Bundesamt für Sicherheit in der Informationstechnik

M 4.293 Sicherer Betrieb von Hotspots

Verantwortlich für Initiierung: Behörden-/Unternehmensleitung, Leiter IT

Verantwortlich für Umsetzung: Administrator, IT-Sicherheitsbeauftragter, Leiter IT

Zweck eines Hotspots ist im Allgemeinen (fremden) Benutzern einen einfachen Zugang zum Internet zu erlauben. Um einen Hotspot dauerhaft und sicher betreiben zu können, ist eine erfolgreiche Authentisierung aller Benutzer am Hotspot erforderlich. Gebräuchliche und ansatzweise sichere Verfahren sind beispielsweise:

  • Webauthentisierung
    Hierbei gibt der Benutzer über eine Webschnittstelle seine Zugangsdaten (IP-Adresse, Benutzername, Passwort etc.) ein. Dies sollte natürlich über SSL/TLS verschlüsselt erfolgen. Nach einer erfolgreichen Anmeldung wird der Zugang für den Client freigeschaltet.
  • PPTP (Point to Point Tunnel Protocol)
    PPTP ist ein typisches Tunneling-Protokoll für VPNs, also Protokollen, die verwendet werden, um Daten bei der Übertragung zu verschlüsseln, durch den Tunnel zu übertragen und die Verbindung zu verwalten. Als kryptographische Verfahren stehen bei PPTP RC4 mit 40 oder 128 Bit zur Verschlüsselung sowie PAP oder CHAP zur Authentisierung zur Auswahl. In gängigen Implementierungen dieses Tunnel-Verfahrens wurden Sicherheitslücken entdeckt, insbesondere in Zusammenhang mit schwachen Passwörtern. Ohne zusätzliche Sicherheitsmechanismen sollte PPTP daher nicht eingesetzt werden.
  • IPSec
    IPSec bietet starke kryptographische Verfahren und eine gegenseitige Authentisierung der Kommunikationspartner. Diese sollte sinnvollerweise auf Zertifikaten basieren. Deren Verwendung ist aber einerseits noch nicht in allen IPsec-Implementationen vorgesehen, zum anderen müssen diese erst geeignet generiert und verteilt werden (typisches PKI-Problem).
  • WLAN-spezifische Sicherheitsmechanismen wie WEP, IEEE 802.1X, WPA, WPA2, TKIP, IEEE 802.11i
    Bei allen WLAN-spezifischen Sicherheitsmechanismen soll für Sicherheit auf der Funkstrecke gesorgt werden. Diese müssen geeignet kombiniert werden. Aufgrund der schnellen Entwicklung in diesen Bereichen sind wegen des Verbreitungsgrads bzw. der Sicherheitsmängel dieser Verfahren nicht alle für die Verwendung bei Hotspots geeignet.

Hotspot-Anbieter sollten geeignete Authentisierungsverfahren anbieten.

Beim Betrieb von Hotspots sollten außerdem folgende Sicherheitsmaßnahmen umgesetzt werden:

