Bundesamt für Sicherheit in der Informationstechnik

B 4.6 WLAN

Logo WLAN

Beschreibung

Wireless LANs (WLANs) bieten die Möglichkeit, mit geringem Aufwand drahtlose lokale Netze aufzubauen oder bestehende drahtgebundene Netze zu erweitern. Mit WLAN werden hier drahtlose Netze bezeichnet, die auf der als IEEE 802.11 bezeichneten Gruppe von Standards basieren, die vom Institute of Electrical and Electronics Engineers (IEEE) spezifiziert wurden.

Aufgrund der einfachen Installation werden WLANs auch für temporär zu installierende Netze, wie z. B. auf Messen oder kleineren Veranstaltungen, verwendet. Darüber hinaus besteht die Möglichkeit, an öffentlichen Plätzen wie Flughäfen oder Bahnhöfen Netzzugänge über so genannte Hotspots anzubieten. Dadurch wird den mobilen Benutzern Verbindungen in das Internet oder in ihr Firmennetz ermöglicht. Die Kommunikation findet dann generell zwischen einem zentralen Zugangspunkt, dem Access Point, und der WLAN-Komponente des mobilen Endgeräts (z. B. über einen WLAN-USB-Stick oder entsprechende WLAN Netzkarte) statt.

Die Mehrzahl der derzeit am Markt verfügbaren WLAN Komponenten basieren auf der 2003 vom IEEE verabschiedeten Erweiterung 802.11g, die eine Übertragungsgeschwindigkeit von bis zu 54 Mbit/s definiert. Darüber hinaus gibt es einige Systeme, die nur die 1999 veröffentlichte Erweiterung IEEE 802.11b unterstützen, mit der bis zu 11 Mbit/s erreicht werden können. Beide Erweiterungen funken dabei im lizenzfreien 2,4 GHz Frequenzbereich.

Die Sicherheitsmechanismen sind im Standard IEEE 802.11 und in der Erweiterung IEEE 802.11i definiert. Im ursprünglichen Standard 802.11 ist Wired Equivalent Privacy (WEP) als Sicherheitsmechanismus definiert, WEP kann jedoch aufgrund mehrerer Schwachstellen nicht mehr als ausreichend sicher eingestuft werden. Aus diesem Grund entwickelte die Hersteller-Vereinigung WiFi-Alliance den Sicherheitsmechanismus Wi-Fi Protected Access (WPA). Hierbei wird neben einer Erweiterung der statischen Schlüssel, den sogenannten Pre-Shared Keys, auch eine dynamische Schlüsselverwaltung mittels TKIP eingeführt. Diese Mechanismen wurden in großen Teilen in die 2004 veröffentlichte offizielle Erweiterung IEEE 802.11i integriert, wobei dort, wie auch bei WPA2, der Advanced Encryption Standard ( AES ) zur Verschlüsselung verwendet wird, anstelle von RC4 bei WEP und WPA. Weiterhin ist in IEEE 802.11i das Counter Mode with CBC -MAC Protocol ( CCMP ) als Implementierungsmethode für AES zur Verschlüsselung und Integritätsprüfung definiert. Dieses Verfahren ist langfristig tragbar, erfordert aber im Gegensatz zu der TKIP-Variante neue Hardware. Als Authentisierungsmethode definiert die Erweiterung 802.11i das Extensible Authentication Protocol ( EAP ) gemäß dem Standard IEEE 802.1X. Weitere technische Hinweise zum sicheren Einsatz von WLAN ist beispielsweise in der Technischen Richtlinie Sicheres WLAN des BSI nachzulesen.

In diesem Baustein soll ein systematischer Weg aufgezeigt werden, wie ein Konzept zum Einsatz von WLANs innerhalb einer Institution erstellt und wie deren Umsetzung und Einbettung sichergestellt werden kann.

Gefährdungslage

Für den IT-Grundschutz werden im Rahmen der Nutzung von WLANs folgende typische Gefährdungen angenommen:

Höhere Gewalt

G 1.17 Ausfall oder Störung eines Funknetzes

Organisatorische Mängel

G 2.1 Fehlende oder unzureichende Regelungen
G 2.2 Unzureichende Kenntnis über Regelungen
G 2.4 Unzureichende Kontrolle der Sicherheitsmaßnahmen
G 2.117 Fehlende oder unzureichende Planung des WLAN-Einsatzes
G 2.118 Unzureichende Regelungen zum WLAN-Einsatz
G 2.119 Ungeeignete Auswahl von WLAN-Authentikationsverfahren
G 2.120 Ungeeignete Aufstellung von sicherheitsrelevanten IT-Systemen
G 2.121 Unzureichende Kontrolle von WLANs

