Abteilung fuer Ideologie
Edit Iologie here.
Chaos Computer Club e.V.
Sicherheitshinweis zu IEEE 802.11 / auch bezeichnet als Wavelan, Airport, Wireless Lan, FunkLan, Orinoco, Aeronet,
Cabeltron, Airlancer, Dell, Artem, ...
Version 1.3 Stand 29.04.2001 01:28 A
Drahtlose Netzwerke, wie IEEE 802.11 / FunkLan bringen nicht nur Komfort, sondern auch zahlreiche Sicherheitslücken mit sich.
Nach einigen groben Tests im Raum Berlin haben wir u.a. mehrere Krankenhäuser gefunden, die in unterschiedlichem
Umfang drahtlose Netzwerkkarten nach der IEEE 802.11 Technologie (auch bekannt als Wavelan oder Airport) einsetzen.
Da bei den von uns besuchten Krankenhäusern weder das sogenannte "hidden network feature" (Verschleierung des
Netzwerks) noch die mitgelieferte "wired equivalent privacy (wep)" akiviert waren, ist es äußerst einfach, mit einem Laptop
und einer FunkLan-Karte in der Umgebung der eingetzten Stationen die über das Netzwerk laufenden Daten mitzulesen
und durch eigenen Zugang in das Netzwerk entsprechende Angriffe zur Manipulation von Datenbeständen, Simulation
eines legitimen Benutzers oder Lahmlegung von Infrastrukturelementen durch protokollspezifische Denial of Service
Attacks (DoS) zu erzeugen.
Da die hier übertragenen Daten durchgehend sensibler Natur sind (Erfassung von Krankheitsverläufen etc.) und die
hierdurch veranlassten / übertragenen Vorgänge bis hin zur direkten Übermittlung von zu verabreichenden Medikamenten
reichen, möchten wir vom Einsatz der IEEE 802.11 bzw. Funklan Technologie ohne zusätzliche Sicherheitsmaßnahman
dringend abraten.
Da wir bei unseren Tests nicht nur eine Vielzahl von Unternehmen, sondern eben auch Krankenhäuser entdeckt haben,
wird es Anfang der kommenden Woche zu entsprechenden Presseveröffentlichungen kommen. Angesichts der dadurch zu
erwartenden Aktivitäten von technologiebegeisterten Menschen, die mit Ihrem Laptop und einer entsprechenden Funklan
Karte Netze suchen werden, erscheint uns darüber hinaus entscheidend darauf hinzuweisen, daß die von der
Technologie selbst bereitgestellten Sicherheitsfunktionen (hidden network und WEP-Verschlüsselung) nur gegen Angriffe
auf einem technologisch nicht besonders hohem Niveau Abhilfe schaffen.
Auch der Schutz durch Authentifizierung anhand der Kartenspezifischen MAC-Adressen muß angesichts der freien
Konfigurierbarkeit dieser Adressen als nicht ausreichend bezeichnet werden.
Wir versuchen hier die wesentlichen Sicherheitsprobleme zu benennen und Lösungen zu deren Beseitigung vorzustellen.
Häufiges "Problem": Die Systemadministratoren haben übersehen, dass nicht nur die authorisierten Personen ueber ihre
wavelanfähigen Laptops Zugriff auf die im Netz vorhandenen Dienste haben. Es findet oft/meistens keine
Authentifizierung der Clients statt, so dass _jeder_ in der Lage ist, sich ohne Probleme in das Netz "einzubuchen", also
Teil des Netzwerkes ist und uneingeschränkten Zugriff auf dieses Netz hat.
1. "offenes Netz"
IEEE 802.11 bietet die Moeglichkeit, den Netznamen zu "verstecken". Ein solches "hidden network" (auch als "Closed
Wireless System" bezeichnet) kann zur Zeit nicht ohne weiteres entdeckt werden. Somit wäre es für einen normalen
Angreifer ohne wesentliche Technologiekenntnisse zum jetzigen Zeitpunkt nicht möglich, sich ohne Kenntnis des
Netzwerknamens in das Netzwerk einzuklinken.
Achtung: Primär stellt das blosse verstecken des Netznamens keine wirkliche Sicherheitsmaßnahme dar, da
über social-engeneering und andere Methoden solche Netznamen relativ leicht zu bekommen sind. Das
Verstecken eines Netzwerknamens macht aber in der Hinsicht Sinn, dass niemand im "vorbeigehen" (also durch
rein passives Verhalten) einen Netzwerknamen auf dem Display seines Funklan-fähigen Geraetes (Notebook,
Handheld-Computer, etc) angezeigt bekommt. Wenn man jedoch den Netzwerknamen kennt, wird man genau
so leicht Teil des Netzwerkes werden können, wie ohne jegliche Sicherheitsvorkehrung.
