Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte

337 Pages·2009·13.79 MB·English

Drahtlose Kommunikationssysteme und ihre
Sicherheitsaspekte
Bundesamt für Sicherheit in der Informationstechnik
Gliederung und Einleitung
Diese Broschüre soll die Funktionsweise von drahtlosen Kommunikationssystemen darstellen, mögli­
che Gefährdungen der Informationssicherheit bei Nutzung dieser Systeme beschreiben sowie geeigne­
te Schutzmaßnahmen aufzeigen. Das Dokument reflektiert den Stand der Technik bis September 2009.
An der Erstellung waren folgende Mitarbeiter des BSI beteiligt: Heinz Gerwing, Jörg Mattke, Dr. Wil­
helm Pütz, Guido Reckhaus, Berthold Ternes. Weiterhin haben folgende Mitarbeiter der ComConsult
Beratung und Planung mitgewirkt: Dr. Simon Hoff, Dietlind Hübner, Daniel Meinhold, Dr. Joachim
Wetzlar.
Bundesamt für Sicherheit in der Informationstechnik
Postfach 20 03 63
53133 Bonn
Tel.: [phone]
E-Mail:
Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte
Einleitung
Drahtlose Kommunikationssysteme finden bei zunehmender Produktvielfalt eine immer größere Ver­
breitung. Die Funkanbindung von stationären wie mobilen Endgeräten an das Telefonnetz, das Internet
oder das lokale Netz in einem Unternehmen oder einer Behörde bietet neue Freiheiten bei der Nutzung
der Netze und deren Dienste. Drahtlose Netze können ein effizienter Ersatz sein für ein aufwendiges
Verlegen von Kabeln; Ad-hoc-Vernetzung per Funk ermöglicht den spontanen und mobilen Datenaus­
tausch. Kabellose Eingabegeräte erhöhen den Bedienkomfort der IT-Systeme. Mit heute verfügbarer
drahtloser Technik sind viele Mobilitätsansprüche der Nutzer von IT-Technik realisierbar.
Die wichtigsten technischen Systeme hierzu sind zurzeit:
► WLANs (Wireless Local Area Networks) nach den Standards der Serie IEEE 802.11 als Ergän­
zung der kabelbasierten lokalen Netze (Local Area Networks, LANs)
► Bluetooth zur Übertragung von Sprache und Daten in der unmittelbaren persönlichen Umgebung
► Sprach- und Datenkommunikationssysteme nach dem DECT-Standard (Digital Enhanced Cord­
less Telecommunications)
► WiMAX (Worldwide Interoperability for Microwave Access) zur drahtlosen Anbindung von
Feststationen und für mobile Endgeräte
► Richtfunk-Techniken zur drahtlosen Überbrückung größerer Entfernungen zwischen Gebäuden
► ZigBee, basierend auf IEEE 802.15.4, für Sensor- und Steuernetzwerke
► UWB (Ultra Wideband) zur Anbindung von Peripheriegeräten mit hohen Datenraten
► NFC (Near Field Communication) zur drahtlosen Kopplung von Geräten in kurzen Entfernungen
Außerdem zeichnen sich bereits künftige Entwicklungen ab, die beispielsweise einem Endgerät einen
systemübergreifenden Wechsel von Kommunikationsmedien ohne Abbruch der Ende-zu-Ende-Kom­
munikation ermöglichen (IEEE 802.21 – Media Independent Handover, MIH).
Ebenfalls sind ältere drahtlose Techniken weiterhin zu beachten, insbesondere
► Infrarot-Module nach IrDA zur Kommunikation mit Peripheriegeräten
► Drahtlose Tastaturen, Mäuse und andere Eingabegeräte
Alle diese Systeme bieten einen Gewinn an Komfort und Mobilität, jedoch birgt die Nutzung der
drahtlosen Technik auch zusätzliches Gefährdungspotenzial für die Sicherheit der Informationen. Die­
se Gefährdungen sind bedingt durch die spezielle drahtlose Kommunikationstechnik, durch Schwä­
chen der zugrunde liegenden Protokolle sowie durch falsche Konfiguration und Benutzung der Sys­
temkomponenten.
