Technische Richtlinie Sicheres WLAN TR-S-WLAN

Transkript

1 Technische Richtlinie Sicheres WLAN TR-S-WLAN Berthold Ternes Bundesamt für Sicherheit in der Informationstechnik SYSTEMS München

2 Agenda ❺ Was sind Technische Richtlinien des BSI? ❺ Technische Richtlinie Sicheres WLAN (TR-S-WLAN): ❺ Ziele ❺ Aufbau ❺ Ergebnisse TR-S-WLAN Folie 2

3 Was sind Technische Richtlinien (TR) des BSI? ❺ Handlungsrahmen für den Einsatz und die Entwicklung interoperabler IT-Sicherheitslösungen ❺ Ergänzung, Profilierung existierender Standards ❺ Kriterienwerk zur Auswahl geeigneter Produkte für Beschaffungsverantwortliche ❺ Beeinflussung des Marktes hin zu höheren Sicherheitsniveaus ❺ Definition von Kriterien und Methoden für Konformitätsprüfung => Zukünftig soll die Möglichkeit bestehen, Produkte gegen eine entsprechende Technische Richtlinie prüfen zu lassen. ❺ Die BSI-TR haben Empfehlungscharakter. Verbindlichkeit entsteht erst durch individuelle Vorgabe des Bedarfsträgers TR-S-WLAN Folie 3

4 Ziel und Zielgruppe der TR-S-WLAN Ziel ❺ Förderung von Entwicklung und Betrieb sicherer, interoperabler, standardkonformer Wireless LAN- Infrastrukturen Zielgruppe ❺ Die TR richtet sich an alle, die mit der ❺ Absicherung von WLAN-Installationen (Planer, Beschaffer, Betreiber oder Nutzer) ❺ Entwicklung von WLANs ❺ Prüfung von WLAN-Produkten befasst sind. TR-S-WLAN Folie 4

5 Struktur der TR-S-WLAN Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen Teil 2: Vorgaben eines WLAN Sicherheitskonzeptes Teil 3a: Auswahlkriterien für WLAN-Systeme Teil 3b: Prüfkriterien für WLAN-Systeme TR-S-WLAN Folie 5

6 Teil 1 Darstellung und Bewertung der Sicherheitsmechanismen ❺ Grundlage für Teile 2 und 3 Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen ❺ IEEE im Überblick, WEP ❺ Einsatz von Firewall-Techniken ❺ Einsatz von VPN-Techniken ❺ IEEE i und WiFi Protected Access Teil 2: Vorgaben eines WLAN Sicherheitskonzepts Teil 3a: Auswahlkriterien für WLAN-Systeme ❺ Authentifizierung und Schlüsselverwaltung mit IEEE802.1x: EAP-Methoden und Schlüsselverteilung ❺ Kombination und Koexistenz von Sicherheitsmechanismen: Benutzertrennung, Altlasten, Migration ❺ Mobilität und Sicherheitsinfrastruktur: Roaming ❺ Management von WLAN: Verfahren und Protokolle ❺ Sichere Hot-Spots ❺ Absicherung mobiler Clients ❺ Absicherung einer LAN-Kopplung Teil 3b: Prüfkriterien für WLAN-Systeme TR-S-WLAN Folie 6

7 Ausschnitt: Mechanismen im Überblick Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen Mechanismus Produktverfügbarkeit Unterstützung unterschiedlicher Client-Systeme Kosten Aufwand von Planung und Implementierung Aufwand im Betrieb Beitrag zum Schutz des WLAN IEEE i mit TKIP und PSK bzw. WPA mit PSK IEEE i mit TKIP und IEEE 802.1X bzw. WPA mit IEEE 802.1X IEEE i mit CCMP und PSK bzw. WPA2 mit PSK IEEE i mit CCMP und IEEE 802.1X bzw. WPA2 mit IEEE 802.1X WEP niedrig niedrig niedrig niedrig + 0 niedrig niedrig niedrig mittel + 0 mittel mittel bis hoch mittel TR-S-WLAN Folie 7 hoch** 0 - niedrig niedrig niedrig mittel 0 -- mittel VPN ++ 0 hoch mittel bis hoch mittel bis hoch mittel mittel "++" = sehr gut, "+" = gut, "0" = akzeptabel, "-" = mangelhaft, "--" = ungenügend ** = nur bei starker Authentif. Methode hoch** hoch