2. "unverschlüsselte Verbindung"
IEEE 802.11 bietet auf untersten Networklayern die Möglichkeit der "wired equivalent privacy" (WEP), welche mit
40bit bzw 128bit Verschlüsselung auf MAC (Medium Access Control) Ebene eine schwache Möglichkeit bietet, den
Netzwerkverkehr komplett vor unauthorisierten Personen zu verschleiern.
Eine solche Verschlüsselung bietet keinen vollständigen Schutz vor Lauschern bzw. Eindringlingen, sondern
eher (wie der Name schon sagt) ein ähnliches Schutzniveau wie bei einem fest verdrahtetem Netzwerk. Ein
Eindringling könnte sich ebenso mit einer regulären Netzwerkkarte und einem geeignetem Kabel an eine der
zahlreich vorhandenen Netzwerkdosen anschliessen und somit ebenfalls ungehinderten Zugriff auf das
Netzwerk haben.
Grundsätzlich kann man sagen, dass eine Kombination aus Maßnahmen 1.+2. einen ausreichenden Schutz gegen
"vorbeilaufende Personen" bietet. Einem Angreifer, der weiss, dass es ein IEEE 802.11 Netzwerk gibt (auch wenn es
verschlüsselt und "hidden" ist) macht man es dadurch allerdings nur geringfügig schwer. Es ist davon auszugehen, dass
noch in diesem Jahr Programme existieren, die diese ersten Schutzmechanismen von IEEE 802.11 aushebeln.
Zusammenfassende Empfehlung an alle Krankenhäuser die mit FunkLAN (IEEE 802.11) arbeiten:
Aktivieren Sie auf sämtlichen Accesspoints das "hidden" network bzw. die Option "Closed Wireless System".
Wenn das Netz als versteckt eingerichtet ist, wird es nicht ohne weiteres möglich sein, Teil des Netzwerkes zu
werden.
Aktivieren Sie "Wired Equivalent Privacy" (WEP)
"wired equivalent privacy (WEP): The optional cryptographic confidentiality algorithm specified by IEEE 802.11 used
to provide data confidentiality that is subjectively equivalent to the confidentiality of a wired local area network
(LAN) medium that does not employ cryptographic techniques to enhance privacy."
[ aus: IEEE Std 802.11-1997, Part 11: Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY)
specifications ]
Tragen Sie in der Konfiguration des Accesspoints ein, dass Verbindungen über Funk verschlüsselt werden. Je
nach Konfigurationssoftware tragen Sie eine Passphrase ein, oder einen Hex-Key (Bsp: 0xC9FC3C35C7).
Diesen hex-key tragen sie auf den Geräten ein, die als Clients in diesem Netz fungieren. Dadurch wird der
Netzwerkverkehr durch sniffing vorerst geschützt sein.
"Verstecken" Sie das Netzwerk
Ein als hidden konfiguriertes Netzwerk entdeckt man nicht im vorübergehen. Wer sich mit seiner Station an
diesem Netzwerk an diesem Netz anmelden will, muss den Netzwerknamen kennen.
Tragen Sie die erlaubten MAC-Adressen in die Accesspoint-Konfiguration ein.
Ein Accesspoint ist dazu in der Lage, nicht in seiner Liste stehende Hardwareadressen abzuweisen. Das bietet
jedoch keinen wirklichen Schutz, sollte aber trotzdem so konfiguriert werden.
Benutzen Sie IPSec.
IPSec ist ein weiterer Schutz gegen unberechtigtes Lauschen und unberechtigten Zugriff auf das interne LAN
und kann bei korrekter Implementierung einen relativ guten Schutz gegen das unbefugte Netzseitige eindringen
/ mitlesen bieten.
IPSec ist sogar unter Windows 2000 leicht zu konfigurieren (klicken auf "Sicherheit anschalten"). Für die
Konfiguration unter Unix Betriebssystemen konsultieren Sie die entsprechenden man-pages und Info-Texte
zu IPSec.
Erst wenn Sie die zuletzt genannten Punkte erfolgreich realisiert haben, können Sie und wir davon ausgehen, dass das
interne LAN zumindest auf dem Funkwege grob gegen unbefugten Zugriff von aussen, also auch gegen Denial Of
Service (DoS) Attacken, gegen Ausspähen von Daten sowie deren Manipulation geschützt ist.
Die beschriebenen Schutzmassnahmen sind relativ leicht umzusetzen. Alles andere ist wohl der Kategorie "grob
fahrlässig" zuzuordnen..
Original:
http://www.ccc.de/thema/wavelan/
Links to this Page
