Wireless LAN in öffentlich zugänglichen Gebäuden

Transkript

1 Wireless LAN in öffentlich zugänglichen Gebäuden Dr. Andreas Heuer Actisis GmbH

2 Vortragsübersicht Grundlagen WLAN Bedrohungen und Risiken Schutzmaßnahmen

3 Grundlagen WLAN

4 WLAN Wireless Local Area Network bezeichnet ein "drahtloses" lokales Funknetz-Netzwerk, wobei meistens ein Standard der IEEE Familie gemeint ist. * Bietet die Möglichkeit, mit geringem Aufwand drahtlose lokale Netzwerke aufzubauen oder bestehende, drahtgebundene Netzwerke zu erweitern. Ermöglicht den Nutzern Flexibilität und Mobilität im Zugang zu Internet oder Firmennetz Nutzung erfolgt privat, gewerblich, an öffentlichen Plätzen (Hot Spots) mit Endgeräten wie Notebooks, PDAs, Desktop Rechnern und z.b. Telefonen (VoIP) * Frei nach WikiPedia

5 Physikalische Eckdaten Funkfrequenzen: 2,4 GHz Band seit 2002 auch 5GHz Band Sendeleistung: ungefähr 0,1 Watt Reichweite: etwa 10 bis 30 Meter in Gebäuden Etwa 150 bis 300 Meter draußen Datenrate: 11 bis 54 MBit/s brutto

6 Standards im Überblick IEEE a - 54 MBit - 5 GHz-Band indoor IEEE b - 11 MBit - 2,4 GHz-Band IEEE c - Wireless Bridging IEEE d World Mode IEEE e - QoS und Streaming- Erweiterung für a/g/h IEEE f - Roaming nach IAPP für a/g/h IEEE g - 54 MBit - 2,4 GHz-Band IEEE h - 54 MBit - 5 GHz-Band indoor IEEE i - Authentifizierung und Verschlüsselung für a/b/g/h

7 WLAN Topologien Ad-hoc-Modus: Endgeräte kommunizieren direkt miteinander ohne feste Infrastruktur Vergleichbar mit Peer to Peer Netzwerken Infrastruktur-Modus: Kommunikation über Zugangspunkte (Access Points) Access Points (APs) fungieren dabei in der Regel als Brücke zwischen Festnetz und Funknetz Rolle der APs vergleichbar mit Hubs oder Switches

8 Adhoc Modus

9 Infrastruktur Modus

10 Einsatzszenarien für WLAN Drahtlose Vernetzung von mobilen Endgeräten im Firmennetz WLAN-Brücke zwischen zwei Gebäuden Hot Spots; vermieteter Internet- Zugang an öffentlichen Plätzen In den Anfängen: WLAN-Telefonie

11 WLAN Schutzprofile Internet (z.b. Hot Spot) Intranet (Firmennetz, Schutz von eigenen Ressourcen) Extranet (Inter-/Intranet für Kunden und Partner) Homenet (Einfache Bedienung und Sicherheit)

12 Bedrohungen und Risiken

13 Ausgangssituation Physikalische Sicherheit, d.h. verschlossene Türen, reicht nicht aus zum Schutz der WLAN-Zugänge; ein geeigneter Empfänger kann den Funkverkehr jederzeit aufzeichnen.

14 WarDriving / WarWalking Mit einem WLAN-fähigen Notebook oder PDA ausgestattete Dritte gehen durch Gelände und Gebäude und suchen nach Funknetzwerken. Geeignete Software analysiert jedes gefundene WLAN und zeigt an, über welche Sicherungsmechanismen dieses verfügt und ob die Möglichkeit zum Einbuchen gegeben ist. Nach dem Einbuchen werden die weitere Schadensmöglichkeiten ausgenutzt.