Menschliche Fehlhandlungen

G 3.3 Nichtbeachtung von Sicherheitsmaßnahmen
G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.38 Konfigurations- und Bedienungsfehler
G 3.43 Ungeeigneter Umgang mit Passwörtern oder anderen Authentikationsmechanismen
G 3.84 Fehlerhafte Konfiguration der WLAN-Infrastruktur

Technisches Versagen

G 4.60 Unkontrollierte Ausbreitung der Funkwellen
G 4.61 Unzuverlässige oder fehlende WLAN-Sicherheitsmechanismen

Vorsätzliche Handlungen

G 5.71 Vertraulichkeitsverlust schützenswerter Informationen
G 5.137 Auswertung von Verbindungsdaten bei der drahtlosen Kommunikation
G 5.138 Angriffe auf WLAN-Komponenten
G 5.139 Abhören der WLAN-Kommunikation

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz

Im Rahmen des WLAN-Einsatzes sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Beschaffung bis zum Betrieb. Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Die Absicherung eines WLANs beginnt bereits in der Planungsphase. Nur durch eine durchdachte Strategie (siehe M 2.381 Festlegung einer Strategie für die WLAN-Nutzung ) und die Auswahl des richtigen WLAN-Standards und den damit verbundenen Kryptoverfahren (siehe M 2.383 Auswahl eines geeigneten WLAN-Standards und M 2.384 Auswahl geeigneter Kryptoverfahren für WLAN ) ist bereits der Grundstein für ein sicheres WLAN gelegt. Die Maßnahme M 3.58 Einführung in WLAN-Grundbegriffe hilft dabei, sich in der Begriffswelt für die Absicherung eines WLANs zurechtzufinden.

Alle getroffenen Entscheidungen über Sicherheitseinstellungen, ausgewählten WLAN-Standards, sowie die Regelungen für die Nutzung und Administration des WLANs, sind in einer WLAN-Sicherheitsrichtlinie niederzuschreiben (siehe M 2.382 Erstellung einer Sicherheitsrichtlinie zur WLAN-Nutzung ).

Beschaffung

Bei der Auswahl der WLAN-Komponenten ist die Maßnahme M 2.385 Geeignete Auswahl von WLAN-Komponenten anzuwenden. WLANs unterliegen einem schnellen Wandel bei Standards, Protokollen und Sicherheitsmechanismen. Daher befinden sich WLANs häufig in der Migration.

Für solche Migrationsphasen einzelner WLAN-Komponenten oder ganzer WLAN-Bereiche ist die Maßnahme M 2.386 Sorgfältige Planung notwendiger WLAN-Migrationsschritte zu beachten.

Umsetzung

Sind alle Komponenten beschafft und geht es um die Einrichtung des WLANs, so ist es nicht unerheblich, an welcher Stelle die Access Points positioniert werden (siehe M 1.63 Geeignete Aufstellung von Access Points ) oder wie das WLAN mit der eventuell bereits vorhandenen kabelgebundenen Infrastruktur verbunden wird (siehe M 5.139 Sichere Anbindung eines WLANs an ein LAN ). Aber auch die Konfiguration der unterschiedlichen WLAN-Komponenten, wie Access Points (siehe M 4.294 Sichere Konfiguration der Access Points ) oder WLAN-Clients (siehe M 4.295 Sichere Konfiguration der WLAN-Clients ), ist während der Installation stets gemäß der Sicherheitsrichtlinie und der festgelegten Strategie zu erfolgen.

In jedem Fall sind die Benutzer und Administratoren des WLANs ausreichend zu schulen, um Sicherheitsvorfälle zu minimieren und auf mögliche Gefahren bei einer unsachgemäßen Verwendung des WLANs hinzuweisen und zu sensibilisieren (siehe M 3.59 Schulung zum sicheren WLAN-Einsatz ).

Sollte das WLAN durch einen externen Dienstleister installiert, konfiguriert bzw. betreut werden, so ist auf jeden Fall die Maßnahme M 2.387 Installation, Konfiguration und Betreuung eines WLANs durch Dritte anzuwenden.

Betrieb

Ist das WLAN in Betrieb genommen und wurden alle WLAN-Anwender ausreichend geschult, so ist zum einen durch regelmäßige Audits (siehe M 4.298 Regelmäßige Audits der WLAN-Komponenten ) sicherzustellen, dass alle getroffenen Sicherheitseinstellungen noch aktuell sind und durch regelmäßig Sicherheitschecks (siehe M 5.141 Regelmäßige Sicherheitschecks in WLANs ), ob diese Einstellungen auch greifen. Darüber hinaus ist stets ein sicherer Betrieb aller WLAN-Komponenten zu gewährleisten (siehe M 4.297 Sicherer Betrieb der WLAN-Komponenten ).

Unumgänglich ist ein Schlüsselmanagement für die im WLAN benutzten kryptographischen Schlüssel zur Absicherung der Kommunikation (siehe M 2.388 Geeignetes WLAN-Schlüsselmanagement ). Eine WLAN-Management-Lösung kann die Verwaltung der Schlüssel erleichtern und das WLAN kann zentral administriert werden (siehe M 4.296 Einsatz einer geeigneten WLAN-Management-Lösung ).

Aussonderung

Werden WLAN-Komponenten außer Betrieb genommen, so sind entsprechende Konfigurationseinstellungen, wie z. B. Netzname oder SSID, wieder auf Standard-Werte zurückzusetzen und eventuell auf der WLAN-Komponente gespeicherte Informationen zur Absicherung des Netzverkehrs über das WLAN oder Zugangsinformationen zu löschen (siehe M 2.390 Außerbetriebnahme von WLAN-Komponenten ).

Notfallvorsorge

Wurden Angriffe auf ein WLAN erkannt, so müssen sowohl die Benutzer, als auch die Administratoren des WLANs wissen, wie sie sich zu verhalten haben (siehe M 6.102 Verhaltensregeln bei WLAN-Sicherheitsvorfällen ). Hieraus ergibt sich ein Notfallplan, welche Schritte notwendig und welche Personen zu informieren sind, wenn ein Sicherheitsvorfall eintritt. Darüber hinaus kann es notwendig sein, ein redundantes WLAN aufzubauen, um schnell einen Ersatz für wichtige Kommunikationsverbindungen zu schaffen. Dabei ist stets darauf zu achten, dass das redundante WLAN denselben Sicherheitsanforderungen wie das normale WLANs entspricht. Für das redundante WLAN sind daher ebenfalls alle Maßnahmen dieses Bausteins anzuwenden, da es als eigenes WLAN zu betrachten ist. Allgemeine Hinweise zu redundanten Kommunikationsverbindungen stehen in der Maßnahme M 6.75 Redundante Kommunikationsverbindungen .

Damit WLANs sicher eingesetzt werden können, müssen auch damit gekoppelte Clients sicher konfiguriert sein und regelmäßig gewartet und administriert werden. Geeignete Sicherheitsempfehlungen für Clients sind in den entsprechenden Bausteinen der IT-Grundschutz-Kataloge beschrieben.

Nachfolgend wird das Maßnahmenbündel für den Einsatz von WLANs vorgestellt.

Planung und Konzeption

M 2.381 (A) Festlegung einer Strategie für die WLAN-Nutzung
M 2.382 (A) Erstellung einer Sicherheitsrichtlinie zur WLAN-Nutzung
M 2.383 (A) Auswahl eines geeigneten WLAN-Standards
M 2.384 (A) Auswahl geeigneter Kryptoverfahren für WLAN
M 3.58 (W) Einführung in WLAN-Grundbegriffe
M 5.138 (Z) Einsatz von RADIUS-Servern

Beschaffung

M 2.385 (B) Geeignete Auswahl von WLAN-Komponenten
M 2.386 (Z) Sorgfältige Planung notwendiger WLAN-Migrationsschritte

Umsetzung

M 1.63 (B) Geeignete Aufstellung von Access Points
M 2.387 (Z) Installation, Konfiguration und Betreuung eines WLANs durch Dritte
M 3.59 (C) Schulung zum sicheren WLAN-Einsatz
M 4.294 (A) Sichere Konfiguration der Access Points
M 4.295 (A) Sichere Konfiguration der WLAN-Clients
M 5.139 (A) Sichere Anbindung eines WLANs an ein LAN
M 5.140 (C) Aufbau eines Distribution Systems

Betrieb

M 2.388 (B) Geeignetes WLAN-Schlüsselmanagement
M 2.389 (Z) Sichere Nutzung von Hotspots
M 4.293 (Z) Sicherer Betrieb von Hotspots
M 4.296 (C) Einsatz einer geeigneten WLAN-Management-Lösung
M 4.297 (A) Sicherer Betrieb der WLAN-Komponenten
M 4.298 (B) Regelmäßige Audits der WLAN-Komponenten
M 5.141 (B) Regelmäßige Sicherheitschecks in WLANs

Aussonderung

M 2.390 (C) Außerbetriebnahme von WLAN-Komponenten

Notfallvorsorge

M 6.75 (Z) Redundante Kommunikationsverbindungen
M 6.102 (A) Verhaltensregeln bei WLAN-Sicherheitsvorfällen

Stand: 12. EL Stand 2011