Heute (16.10.2017) geht eine Meldung um die Welt, die bei allen Wi-Fi-benutzern f\u00fcr Aufhorchen sorgt: Es gibt in den Protokollen WPA und WPA2 einige Fehler, die hersteller\u00fcbergreifend fast jegliche Wi-Fi Kommunikation betrifft.\u00a0Die Fehler sind in Standard-Libraries der WPA- und WPA2 Protokolle enthalten und daher praktisch \u00fcberall anzutreffen.<\/p>\n
Unter bestimmten Umst\u00e4nden kann es m\u00f6glich sein, WPA- und WPA2-Verschl\u00fcsselungen auszuhebeln, da der Fehler bereits im 4-Way-Handshake der Protokolle enthalten ist, also dort, wo die Schl\u00fcssel f\u00fcr die Verschl\u00fcsselung erzeugt werden. Es geht soweit, da\u00df der Wi-Fi-Datenstrom abgefangen, entschl\u00fcsselt und ohne Kenntniss des Users modifiziert werden kann.<\/p>\n
Der Artikel beschreibt weitere Details und Firmware-Release-Dates der Access-Point Firmware.<\/p>\n
<\/p>\n
Jeder Wi-Fi Client, der die Open-Source-Standard-Libraries wpa_supplicant oder hostapd verwendet, kann betroffen sein. Diese Libraries werden von den meisten Herstellern verwendet, daher d\u00fcrften praktisch alle Devices betroffen sein. Im ICASI Statement <\/a>werden einige, aber nicht alle betroffenen Hersteller gelistet. Das Statement enth\u00e4lt auch eine Liste der CVEs.<\/p>\n Ein Angreifer k\u00f6nnte w\u00e4hrend des WPA\/WPA2-Authentication-Handshakes speziell geformte Pakete verwenden, um einen ihm bekannten Schl\u00fcssel zu erzwingen. Daraus folgt, da\u00df hinterher eine Entschl\u00fcsselung oder\/und Modifikation des Client-Wi-Fi-Datenstroms m\u00f6glich ist.<\/p>\n Datenstr\u00f6me, die auf der Wi-Fi-Verbindung eine zus\u00e4tzliche Verschl\u00fcsselung (z.B. SSLVPN, IPSec, L2TP over IPSec) aufsetzen, sind nicht betroffen.<\/p>\n Nein. Die Fehler sind in den Implementationen der o.g. Libraries enthalten – die Fehler sind kein Protokoll-Design-Fehler.<\/p>\n Nein. Der hinterlegte Schl\u00fcssel kann nicht ausgelesen werden. Vielmehr wird durch die Schwachstelle dem Client ein neuer (dem angreifer bekannter) Schl\u00fcssel aufgezwungen. Das WPA2-Verfahren ist nach wie vor sicher – wenn denn der WPA2 Schl\u00fcssel hinreichend lang und hinreichend komplex ist (WPA2 kann bisher nur „brute-force“ angegriffen werden und die Rechenleistung steigt exponentiell mit der Lange des Schl\u00fcssels und der Anzahl der m\u00f6glichen Zeichen.<\/p>\n Bei der Kommunikation mit z.B. Banken wird die Kommunikation zus\u00e4tzlich Ende-zu-Ende mittels TLS verschl\u00fcsselt. Dabei ist es irrelevant, ob die Verbindung \u00fcber Kabel oder WLAN zustande kommt. Selbst \u00fcber offene WLAN-Netze (ohne Preshared Key) erfolgt die TLS-Verschl\u00fcsselung. Entsprechende \u00dcberreaktionen sind also unn\u00f6tig.<\/p>\n (die Appliances sind betroffen, wenn deren integrierter Access-Point verwendet wird).<\/p>\n Sonntag, 15.10.2017<\/p>\n Montag, 30.10.2017<\/p>\n Patches einspielen.<\/p>\n Hier noch der Link zur originalen Meldung von WatchGuard:\u00a0WatchGuard Product and Support News – Support Alerts<\/a>.<\/p>\nWie funktionieren die Vulnerabilities?<\/h4>\n
Deuten diese Vulnerabilities auf einen Design-Fehler in WPA2 hin?<\/h4>\n
Muss ich meinen WPA2 Schl\u00fcssel \u00e4ndern?<\/h4>\n
Ist WPA2 jetzt unsicher? Sollte man nicht mehr \u00fcber WLAN mit seiner Bank kommunizieren?<\/h4>\n
Welche WatchGuard Produkte sind betroffen?<\/h4>\n
\n
Welche Patches sind ab wann verf\u00fcgbar?<\/h4>\n
\n
\n
Was kann man tun, um sich zu sch\u00fctzen?<\/h4>\n
Quellen:<\/h4>\n