8 Teil 2 Sicherheitskonzepte Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen Teil 2: Vorgaben eines WLAN Sicherheitskonzeptes Teil 3a: Auswahlkriterien für WLAN-Systeme Teil 3b: Prüfkriterien für WLAN-Systeme TR-S-WLAN Folie 8

9 Teil 2 Vorgaben für ein WLAN- Sicherheitskonzept ❺ technische und organisatorische Rahmenbedingungen für einen sicheren WLAN-Betrieb ❺ Vorgehensweise orientiert sich am IT-Grundschutzhandbuch ❺ Schutzbedarf ❺ allgem. Gefährdungen (ca. 30) ❺ allgem. Maßnahmen (ca. 40) ❺ Berücksichtigung des Lebenszyklus der WLAN Systeme: ❺ Planung ❺ Produktauswahl => Teil 3 ❺ ❺ ❺ ❺ ❺ Installation und Konfiguration Administration und Betrieb Sicherheitsrevision Migration Außerbetriebnahme ❺ Spezifische Sicherheitskonzepte TR-S-WLAN Folie 9

10 Spezifische Sicherheitskonzepte ❺ Spezifische Sicherheitskonzepte für: ❺ 4 typische Szenarien ❺ 2 Schutzbedarfskategorien Szenario LAN-Erweiterung (Infrastruktur-Modus) Hotspot (Client-Perspektive) Ad-hoc-Modus LAN-Kopplung Schutzbedarfskategorie niedrig bis mittel hoch niedrig bis mittel hoch niedrig bis mittel hoch niedrig bis mittel hoch ❺ 3 verschiedene Größen # Access Points # Clients Kleines WLAN ca. 10 ca. 100 Großes WLAN ca. 100 ca SOHO WLAN 1 ca. 3 TR-S-WLAN Folie 10

11 Gliederungsschema WLAN Management Sicherheits-Infrastruktur Server Server Distribution System LAN Access Points Distribution System Luftschnittstelle Clients Access Point Access Point... ❺ Architekturorientierter Aufbau, spiegelt die Struktur von WLAN Systemen / Infrastrukturen wider ❺ angewendet in Teil 2 und Teil 3 Funkzelle Funkzelle TR-S-WLAN Folie 11

12 Beispiel: Gefährdungen und Maßnahmen TR-S-WLAN Folie 12 G-WLAN-22 G-WLAN-23 G-WLAN-24 G-WLAN- 25 G-WLAN-26 G-WLAN-27 Auszug aus der Kreuzreferenztabelle 31 Gefährdungen 44 Maßnahmen Alarm- und Fehlerbehandlung im WLAN M-WLAN-35 Auswertung von Protokolldateien der Komponenten der WLAN-Infrastruktur Nutzung von Ausweichlösungen bei Ausfall des WLAN (HS) Einleiten von Maßnahmen bei einem Sicherheitsvorfall im WLAN Regelmäßige Audits der WLAN- Infrastruktur und -Konfiguration Erlangung einer IT-Grundschutz- Zertifizierung für den WLAN-Verbund Sorgfältige Planung notwendiger WLAN- Migrationsschritte M-WLAN-36 M-WLAN-37 M-WLAN- 38 M-WLAN-39 x x x M-WLAN-40 x M-WLAN-41 x Fehlerhafte Bedienung des WLAN-Clients Unzureichende oder fehlende Absicherungsmechanismen Nicht zeitgerecht durchgeführte Software-Updates Angriff auf bzw. Übernahme von WLAN-Clients Mangelhafte Planung der Architektur des Distribution Systems Kompromittierung des Disribution System