Drahtlos heißt, dass Informationen mittels elektromagnetischer Wellen wie Funk oder Infrarot-Licht
zwischen den Kommunikationspartnern übertragen werden. Hier fehlt also der physikalische Schutz
des Mediums, den eine Leitung – sei es Kabel, Draht oder Lichtwellenleiter – bietet. Dies führt prak­
tisch bei allen drahtlosen Kommunikationssystemen zu typischen Problemen:
Interferenzen und stark schwankende Kanalbedingungen können bis zum Verlust der Verfügbarkeit
der Kommunikationsfähigkeit des Systems führen. Darüber hinaus können die ausgesendeten elektro­
magnetischen Wellen aber auch von Dritten empfangen, aufgezeichnet, ausgewertet und ggf. manipu­
Bundesamt für Sicherheit in der Informationstechnik iii
Gliederung und Einleitung
liert werden. Mit Hilfe von leistungsfähiger Empfangstechnik, z.B. mit Richtantennen oder empfindli­
chen Empfängermodulen sind der Empfang und die Aufzeichnung der Informationen auch weit über
die normale Nutzreichweite der funkbasierten Kommunikationssysteme möglich.
Damit die übertragenen Informationen vertraulich bleiben, sind sichere Verschlüsselungsverfahren
notwendig, starke Authentisierungsverfahren sollen dem nicht autorisierten Dritten den Zutritt zum
drahtlosen Kommunikationssystem verwehren, und Integritätsschutzmechanismen sollen dafür Sorge
tragen, dass ausgesendete Informationen unverfälscht den Empfänger erreichen.
Im Folgenden werden in separaten autarken Kapiteln die wichtigsten drahtlosen Kommunikationssys­
teme dargestellt, mögliche Gefährdungen der Informationssicherheit bei Nutzung dieser Systeme be­
schrieben und ggf. geeignete Schutzmaßnahmen aufgeführt. Diese Informationsschrift möchte Admi­
nistratoren, Sicherheitsbeauftragten und Endbenutzern drahtloser Kommunikationssysteme eine Hilfe­
stellung zur Bewertung und sicheren Nutzung dieser Systeme bieten.
iv Bundesamt für Sicherheit in der Informationstechnik
Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte
Gliederung des Dokumentes
A . Funk-LAN (WLAN, IEEE 802.11)
B . Bluetooth
C . DECT
D . WiMAX, IEEE 802.16
E . Richtfunktechniken
F . ZigBee, IEEE 802.15.4
G . UWB
H . NFC
I . Neuere Entwicklungen
J . Alte Techniken
Bundesamt für Sicherheit in der Informationstechnik v
Gliederung und Einleitung
Leere Seite
vi Bundesamt für Sicherheit in der Informationstechnik
Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte
A. Funk-LAN (WLAN, IEEE 802.11)
Inhaltsverzeichnis des Abschnitts
A.1 Grundlagen und Funktionalität . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-3
A.1.1 Allgemeiner Aufbau eines WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-3
A.1.2 Funkschnittstelle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-5
A.1.3 Controller-basiertes WLAN-Design . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-7
A.1.4 Mesh-Netze . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-10
A.1.5 Spezifische Anwendungen von WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-11
A.1.5.1 Voice over IP über WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-12
A.1.5.2 Hotspots . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-13
A.1.5.3 Gastzugang . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-14
A.1.5.4 WLAN im Industriebereich . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-16
A.1.5.5 Ortung und Positionsbestimmung per WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-17
A.2 Sicherheitsmechanismen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-18
A.2.1 Netzwerkname (SSID) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-18
A.2.2 MAC-Adresse . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-18
A.2.3 Wired Equivalent Privacy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-19
A.2.4 IEEE 802.11i . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-20
A.2.4.1 TKIP und Michael . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-21
A.2.4.2 CCMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-23
A.2.4.3 IEEE 802.1X . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-24
A.2.4.4 Ableitung der Sitzungsschlüssel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-26
A.2.5 Wi-Fi Protected Access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-28
A.2.6 Wi-Fi Protected Setup . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-29
A.2.7 Absicherung der Kommunikation mit der LAN-Infrastruktur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-29
A.2.8 Absicherung von Mesh-Netzen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-31
A.2.9 Absicherung der Übertragung von Management Frames . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-31
A.2.10 Überwachung des WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-32
A.3 Gefährdungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-34
A.3.1 Ausfall durch höhere Gewalt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-34