15 Software zum Mitlesen Software die zum automatischen Scannen von WLANs geeignet ist, ist im Internet frei verfügbar. Beispiele: AirSnort ( ist ein WLAN-Tool, das Verschlüsselungsschlüssel wiederherstellt *) NetStumbler ( zu Erholungszwecken auch für WarDriving einsetzbar *) * Zitat aus der Dokumentation

16 Bedrohungen Mithören / Lauschen Eindringen in das interne Netzwerk Schwarz Surfen (unerlaubte Mitnutzung eines Internetzugangs) Denial of Service

17 Folgeschäden Vertrauensverlust, durch bekannt werden vertraulicher Daten Verlust der Datenintegrität Verlust des Datenbestandes Erhöhte Kosten für Infrastrukturbetrieb Infrastruktur nicht verfügbar

18 Schutzmaßnahmen

19 Grundforderungen WLAN Sicherheit Zugangsschutz durch Authentifizierung: Nur autorisierte Teilnehmer können sich in ein Funknetz einbuchen. Teilnehmer können sich nicht versehentlich bei einem wilden Access Point anmelden. Vertraulichkeit: Die über Funk übermittelten Daten können nicht von Dritten ausgewertet werden. Integrität: Angreifer und Störungen können keine Datenpakete verändern, ohne dass dies auffällt.

20 Wired Equivalent Privacy (WEP) WEP Minimaler Schutz gegen Abhören, als Standardschutz bei b genutzt Unsicher: Implementierungsfehlern (zu kurze und zu einfache Initialisierungvektoren) Kryptoanalyse möglich Jeder Nutzer am gleichen Access Point kann den gesamten Datenverkehr mitlesen Fest konfigurierte Zugangsschlüssel WEPplus Nachfolger von WEP Erhöhte Sicherheit: zu einfache Intialisierungsvektoren werden automatisch vermieden. Bleibt aber gegen Initialisierungsvektorwiederholung anfällig.

21 Sichere Konfiguration von WEP MAC Adressen basierend den Zugriff erlauben SSID nicht publizieren Keine sprechenden Namen für den Access-Point Bleibt unsicher

22 Extensible Authentication Protocol (EAP) Primär zur Authentifizierung eingesetzt Kann WEP Schlüssel für WLAN- Verbindungen installieren. Zertifikate möglich (EAP-TLS) Wechsel der WEP-Schlüssel dynamisch möglich z.b. alle 5 Minuten Benötigt Server-Infrastruktur im Hintergrund (Radius-Server)

23 WI-FI Protected Access (WPA) Nimmt in Auszügen i vorweg Alternative Algorithmen für WEP Standardisiertes Verfahren zur Ermittlung von Sitzungsschlüsseln (Handshake) Vereinfachtes Verfahren für die Ermittlung des Master-Secrets per Passphrase (ohne Radius-Server möglich) Accesspoint und Client können Verschlüsselungsverfahren aushandeln

24 802.11i Eingehende Kryptoanalyse durchlaufen Verschlüsselung auf Basis des Advanced Encryption Standards (EAS) Nutzt gleiche Initialisierungsvektorlänge wie bei WPA Beinhaltet Funktionalitäten, die VoIP over WLAN ermöglichen, z.b. Pairwise Master Key (PMK)-Caching

25 Virtuelle Private Netzwerke (VPNs) WLAN wird nur als Transportmedium genutzt, ein sicherer Tunnel (verschlüsselte Datenleitung) wird von dem Client bis zum VPN-Server aufgebaut. Authentisierung mit Zertifikaten möglich. Standard-Technologie, unabhängig von WLAN-Standards.

26 Sicherheitsprofile Homenet: Nur der Besitzer soll surfen können. Hot Spot: Viele Protokolle, einfache Anmeldung, Abrechnungskomponente (Authentifizierung) Firmennetz: einfache Integration in bestehende Infrastruktur: Benutzermanagement Netzwerk und Firewall

27 Zusammenfassung WLAN bietet viele Vorteile: Kostenersparnis Mobilität Die Konfiguration muss den Sicherheitsanforderungen genügen: Zugangsschutz Verschlüsselung Verfügbarkeit

28 Vielen Dank für Ihre Aufmerksamkeit. Fragen und Anregungen gerne auch an

29 Nachtrag

30 Rechtliche Aspekte (Hot Spot) Anzeigepflicht nach 4 TKG Gewerbliche Nutzung Außenantennen genehmigen lassen Konformes Abrechnungssystem Datenschutz / Fernmeldegeheimnis