13 Teil 2 Zusammenfassung Technische Richtlinie Sicheres WLAN - Teil 2 IT-Strukturanalyse für den WLAN-Einsatz - Methodik Gesetzliche Vorschriften und IT-Sicherheit Schutzbedarfsdefinition und -feststellung Bedrohungsanalyse und Gefährdungskatalog Allgemeine Maßnahmenempfehlungen Erweiterung des kabelgebundenen LAN - Konzeptvorgaben für eine homogene Clientumgebung kleines WLAN großes WLAN SOHO-WLAN Erweiterung des kabelgebundenen LAN - Konzeptvorgaben für eine heterogene Clientumgebung kleines WLAN großes WLAN SOHO-WLAN Remote Access auf das Unternehmens-LAN per Hotspot - Konzeptvorgaben für einen WLAN-Client Nutzung des Ad Hoc Modus - Konzeptvorgaben für einen WLAN-Client Konzeptvorgaben für eine LAN-Kopplung ❺ Leitfaden für die Erstellung von WLAN- Sicherheitskonzepten 1. Allgem. Gefährdungs- und Maßnahmenkataloge 2. WLAN-spezifische Konzepte, 4 typische Szenarien 3. Zusätzl. Mustervorlagen - Mustervorlage großes WLAN - Checkliste für SOHO-WLAN TR-S-WLAN Folie 13

14 Teil 3 Systeme und Produkte Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen Teil 2: Vorgaben eines WLAN Sicherheitskonzeptes Teil 3a: Auswahlkriterien für WLAN-Systeme Teil 3b: Prüfkriterien für WLAN-Systeme TR-S-WLAN Folie 14

15 Teil 3a Auswahlkriterien ❺ definiert produktneutrale Kriterien für die Auswahl von WLAN-Systemen ❺ Zielgruppe: Beschaffer ❺ Basis UfAB (Unterlage für die Ausschreibung und Bewertung von IT- Leistungen) des BMI ❺ ca. 55 Auswahlkriterien ❺ ❺ Ausschlusskrit. (A) Bewertungskrit. (0-10 Punkte) ❺ Gliederung in Kriteriengruppen: W LAN Management Sicherheits-Infrastruktur Distribution System Access Points Client-Bereich Luftschnitts te lle Kriterienhauptgruppe (KHG) Kriteriengruppe (KG) Anforderungskriterium (K) Kriterien GS HS GS HS GS HS GS HS GS HS 1 1 Luftschnittstelle 1 1 A-WLAN-1 Zertifizierung "WPA-Enterprise" vorhanden A A A A A-WLAN-2 Zertifizierung "WPA-Personal" vorhanden A A A A 1 1 A-WLAN-3 Zertifizierung "WPA2-Enterprise" vorhanden A A A A A-WLAN-4 Zertifizierung "WPA2-Personal" vorhanden A Client 1 2 A-WLAN-5 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 2/ A A A-WLAN-6 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 4/5 A A A-WLAN-7 Anmeldung ausschließlich an konfigurierter SSID A A A A A A 1 2 A-WLAN-8 Betrieb des Client ohne Administrator-Rechte wird unterstützt A A A A A A 1 2 A-WLAN-9 Warnung des Anwenders vor unsicherem Betrieb 10 A 10 A 10 A 1 2 A-WLAN-10 VPN-Client verfügbar Access Point 1 3 A-WLAN-11 Administration "Out of Band" möglich A A A A A A A A ❺ Anwendungs-Voraussetzung: Sicherheitskonzept nach Teil 2 Kleine WLAN-Installation Gewichtungspunkte Große WLAN-Installation SOHO-WLAN Inhomogene Client-Umgebung LAN-Kopplung TR-S-WLAN Folie 15

