PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Wireless für Anfänger



Trainer
13.12.2003, 09:44
Wenn es um drahtlose Netze sowohl im professionellen als auch im SOHO- oder gar reinen Heimbereich geht, so ist 802.11b in den letzten Jahren sicher zum bevorzugten Standard geworden. Zwar existieren bereits eine ganze Reihe von Varianten wie beispielsweise 802.11a, 802.11g, 802.11i oder 802.11x, die alle eine größere Bandbreite und höhere Sicherheit versprechen jedenfalls theoretisch. Aber 802.11b ist mit all seinen Fehlern und Schwächen da und wird sicher noch eine ganze Weile als die Standardlösung für Funk-LANs zum Einsatz kommen.

Etwas Geschichte die Ursprünge von 802.11b

Bereits seit 1990 existieren verschiedene proprietäre Lösungen für Funknetze, und 1997 wurde der Standard für 802.11b verabschiedet. Er ermöglichte es, dass die Geräte der verschiedensten Hersteller erstmal in der Lage waren, miteinander zu sprechen. Im gewissen Sinne stellt dieser Standard eine Rückkehr zum Originaldesign des Ethernets dar: Auch beim Ethernet werden die Datenpakete wie bei einem Radio via broadcast ins Kabel gesendet. Wer noch die ursprüngliche Verkabelung von 10Base-3 mittels Koaxialkabel kennt, wird sich auch daran erinnern, dass dabei alle Netzwerkadapter parallel an einem Kabel auf die Datenpakete lauschten, was auch die Fehlersuche entsprechend mühsam gestaltete. Der 802.11b-Standard ersetzt dieses Kabel durch eine Funkübertragung im lizenzfreien 2,64-GHz-Band, während 802.11a das 5-GHz-Band verwendet und einige so genannten Dual-Mode-Geräte auch in der Lage sind, beide Frequenzbereiche zu benutzen. Wireless-Geräte, die sich in Reichweite von einander befinden (was in der Praxis eine Entfernung von bis zu 50 Meter bedeuten kann), können Daten austauschen wie dies auch mit einer normalen Ethernet-Verbindung möglich wäre. Allerdings wird die Übertragungsgeschwindigkeit dabei deutlich von der Signalstärke beeinflusst, die beispielsweise durch Mauern zwischen den Geräten stark beeinträchtigt werden kann.

Durch die Tatsache, dass die einzelnen Geräte beweglich sind, können sie sich aus der Reichweite bewegen oder plötzlich wieder in Reichweite der anderen Systeme kommen. Deshalb beinhaltet der 802.11b-Standard einige spezielle Merkmale für die Fehlerüberprüfung, die leistungsfähiger als die des normalen Ethernets sind. Dadurch wird aber auch ein entsprechender Overhead erzeugt, der sich wiederum auf die Übertragungsgeschwindigkeit auswirkt. So kommt es auch, dass die Übertragungsgeschwindigkeit bei den meisten dieser Geräte mit 11 MBit/s angegeben wird, aber kaum eines dieser Systeme eine höhere Übertragungsgeschwindigkeit als 6 MBit/s (zumeist sind es eher weniger) erreichen kann.

Weitere Überlegungen bei Einführung und Einsatz von drahtlosen Netzen müssen immer der Sicherheit gelten. Um einen grundlegenden Sicherheitsstandard zu gewährleisten, beinhaltet 802.11b den Verschlüsselungsstandard WEP (Wired Equivalent Privacy). Bei allen Befürchtungen, die dabei aufkommen, sollte man sich jedoch immer klar machen, dass viele Sicherheitsprobleme bei Einsatz von 802.11b-Netzwerken daher rühren, dass die meisten Anwender und auch Systemverwalter sich nicht darum kümmern, dass die Sicherheitsvorrichtungen auch wirklich eingeschaltet sind und verwendet werden.