A.3.2 Mangelhafte Planung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-34
A.3.3 Fehlende Regelungen zur Nutzung von Frequenzen und unbeabsichtigte Störung durch
Fremdsysteme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-34
A.3.4 Unzureichende Regelungen zur Administration der WLAN-Infrastruktur . . . . . . . . . . . . . . . . . . . . A-35
A.3.5 Fehlende Regelungen zur Überwachung der WLAN-Infrastruktur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-35
A.3.6 Unzureichende Notfallvorsorge . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-35
A.3.7 Sicherheitskritische Grundeinstellung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-35
A.3.8 Fehlkonfiguration von WLAN-Komponenten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-35
A.3.9 SSID Broadcast . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-36
A.3.10 Manipulierbare MAC-Adressen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-36
A.3.11 Schwachstellen in WEP und TKIP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-36
A-1 Bundesamt für Sicherheit in der Informationstechnik
A. Funk-LAN (WLAN, IEEE 802.11)
A.3.12 Probleme bei der Migration von WEP und TKIP zu IEEE 802.11i bzw. WPA2 . . . . . . . . . A-36
A.3.13 Schwachstellen bei passwortbasierten Authentisierungsverfahren in WPA, WPA2 bzw.
IEEE 802.11i . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-37
A.3.14 Bedrohung der lokalen Daten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-37
A.3.15 Unkontrollierte Ausbreitung der Funkwellen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-37
A.3.16 Abhören der WLAN-Kommunikation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-37
A.3.17 Bedrohung der Verfügbarkeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-38
A.3.18 Unerlaubte Mitnutzung des WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-38
A.3.19 Diebstahl eines Access Point . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-38
A.3.20 Vortäuschung eines gültigen Access Point . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-38
A.3.21 Schwachstellen beim administrativen Zugriff auf Access Points . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-38
A.3.22 Ungeschützte Übertragung von Management-Paketen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-39
A.3.23 Ungeschützter LAN-Zugang am Access Point . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-39
A.3.24 Erstellung von Bewegungsprofilen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-39
A.4 Schutzmaßnahmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-40
A.4.1 Konfiguration und Administration der Funkkomponenten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-40
A.4.2 Zusätzliche technische Maßnahmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-44
A.4.3 Organisatorische Maßnahmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-47
A.4.4 Beispielszenarien zur Maßnahmenauswahl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-49
A.4.4.1 Kleine WLAN-Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-50
A.4.4.2 Große WLAN-Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-52
A.4.4.3 SOHO-WLAN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-55
A.4.4.4 Hotspot-Nutzung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-56
A.4.4.5 LAN-Kopplung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-58
A.4.4.6 Mesh-Netze . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-60
A.5 Ausblick . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-61
A.6 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-62
A.7 Literatur und Links . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-63
A.8 Abkürzungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-66
A.9 Glossar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . A-69
Bundesamt für Sicherheit in der Informationstechnik A-2
Drahtlose Kommunikationssysteme und ihre Sicherheitsaspekte
A.1 Grundlagen und Funktionalität
Wireless Local Area Networks (WLANs, manchmal auch als Funk-LANs bezeichnet), die auf dem
1997 vom Institute of Electrical and Electronics Engineers (IEEE) veröffentlichten und seitdem konti­
nuierlich weiterentwickelten Standard IEEE 802.11 basieren (siehe [IEEE07]), findet man als drahtlo­
se Erweiterung eines traditionellen LAN (Local Area Network) sowohl in den Bereichen Büro, Indus­
trie, Handel, Logistik und Medizin als auch im privaten Bereich. WLANs erlauben den für viele An­
wendungsbereiche immer wichtiger werdenden drahtlosen Zugang zu Informationen.
Aufgrund der einfachen Installation werden WLANs auch für temporär zu installierende Netze (z.B.
auf Messen) verwendet. Darüber hinaus werden über WLANs an öffentlichen Plätzen wie Flughäfen
oder Bahnhöfen Netzwerkzugänge (sogenannte Hotspots) angeboten, um mobilen Benutzern Verbin­
dungen in das Internet und hierüber z.B. per Virtual Private Network (VPN) einen Zugriff auf die hei­
matliche IT-Infrastruktur zu ermöglichen.
