IT-Sicherheit: So schließen Sie die gefährliche WLAN-Lücke

IT-Sicherheit: So schließen Sie die gefährliche WLAN-Lücke

Bild vergrößern

"Hier gibt's freies WLAN" steht auf den Gehwegplatten am Marktplatz in Halle/Saale.

von Thomas Kuhn

Eine brisante Lücke in der WLAN-Verschlüsselung ermöglicht es Hackern, auch in vermeintlich sicheren Funkverbindungen Passwörter und andere sensible Daten mitzulesen. Was Sie jetzt wissen müssen und wie Sie sich schützen.

Eigentlich hat das Verschlüsselungsverfahren WPA2 einen exzellenten Ruf, wenn es darum geht, Computer, Smartphones oder vernetzte Büro- und Hausgeräte sicher mit schnurlosen WLAN-Basisstationen zu verbinden und gegen Mitlesen durch Unbefugte zu schützen. Nun aber haben Mathy Vanhoef und Frank Piessens, zwei belgische IT-Sicherheitsforscher der Universität Leuven, eine schwere Schwachstelle in der Verschlüsselung entdeckt (die technischen Details haben sie hier publiziert).

Danach sind Hacker selbst bei korrekt verschlüsselten Funknetzen in der Lage, sich in die Verbindung einzuklinken und beispielsweise Anmeldedaten, Nutzernamen und Passworte im Datenstrom mitzulesen. Die Lücke ist so brisant, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) die offizielle Warnung veröffentlicht hat, "WLAN-Netzwerke bis zur Verfügbarkeit von Sicherheits-Updates nicht für Online-Transaktionen wie Online Banking und Online-Shopping oder zur Übertragung anderer sensitiver Daten zu nutzen". Zwar gibt es nach Angaben des WLAN-Herstellerverbandes Wi-Fi Alliance bisher keine Anzeichen, dass die Lücke bereits von Angreifern ausgenutzt wurde. Doch das ist zunächst einmal nur eine erste, vorläufige Einschätzung.

Anzeige

Wer ist betroffen?

Gefährdet ist so gut wie jeder Nutzer eines Smartphones, Laptops oder sonstigen Gerätes, das via WLAN aufs Internet zugreift oder vernetzt ist. Die KRACK genannte Sicherheitslücke (für Key Re-use AttaCK) ist deshalb so brisant, weil sie ausnahmslos alle aktuellen Betriebssysteme betrifft - also Android, iOS, Linux, MacOS und Windows. Und sie existiert bei Smartphones und Basisstationen gleichermaßen, weil sie quasi technischer Bestandteil einer Basisfunktion des Verschlüsselungsverfahrens WPA2 ist.

IT-Sicherheit "Die größte Bedrohung sind die Mitarbeiter"

Cyber-Angriffe auf wichtige Infrastruktur-Einrichtungen nehmen zu. Auch Angriffe auf Unternehmen häufen sich. Eine Sicherheitsexpertin verrät, was die größten Risiken für Firmen sind und wie die sich schützen können.

Was zu tun istEs gibt eine Menge kostenlose Programme, die alle installierten Applikationen auflisten und sie verwalten. Ein Windows-Beispiel ist Autoruns, das zudem aufzeigt, welche Software beim Systemstart mit geladen wird. Das ist gerade in Bezug auf Schadprogramme äußerst aussagekräftig - aber auch kompliziert, weil nicht jeder Anwender weiß, welche der Programme notwendig und sinnvoll und welche überflüssig und schädlich sind. Hier hilft eine Suche im Web weiter - oder die Deaktivierung von Software, die sich nicht zuordnen lässt. Wird das Programm doch benötigt, wird Ihnen das System das schon mitteilen… Quelle: AP

Zwar ist es üblich, dass Sicherheitsforscher beim Entdecken von Lücken die IT-Hersteller vorab über ihre Erkenntnisse informieren. Gerade bei besonders brisanten Schwachstellen (insbesondere, wenn das Risiko besteht, dass sie möglicherweise durch Hacker bereits ausgenutzt werden) ist der zeitliche Vorlauf zwischen Warnung der Industrie und Veröffentlichung der Information über die Lücke aber häufig sehr kurz. Dann haben die Hardwarehersteller nicht unmittelbar eine Reparatursoftware - einen sogenannten Sicherheits-Patch - parat. So ist es aktuell auch bei KRACK.

Anwender müssen sich also erst einmal selbst schützen. Mehr dazu lesen Sie auf Seite zwei.

Wo liegt das Problem?

Was KRACK so brisant macht ist, dass das Problem nicht - wie sonst oft - durch einen Programmfehler in einzelnen Geräten ausgelöst wird. Vielmehr liegt die Lücke im Konzept des Verschlüsselungsverfahrens selbst. Die belgischen Forscher nutzen nämlich eine Kernfunktion von WPA2 aus. Die soll eigentlich ermöglichen, dass die Verbindung zu einem zuvor bereits genutztem WLAN-Zugang auch bei schwachem, wackeligem Netz rasch wieder aufgebaut werden kann. Möglich macht das eine Funktion, die in den WLAN-Standards 802.11r und 802.11s definiert und in vielen Routern und Endgeräten aktiviert ist.

Weil dabei Basisstation und Endgerät teils mehrfach einen temporären Code austauschen, ist es möglich, dass sich Hacker in diesen Schlüsselaustausch einklinken. Gegenüber dem Endgerät tun sie dabei so, als seien sie die Basisstation, gegenüber der Basisstation geben sie sich als Endgerät aus. Dieses Angriffsmodell ist als "Man-in-the-Middle-Attack" bekannt; ein Angriff mit dem Feind in der Mitte zwischen den ahnungslosen Beteiligten.

Das WPA2-Verfahren lässt es nun zu, dass - zumindest, wenn das Endgerät schon einmal korrekt mit der WLAN-Basisstation verbunden war - Funkverbindungen aufgebaut werden, ohne dass noch einmal der geheime Netzzugangsschlüssel selbst zwischen Endgerät und Basisstation ausgetauscht wird. Der Angreifer muss ihn also gar nicht kennen, um sich in die Verbindung einzuschalten. Stattdessen reicht es, einen temporären Code abzugleichen, der im Normalfall nur einmal gültig ist.

Vanhoef und Piessens ist es aber gelungen, diesen Code sozusagen zu recyceln; daher der Name Key Re-Use Attack. Dieser Fehler im Sicherheitskonzept von WPA2 muss nun von allen Herstellern behoben werden.

PremiumMobilfunk 5G Das Tor zum Supernetz

Im Hamburger Hafen bauen Techniker am schnellsten Netz der Welt: 5G könnte Europa weit nach vorne bringen – wenn da nicht eine Hürde wäre. Wie Europas Mobilfunkbetreiber verlorenes Terrain zurückerobern wollen.

Quelle: Illustration: Miriam Migliazzi & Mart Klein

Was machen die Smartphone- und Tablet-Hersteller?

Im Fall von Android-Geräten sprechen die belgischen Sicherheitsforscher von einer "besonders verheerenden Variante" des Angriffs, die den Zugriff auf die sensiblen Daten besonders einfach mache. Als besonders gefährdet gilt dabei gilt die ältere Android-Version 6.0, die Schätzungen zufolge noch auf gut 40 Prozent der mobilen Geräte läuft. Google hat die grundsätzliche Anfälligkeit seiner Android-Software in einer Stellungnahme gegenüber Cnet.com bestätigt und angekündigt, für "die betroffenen Geräte in den nächsten Wochen" Reparaturprogramme bereitzustellen.

Angesichts der potenziellen Masse betroffener Android-Systeme klingt das allerdings überraschend geruhsam.

Problematisch ist zudem, dass - selbst wenn Google im Rahmen seiner monatlichen Sicherheits-Updates auch einen Schutz gegen KRACK veröffentlicht - diese Updates nur für neuere Android-Versionen verfügbar sind. Und zudem verteilt auch längst nicht jeder Smartphone-Hersteller diese Updates zeitnah an Nutzer seiner Telefone weiter. Laut einer Auswertung des Magazins Connect sind nur wenige Hersteller so schnell wie Google selbst, manche patchen nur zweimonatlich, andere - speziell viele Billighersteller - reichen die Updates gar nicht weiter. Und wer ein Android-Handy besitzt, das älter als zwei Jahre ist, bekommt meist ohnehin keinerlei Aktualisierung mehr.

Welcher Sicherheits-Patch auf dem privaten Android-Telefon installiert ist, zeigt sich, wenn der Nutzer die Einstellungen öffnet und den Unterpunkt "Über das Telefon" (oder eine ähnliche Bezeichnung) aufruft. Dort findet sich unter "Android Sicherheitspatch" dessen Veröffentlichungsdatum. Grundsätzlich gilt: Je jünger, desto besser. Auch der Patch vom 1. Oktober aber behebt die KRACK-Lücke noch nicht.

Apples neues Betriebssystem iOS 11 gilt Sicherheitsforschern zufolge schon aktuell als recht angriffsresistent gegen die neuen WLAN-Angriffe. "Krack ist zwar eine denkbare aber eher uninteressante Bedrohung", schreibt etwa der Sicherheitsexperte Kevin Beaumont. Online-Berichten zufolge testet Apple aktuell aber noch zusätzliche Reparaturprogramme für die aktuellen Versionen seiner Betriebssysteme iOS, watchOS, tvOS und macOS. Anders sieht es aus bei Nutzern älterer iOS-Versionen. Wer dort sicher gehen will, dass niemand mitliest, muss über die Einstellungen-App auf iOS 11 aktualisieren. Besitzer älterer Geräte (wie das iPhone 5, 5c und den iPads der vierten Generation), für die Apple kein iOS 11 mehr anbietet, gehen vorerst leer aus.

Statt auf Hilfe vom Hersteller zu hoffen, bleibt auch da nur der Selbstschutz - siehe Seite zwei.

Anzeige
Zur Startseite
-0%1%2%3%4%5%6%7%8%9%10%11%12%13%14%15%16%17%18%19%20%21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%100%