Die meisten Netzwerke, die den 802.11b-Standard einsetzen, sind aus gutem Grund so gestaltet worden, dass sie automatisch entdeckt werden können schließlich möchte man wissen, mit welchen Einstellungen es möglich ist, dem Netz ein neues Gerät hinzuzufügen. So existieren in den meisten Betriebssystemen Werkzeuge, mit deren Hilfe es möglich ist, nach einem entsprechenden Netz zu suchen. Das Bild auf der Seite 52 zeigt diese Einrichtung unter Windows XP, die in diesem Fall ein ungesichertes Netz gefunden hat. Für ältere Windows-Systeme werden zumeist von den Herstellern der Netzwerkgeräte die entsprechenden Softwarelösungen zur Verfügung gestellt. Wenn man wieder zu dem zuvor angestrengten Vergleich mit dem Ethernet zurückkehrt, so stellt auch ein 802.11b-Netzwerk zwei Arten von Subnetzen zur Verfügung: die so genannten Ad-Hoc-Netzwerk und die Infrastruktur-Netzwerke. Bei der ersten Variante handelt es sich um einfache Peer-to-Peer-Verbindung (P2P), die sich idealerweise für die schnelle und einfache Verbindung zweier Rechner einsetzen lässt. Bei dem Infrastrukturmodell handelt es sich um ein drahtloses Netzwerk, das mittels eines so genannten Access Points (AP) mit einem anderen Netzwerk verbunden wird. Ein wichtiger Wert bei der Einstellung der drahtlosen Netze ist die Extended Service Set Indentifier (ESSID). Dabei handelt es sich um einen 32 Bit langen Identifizierungs-String, der dazu dient, ein drahtloses Netz eindeutig zu benennen also der Netzwerkname. Im Bild auf der Seite 52 haben wir das Netz mit der ESSID testoretto bezeichnet. Dort ist auch zu sehen, dass es sich bei unserem Testnetz um ein offenes und somit völlig ungeschütztes Netzwerk handelt. Wer sein Funknetz in diesem Zustand belässt und es so verwendet, hat einem potenziellen Hacker quasi ein Scheunentor geöffnet. Fast jeder Systemverwalter wird schon die Geschichten über das so genannte War Driving gelesen haben, bei denen Hacker mit Notebooks und leistungsstarken Antennen herumfahren und dabei ungeschützte drahtlose Netze mit Leichtigkeit ausspionieren. Die Sicherheitskonzeption in Bezug auf WLAN IEEE 802.11 ist nicht erst seit dem Bericht der Projektgruppe Local Wirelesse Communication des Bundesamts für Sicherheit in der Informationstechnik vom Juli 2002 in Verruf geraten. Die Vertraulichkeit im Funk-LAN basiert auf dem Wired Equivalent Privacy-Protokoll (WEP), das wiederum auf den Verschlüsselungsalgorithmus RC4 aufbaut. Dabei werden die Daten paketweise codiert, abhängig vom Schlüssel und einem Initialisierungsvektor (IV). Da der WEP-Schlüssel im gesamten Funknetz gleich sein muss, ist dieser in jedem Gerät fest einzutragen. Der IV soll für jedes Datenpaket unterschiedlich sein, wird aber vor dem verschlüsselten Datenpaket unverschlüsselt übertragen. Da dieser Vektor lediglich 24 Bit lang ist, kann es sich rein rechnerisch bereits nach 4000 Datenpaketen wiederholen. Kommt diese Technik zusammen mit einem nur 40 Bit langen WEP-Schlüssel zum Einsatz, so benötigt ein handelsüblicher PC nur wenige Tage, um die Codierung per Probeentschlüsselung zu knacken. Laut einer Übersicht im Projektgruppenpapier dauert die Sammlung dieser Menge bei einer durchschnittlichen Auslastung von 1 MBit/s ungefähr 65 Minuten. Bei einer effektiven Übertragungsrate von rund 5 MBit/s sind es lediglich 13 Minuten für die benötigte Datenmenge. Somit stellt eine Wireless-Bridge ein ernstzunehmendes Sicherheitsrisiko dar. Solange der WEP-Schlüssel nicht geändert wird, bleibt die Übertragung anschließend unsicher. Dass diese Form der Codierung unsicher ist, wurde bereits im Jahr 2001 von den Kryptologen Scott Fluhrer (Cisco), Itsik Mantin und Adi Shamir (beide vom Weizmann-Institut) beschrieben und noch im gleichen Jahr von Shamir praktisch bewiesen. Im Sommer 2001 sind mit AirSnort und WEPCrack gleich zwei Programme erschienen, die diese Lücke ausnutzen. Während Letzteres eher als konzeptionelle Entwicklung unter Perl zu betrachten ist, lässt sich AirSnort von jedermann einsetzen. Um einen Angriff erfolgreich durchzuführen, müssen etwa vier bis sechs Millionen Datenpakete abgehört werden.

