinem Notebook den Empfangsbereich betritt. Windows fordert diesen Key selbstständig an. Deaktivieren Sie falls das möglich ist beim Router die Option Automatische Schlüsselvergabe beziehungsweise Automatic Key Distribution. Bei einigen Routern ist die Einstellung auch unter dem Menüpunkt 802.1x zu finden. Achtung: Bei manchen Billig-Routern lässt sich die Schlüsselvergabe nicht deaktivieren. Prüfen Sie selbst, ob Sie sich ohne Schlüssel am Router anmelden können. Aktivieren Sie an Ihrem Computer im Fenster Eigenschaften Ihres WLAN-Profils auf der Registerkarte Zuordnung die Option Schlüssel wird automatisch bereitgestellt. Kommt dennoch eine Verbindung zu Stande, über die Sie surfen können, ist der Router unsicher. Steigen Sie, wenn möglich, auf die WPA- Verschlüsselung um. 8. DHCP-Dienst abschalten Standardmäßig ist ein Router so konfiguriert, dass Sie ihn nur anzuschalten brauchen, und schon erhalten die angeschlossenen Rechner Zugang zum Internet. Damit Router und Computer sich unmittelbar verständigen können, vergeben sie an jedes WLAN-Gerät eine IP-Adresse. Das WLAN-Gerät benötigt die IP-Adresse, um ins Internet zu gehen. Einschalten und surfen das ist zwar sehr einfach, aber auch riskant. Jeder, der mit einem WLAN-Notebook an Ihrem Haus vorbeigeht, erhält auf diese Weise eine IP-Adresse, mit der er auf Ihre Kosten surfen kann. 7. Automatische Schlüsselvergabe abschalten: Windows kann den Schlüssel automatisch empfangen Deaktivieren Sie daher beim Router den DHCP-Dienst, der den ans WLAN angeschlossenen Rechnern automatisch IP-Adressen zuweist. Tragen Sie stattdessen bei den WLAN-Computern manuell eine feste IP-Adresse ein. Deaktivieren Sie beim Router außerdem die Möglichkeit der Fernkonfiguration, damit niemand über das Internet die Verschlüsselung deaktivieren kann. 9. Schlüssel periodisch wechseln Je länger Sie denselben Schlüssel nutzen, desto länger haben Hacker Zeit, ihn zu knacken. Das gilt vor allem für WEP- Schlüssel. Ändern Sie also in regelmäßigen Abständen den WEP- oder WPA- Schlüssel und tauschen Sie auch hin und wieder die SSID aus. 10. Nur bei Gebrauch einschalten Viele Notebooks besitzen einen Schalter, mit dem sich die WLAN-Karte deaktivieren lässt. Auch Router lassen sich über das Konfigurationsmenü vorübergehend ausschalten. Solange die Geräte nicht aktiv sind, kann auch niemand ins WLAN einbrechen. Schalten Sie also alle WLAN- Komponenten ab, wenn Sie sie nicht benötigen. Klaus Plessner 62