  • Access Points, die als Hotspot betrieben werden sollen, dürfen nicht direkt mit einem LAN verbunden werden, sondern nur über ein Sicherheitsgateway.
  • Die Kommunikation von WLAN-Clients untereinander, die sogenannte Inter-Client-Kommunikation, sollte komplett unterbunden werden.
  • Die Funkschnittstelle sollte mit Funk-Analyse-Systemen überwacht werden, um fremde Access Points und Hotspots zu erkennen.
  • Die Authentisierungsdaten sollten über die Funkstrecke, also zwischen WLAN-Client und Access Point immer verschlüsselt übertragen werden. Bei der weiteren Übertragung der Daten von einem Hotspot-Access Point zu den Authentisierungssystemen (beispielsweise einem RADIUS-Server) sind geeignete Verschlüsselungsverfahren wie SSL oder IPSec anzuwenden, vor allem bei der Nutzung öffentlicher Netze.
  • Falls für die Authentisierung Zertifikate verwendet werden, sollten diese von einer geeigneten Zertifizierungsinstanz signiert sein. Außerdem sollte der Fingerprint des Serverzertifikats veröffentlicht werden, damit Benutzer die Echtheit überprüfen können.
  • Jeder Betreiber eines Hotspots sollte mindestens ein geeignetes Verfahren zur Verschlüsselung der Funkstrecke anbieten, damit die Benutzer ihre Daten vor unbefugtem Mitlesen schützen können. Nicht alle Benutzer haben allerdings ein ausgeprägtes Interesse am Schutz ihrer Daten und Systeme. Es können auch die technischen Voraussetzungen für die Nutzung von angebotenen Verschlüsselungsverfahren fehlen. Daher sollte deren Nutzung optional sein. Die Benutzer sollten aber unbedingt auf die Möglichkeit und die Vorteile der verschlüsselten Übertragung hingewiesen werden.
  • Viele Benutzer wollen über einen Hotspot beispielsweise per VPN auf das Netz der eigenen Institution zugreifen. Hierfür müssen diese die organisationseigenen Sicherheitsvorgaben umsetzen können. Daher sollte die technische Ausgestaltung des Hotspots die Nutzung typischer Sicherheitsmaßnahmen wie IPsec ermöglichen.

Außerdem sollten Hotspot-Betreiber regelmäßig die Protokolle daraufhin überprüfen, ob hier Unregelmäßigkeiten zu erkennen sind, also beispielsweise die Zahl der Benutzer die der angemeldeten Gäste übersteigt.

Anbieter von öffentlichen Hotspots haben darüber hinaus die jeweiligen gesetzlichen und regulatorischen Vorgaben zu beachten.

Den Benutzern sind in geeigneter Weise vorab die Nutzungsbedingungen mitzuteilen. In den Nutzungsbedingungen sollten Hinweise darüber zu finden sein, ob die Nutzung kostenfrei oder kostenpflichtig ist (mit Angabe der entsprechenden Preise), aber auch, welche Leistungen, vor allem welche Sicherheitsmechanismen, bei der Verwendung des Hotspots angeboten werden. Der Benutzer muss bestätigen, dass er die Nutzungsbedingungen zur Kenntnis genommen hat und akzeptiert. Bei einer Webauthentisierung könnten die Nutzungsbedingung beispielsweise auf einer Webseite präsentiert und die Zustimmung zu den Nutzungsbedingungen eingeholt werden.

Die Sicherheitsrichtlinien, die Hotspot-Benutzer beachten sollten, sind in M 2.389 Sichere Nutzung von Hotspots beschrieben.

Prüffragen:

  • Ist sichergestellt, dass die Freischaltung des Clients erst nach erfolgreicher Anmeldeprozedur erfolgt?

  • Einsatz von Zertifikaten zur Authentisierung: Sind die eingesetzten Zertifikate von einer öffentlichen Zertifizierungsinstanz signiert?

  • Wird seitens des Hotspots-Betreibers ein Verfahren zur Verschlüsselung der WLAN -Kommunikation angeboten?

  • Wird der Einsatz eines VPN innerhalb des WLAN unterstützt?

  • Erfolgt seitens des Hotspot-Betreibers eine regelmäßige Auswertung der Protokolldaten, um beispielsweise Unregelmäßigkeiten rechtzeitig zu erkennen?

  • Erfolgt der Betrieb von öffentlichen Hotspots unter Beachtung der gesetzlichen und regulatorischen Vorgaben?

  • Werden die Benutzer in geeigneter Weise vorab über die Nutzungsbedingungen des Hotspots informiert ( z. B. Kosten, Leistungen, Sicherheitsmechanismen) und muss diese zur Kenntnis nehmen und akzeptieren?

  • Sind die Nutzungsbedingungen des Hotspots für jeden Benutzer transparent und verständlich?

  • Existiert eine Regelung zum Schutz des kabelgebundenen LAN ?

  • Wird die Inter-Client-Kommunikation unterbunden?

  • Wird die Funkschnittstelle überwacht, um fremde Access Points und Hotspots zu erkennen?

  • Entsprechen die genutzten Kommunikationsprotokolle und Schnittstellen bei der Authentisierung dem aktuellen Stand der Technik?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK