Internet: Wireless LAN Unsicherheit

... und der Nachbar kann mitsurfen, und die Möchtegernhacker können meine Daten klauen!

Gegenwärtig lassen sich WLANs nur effektiv mit WiFi Protected Access,. kurz "WPA" und langen bzw. dynamischen Passphrases oder einem neuen Standard namens 802.11i schützen. 802.11i-Hardware ist jedoch teuerer. Mittlerweile haben die neueren Geräte 802.11i implementiert, einge der besseren "Altgeräte" lassen sich sogar per Firmware-Upgrade aktualisieren. Den 802.11i-Standard bezeichnet man auch als WPA2.

Mit MDE/MDT (Mobilen Erfassungsgeräten und Handscannern) auf Windows CE 4.2 Basis ist man etwas mehr eingeschränkt, da die Client-Funkhardware auch WPA resp. WPA2 unterstützen müsste, was die meisten Module aber nicht tun. Oder aber es gibt keine Treiber für Windows CE dafür. Eine Ausnahme bilden Geräte, die Funkwerk (ARtem) OEM-Module verbaut haben, wie z.B. das Höft&Wessel Skeye allegro MDT. Hier unterstützt der Windows CE-Treiber auch WPA-Verschlüsselung - allerdings nur mit TKIP-Protokoll.

Mehr Details auch in einem Artikel bei Heise Security.

Folgende Sicherheitsstufen sollten Sie berücksichtigen:

Maßnahme	Wirkung
Benutzung von WEP (wenn WPA nicht unterstützt wird) --> unbedingt WEP, offen auswählen, nicht WEP mit Passphrase-Authentisierung	WEP64=40Bit bietet für 15 – 20 Minuten Schutz WEP128=104Bit bietet je nach Datenaufkommen für 1-2 Stunden Schutz
Niemandem erzählen, dass Sie ein Wireless LAN haben	Hacker und „Warchalker und Wardriver“ werden Sie trotzdem finden
(E)SSID-Broadcast abschalten	Kann auch aus anderen WLAN Nachrichten rausgelesen werden
MAC-Adressen Authentifizierung	MAC-Adressen können zwar aus der Luft „ausgelesen“ und kopiert werden, eine Positivliste der MAC-Adressen auf den Accesspoints zu pflegen und nur registrierte MAC hereinzulassen, kann zusätzlich nicht schaden, da jede zusätzliche Hürde das Hacken erschwert.
(E)SSID mit langen Namen und Sonderzeichen	keinen Aufschluß über Besitzer oder Standort des Accesspoints geben (RAeMuellerBerlin als Name wäre z.B. sträflich leichtsinnig)
„Ich benötige keine Sicherheit, ich habe keine sensiblen Daten!”	was meint Ihre Versicherung dazu, wenn etwas passiert? o Verlust an Bandbreite o Vandalismus o Haftung für das Hosten von Eindringlingen! o Hosting von Spam, DOS Attacken auf andere Unternehmen. o Hosting von Datendiebstahl (MP3) o Verlust von Reputation o ohne Flatrate erhöhte Kosten durch Mitsürfer
Die Wireless LAN Basisstation sollte NIEMALS im Produktivnetz aufgestellt werden	wichtige Daten sind durch eine Firewall geschützt und nicht per WLAN errreichbar
Schaffen einer Demilitarisierten Zone (DMZ) mittels einer Firewall	Sicherheit durch Firewall, physikalische Netztrennung
Zugriff auf das Netzwerk NUR für CITRIX bzw. Microsoft Terminal Services, Verwenden der höchstmöglichen Verschlüsselung von Citrix bzw. RDP	Zusätzliche Sicherheitsschranke, da Kommunikation nur über einen Port. Kein direkter LAN-Zugriff ohne Authentifizierung
WPA oder WPA2 Verschlüsselung auswählen (wenn möglich auf AES begrenzen)	zweithöchster Schutz mit WPA2-PSK und AES und 63stelliger Komplex-Passphrase
Radius-Server (Windows Internet Authentication Service, im Server enthalten) installieren und nutzen	802.1X Authentifizierung durch viele Access Points unterstützt. Enterprise-Sicherheitsmechanismus. Mit WPA2/AES und Zertifikaten die höchste Sicherheitsstufe

Unter Windows xp mit Service Pack 2 werden softwareseitig (Clientseitig) WPA-Verschlüsselungsverfahren unterstützt. Am sichersten ist dabei die Verschlüsselung nach dem AES Verfahren, die meisten WLAN-Basisstationen (Access Points) unterstützen momentan jedoch nur "TKIP" als Encryption Suite.
Zusätzlich gibt es einen Hotfix "WindowsXP-KB893357-v2-x86-DEU.exe" von Microsoft, der Windows xpsp2 um die WPA2-Software erweitert. Sofern die Funk-Client-Hardware dies unterstützt, lassen sich auch alle Kombinationen von WPA2 auswählen.

Für den Einsatz in Besprechungsräumen oder kleineren Umgebungen sind die Office-Connect Geräte von 3Com gut geeignet.
* der Office Connect 54G Access Point ist handlich, platzsparend, hat eine austauschbare Antenne und kostet etwa 100 Euro. Features wie WPA2 (incl. WPA2 Enterprise) werden unterstützt.
* Möchte man mit 3Com-Client-Hardware mit bis zu 108MBit/s funken, muss man den Office Connect a/b/g Access Point nehmen. Dieser unterstützt aber kein WPA2, sondern nur WPA/TKIP und WPA Enterprise.

Der Access-Point bekommt nach Einstöpseln erstmal via DHCP eine eigene IP. Ein Discovery-Tool auf der mitgelieferten CD (das man nicht installieren, sondern direkt von der CD starten kann), durchsucht das Netzwerk nach Access Points. Danach läßt sich der AP über Port 80 mit dem normalen Browser über eine gut verständliche Weboberfläche administrieren.
Dabei ändert man als Erstes das Adminpasswort und kann dem AP eine feste IP, Netzmaske und Default Gateway vergeben.

Wenn der Nachbar die Kommunikation stört, so liegt das daran, das er auf dem gleichen Kanal funkt oder eine Mikrowelle an hat (Kanal 11 wird von Mikrowellen ausgestrahlt). Wählen Sie daher, wenn Sie Störungen vermeiden möchten - auch dann, wenn Sie mehrere Access Points einsetzen, immer unterschiedliche Funkkanäle. Zwischen den Kanälen von 2 Access-Points müssen immer 5 Kanäle frei sein.
Möglich sind demnach die Kanäle: 1,6,11 oder 2,7,12 oder 3,8,13 (in Japan auch Kanal 14). Die maximale Sendeleistung eines Access Points darf 100mW betragen, das sind 20dB. Wenn Sie externe Antennen verwenden, die einen Gewinn bringen, müssen Sie die Sendeleistung des Access Points verringern, um diesen gesetzlich vorgeschriebenen Wert nicht zu überschreiten.