16 5 Szenarien Schutzbedarf Bewertungsmatrix der Auswahlkriterien (Ausschnitt) Kriterienhauptgruppe (KHG) Kriteriengruppe (KG) Anforderungskriterium (K) Kriterien GS HS GS HS GS HS GS HS GS HS 1 1 Luftschnittstelle 1 1 A-WLAN-1 Zertifizierung "WPA-Enterprise" vorhanden A A A A A-WLAN-2 Zertifizierung "WPA-Personal" vorhanden A A A A 1 1 A-WLAN-3 Zertifizierung "WPA2-Enterprise" vorhanden A A A A A-WLAN-4 Zertifizierung "WPA2-Personal" vorhanden A Client 1 2 A-WLAN A-WLAN A-WLAN A-WLAN A-WLAN-9 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 2/3 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 4/5 Anmeldung ausschließlich an konfigurierter SSID Betrieb des Client ohne Administrator-Rechte wird unterstützt Warnung des Anwenders vor unsicherem Betrieb Gewichtungspunkte 5 10 A A 0 0 A A A A A A A A A A A A A A 10 A 10 A 10 A 1 2 A-WLAN-10 VPN-Client verfügbar Access Point 1 3 A-WLAN-11 Administration "Out of Band" möglich A A A A A A A A TR-S-WLAN Folie 16 Kleine WLAN-Installation Große WLAN-Installation SOHO-WLAN Inhomogene Client-Umgebung LAN-Kopplung

17 Beispiel: Sicherheits-Infrastruktur ❺ Auszug aus der Kriteriengruppe Sicherheits-Infrastruktur Kriterien müssen effektiv entscheidbar (messbar) sein A-WLAN-46 Erkennung von Fremdgeräten Die Sicherheits-Infrastruktur bemerkt fremde Access Points (so genannte Rogue Access Points), Clients und Ad-Hoc WLAN im Bereich der WLAN-Abdeckung. Wahlweise erfolgt eine Alarmierung. TR-S-WLAN Folie 17

18 Teil 3b Prüfkriterien Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen Teil 2: Vorgaben eines WLAN Sicherheitskonzeptes Teil 3a: Auswahlkriterien für WLAN-Systeme Teil 3b: Prüfkriterien für WLAN-Systeme TR-S-WLAN Folie 18

19 Teil 3b Prüfkriterien Kriterienhauptgruppe (KHG) Kriteriengruppe (KG) Prüfkriterium (K) Kriterien Konzepte GS HS GS HS GS HS GS HS GS HS 1 1 Luftschnittstelle 1 1 K-WLAN-1 Zertifizierung "WPA-Enterprise" vorhanden K-WLAN-2 Zertifizierung "WPA-Personal" vorhanden K-WLAN-3 Zertifizierung "WPA2-Enterprise" vorhanden K-WLAN-4 Zertifizierung "WPA2-Personal" vorhanden Client 1 2 K-WLAN-5 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 2/ K-WLAN-6 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 4/ K-WLAN-7 Anmeldung ausschließlich an konfigurierter SSID K-WLAN-8 Betrieb des Client ohne Administrator-Rechte wird unterstützt K-WLAN-9 Warnung des Anwenders vor unsicherem Betrieb K-WLAN-10 VPN-Client verfügbar Access Point 1 3 K-WLAN-11 Administration "Out of Band" möglich Administration über die Luftschnittstelle 1 3 K-WLAN-12 abschaltbar Administration über unverschlüsselte Protokolle 1 3 K-WLAN-13 abschaltbar K-WLAN-14 Keine Server für FTP und TFTP Kleine WLAN-Installation empfohlene Prüfklassen Große WLAN-Installation SOHO-WLAN Inhomogene Client-Umgebung LAN-Kopplung ❺ definiert Prüfkriterien und Prüfverfahren für jedes Auswahlkriterium ❺ Zielgruppe: Prüfinstanzen ❺ 3 Prüfklassen mit unterschiedlicher Vertrauenswürdigkeit: ❺ 1 = Datenblatt, Herstellererklärung ❺ 2 = Laborprüfungen von Dritten: funktionale Tests, Penetrationstests ❺ 3 = Evaluierung u. Zertifizierung nach CC TR-S-WLAN Folie 19