Die Kommunikation erfolgt bei WLANs über Funk, was prinzipiell immer die Gefahr der Abhörbar­
keit, des unerlaubten Zugangs zum WLAN und der Störbarkeit von Übertragungen (beabsichtigt oder
nicht) birgt.
Bereits Mitte 2001 sind massive Sicherheitslücken im Standard IEEE 802.11 bekannt geworden, die
zu großen Sicherheitsproblemen geführt haben. Die ursprünglich spezifizierten kryptographischen Me­
chanismen haben sich als unzulänglich erwiesen, da der verwendete Verschlüsselungsalgorithmus in
kürzester Zeit gebrochen werden kann. Der Zugang zu fremden WLANs wird außerdem noch durch
frei verfügbare Werkzeuge erleichtert. Seit geraumer Zeit gibt es von der IEEE allerdings mit IEEE
802.11i eine Erweiterung des Standards, die deutlich verbesserte Sicherheitsmaßnahmen spezifiziert.
Bis heute basieren praktisch alle am Markt verfügbaren WLAN-Systeme auf dem genannten Standard
1
IEEE 802.11 und seinen Ergänzungen, die im Folgenden kurz vorgestellt werden . Eine besondere
Rolle nimmt dabei das Hersteller-Konsortium Wi-Fi Alliance ein, das basierend auf IEEE 802.11 mit
Wi-Fi einen Industriestandard geschaffen hat. Dabei bestätigt die Wi-Fi Alliance mit dem Wi-Fi-Güte­
siegel, dass ein Gerät gewisse Interoperabilitäts- und Konformitätstests bestanden hat.
A.1.1 Allgemeiner Aufbau eines WLAN
In WLANs werden zunächst zwei Formen der drahtlosen Kommunikation unterschieden.
Im Ad-hoc-Modus kommunizieren zwei oder mehr mobile Endgeräte (Clients), die mit einem WLAN-
Adapter ausgestattet sind, direkt miteinander. WLANs im Ad-hoc-Modus sind in der Praxis eher sel­
ten.
Der größte Teil der WLAN-Installationen wird im Infrastruktur-Modus betrieben. Hier erfolgt die
Kommunikation der Endgeräte über eine zentrale Funkbrücke, den sogenannten Access Point, über
den auch die Anbindung an das kabelbasierte LAN erfolgt und der sich gemäß einer Bridge nach IEEE
802.1D verhält (siehe [IEEE04-1D] und Abbildung A-1).
1
Neben dem Standard IEEE 802.11 gibt es noch andere WLAN-Standards, die jedoch keine praktische Rele­
vanz mehr haben, da diese Standards nicht weiterentwickelt werden und keine Produkte am Markt verfügbar
sind. Zu nennen sind hier HomeRF und HIPERLAN/2 (High Performance Radio Local Area Network Type 2).
Bundesamt für Sicherheit in der Informationstechnik A-3
A. Funk-LAN (WLAN, IEEE 802.11)
Abbildung A-1: Infrastruktur-Modus-Erweiterung kabelbasierter LANs
Bei der Verwendung entsprechender Komponenten (Richtantennen) an den Access Points, die dann
oft als Wireless Bridge bezeichnet werden, kann ein WLAN auch zur Kopplung kabelbasierter LAN-
Segmente wie eine Richtfunkstrecke eingesetzt werden. Dabei kommunizieren die Access Points über
die Funkschnittstelle direkt miteinander, wie in Abbildung A-2 dargestellt.
Abbildung A-2: Infrastruktur-Modus - LAN-Kopplung
Der Standard IEEE 802.11 verwendet die Bezeichnungen Independent Basic Service Set (IBSS) für
Funk-Netzwerke im Ad-hoc-Modus und Basic Service Set (BSS) für Konstellationen im Infrastruktur-
Modus mit einem Access Point. Mehrere gekoppelte BSS werden als Extended Service Set (ESS) be­
zeichnet, das koppelnde Netzwerk wird Distribution System (DS) genannt.
Bundesamt für Sicherheit in der Informationstechnik A-4