Man findet in den meisten Installationsanweisungen für die entsprechenden drahtlosen Geräte den Hinweis, dass man zunächst eine Installation und Verbindungsaufnahme ohne die Verschlüsselung erproben soll. Das mag auch gerade beim ersten Einsatz eines Access Points durchaus seine Berechtigung haben, es existiert aber kein Grund, warum man die Verschlüsselung nach Abschluss der Konfiguration nicht wieder einschalten sollte. So mag WEP zwar sicher nicht perfekt sein (siehe dazu auch Kasten auf dieser Seite), aber der konsequente Einsatz dieser Verschlüsselung wird einem potenziellen Einbrecher das Leben sicher nicht einfacher machen. Aus diesem Grund werden 802.11b-Netzwerk zum Beispiel im Umfeld von sicherheitsrelevanten Anwendungen und Institutionen auch nicht verwendet. So setzt Microsoft beispielsweise auf dem eigenen Campus in Redmond eine Kombination dieser Funk-LANs mit einer VPN-Technologie ein, um eine sichere Lösung zu bekommen. Dabei werden alle drahtlosen APs, die sich außerhalb der Unternehmens-Firewall befinden, grundsätzlich als unsicher betrachtet. Die Firma setzt ein VPN ein, um Anwendern den Zugriff auf Ressourcen innerhalb der Firewall zu ermöglichen. Dieses VPN stellt sowohl eine Datenverschlüsselung als auch eine Authentifizierung der Anwender zur Verfügung, sodass ein relativ sicheres Umfeld gewährleistet werden kann. Der Autor empfiehlt immer eine solche Kombination aus einem VPN und WEP zu verwenden, so lange man nicht mittels eines APs einen öffentlichen Internetzugang aufbauen will. Wir werden in der nächsten Ausgabe des Windows 2000 Magazins in einem zweiten Artikel weitere Aspekte des Themas 802.11b-Netzwerk vorstellen und erläutern. (fms) Da ein Schlüsselmanagement bei WEP fehlt, ist die Verteilung der Schlüssel auf die Handarbeit des Administratoren angewiesen. Das führt zwangsweise dazu, dass der geheime Schlüssel selten oder niemals gewechselt wird. Auch wenn die Vergabe der Schlüssel mühselig ist, sollte so oft wie möglich ein Wechsel vorgenommen werden und der ESSID-Broadcast abgeschaltet werden. Ein sichereres Verschlüsselungsverfahren ist das bereits erhältliche Web Plus, das mit einem 104 Bit WEP-Schlüsseln arbeitet aber nicht mehr 802.11-konform ist. Der ESSID-Wert selbst sollte möglichst nicht in Verbindung mit dem Firmennamen stehen, um Rückschlüsse auf das Funknetz zu verhindern. Der Wechsel des Access-Point Passwort vom Standard zu einem Wort, das sich nicht im Wörterbuch finden lässt, ist ebenfalls Pflicht: Ein potenzieller Angreifer wird die Standardpasswörter der Hersteller als ersten Schritt ausprobieren (Thomas Bär /fms)