20 5 Szenarien Matrix der Prüfkriterien und empfohlene Prüfklassen (Ausschnitt) Kriterienhauptgruppe (KHG) Kriteriengruppe (KG) Prüfkriterium (K) Kriterien Konzepte empfohlene Prüfklassen empfohlene Prüfklassen GS HS GS HS GS HS GS HS GS HS 1 1 Luftschnittstelle 1 1 K-WLAN-1 Zertifizierung "WPA-Enterprise" vorhanden K-WLAN-2 Zertifizierung "WPA-Personal" vorhanden K-WLAN-3 Zertifizierung "WPA2-Enterprise" vorhanden K-WLAN-4 Zertifizierung "WPA2-Personal" vorhanden Client 1 2 K-WLAN-5 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 2/ K-WLAN-6 Supplicant für IEEE 802.1X unterstützt EAP- Methode der Klassen 4/ K-WLAN-7 Anmeldung ausschließlich an konfigurierter SSID K-WLAN-8 Betrieb des Client ohne Administrator-Rechte wird unterstützt K-WLAN-9 Warnung des Anwenders vor unsicherem Betrieb K-WLAN-10 VPN-Client verfügbar Access Point 1 3 K-WLAN-11 Administration "Out of Band" möglich Administration über die Luftschnittstelle 1 3 K-WLAN-12 abschaltbar Administration über unverschlüsselte Protokolle 1 3 K-WLAN-13 abschaltbar K-WLAN-14 Keine Server für FTP und TFTP TR-S-WLAN Folie 20 Kleine WLAN-Installation Große WLAN-Installation SOHO-WLAN Inhomogene Client-Umgebung LAN-Kopplung

21 Beispiel: Sicherheits-Infrastruktur AP ohne Verschlüsselung ❺ Weitere Prüfkriterien definieren z.b. funktionale Tests und Penetrationstests mittels Protokollanalysator, Port Scans, etc. WLAN-Cli ent mit Supplicant RADIUS-Server AP mit Authenticator TR-S-WLAN Folie 21 LAN-Switch

22 Zusammenfassung TR-S-WLAN = ❺ Tutorium und Nachschlagewerk für Sicherheitsmechanismen in WLAN ❺ Kompendium und Vorlage zur Erstellung von WLAN Sicherheitskonzepten ❺ Checkliste und Werkzeug zur Ausschreibung, Auswahl und Prüfung von WLAN-Systemen Technische Richtlinie Sicheres WLAN Teil 1: Darstellung und Bewertung der Sicherheitsmechanismen Teil 2: Vorgaben eines WLAN Sicherheitskonzeptes Teil 3a: Auswahlkriterien für WLAN-Systeme Teil 3b: Prüfkriterien für WLAN-Systeme TR-S-WLAN Folie 22

23 Status Quo - Ausblick Ab im SecuMedia-Verlag erhältlich Ausblick ❺ Erstellung eines Common Criteria (CC)-konformen Protection Profile für WLANs ❺ Möglichkeit der Prüfung von Produkten auf Konformität zur TR-S-WLAN und Ausstellung von Konformitätsbescheinigungen ❺ Erstellung Baustein WLAN für das Grundschutzhandbuch des BSI aus Teil 2 TR-S-WLAN Folie 23

24 Kontakt Bundesamt für Sicherheit in der Informationstechnik (BSI) Berthold Ternes Godesberger Allee Bonn Tel: Fax: Messestand B2.338 TR-S-WLAN Folie 24