02.11.2017

Schlupfloch im WLAN-Verschlüsselungsstandard WPA2 entdeckt

Beim Verschlüsselungsverfahren WPA2 wurde eine gravierende Sicherheitslücke entdeckt. Das Verfahren sorgt eigentlich für sichere Verbindungen in einem WLAN-Hotspot. Das kann nun nicht mehr garantiert werden. Dennoch gibt es keinen Grund zur Panik: Das Schlupfloch kann mit einem Update wieder geschlossen werden.

Sicherheitsstandard wird zum Sicherheitsrisiko

WPA2 soll für sicheres Surfen im WLAN sorgen. Der Standard ist dafür zuständig, dass sich nur berechtigte Nutzer in ein WLAN einloggen können. Zudem soll WPA2 verhindern, dass die drahtlos übertragenen Daten von Unbefugten mitgeschnitten und auf dem Übertragungsweg manipuliert werden können.

 

Doch jetzt scheint der Standard selbst zum Sicherheitsrisiko geworden zu sein. Sicherheitsforscher der Katholischen Universität Löwen haben gravierende Sicherheitslücken in dem Verschlüsselungsprotokoll WPA2 entdeckt. WPA2 nutzt ein vierstufiges Verfahren, mit dem die Schlüssel von Sender und Empfänger in einem WLAN ausgetauscht werden. Im dritten Schritt konnte der Schlüssel laut Forscher mehrmals gesendet werden. Diese Sicherheitslücke habe ermöglicht, die Verschlüsselung zu knacken.

 

BSI rät von Online-Banking im WLAN ab

Mit der sogenannten „KRACK“-Attacke können laut des belgischen Sicherheitsforschers Mathy Vanhoef Angreifer die WPA2-Verschlüsselung aufbrechen, diese belauschen und manipulieren. Die Konsequenzen dieser Sicherheitslücke sind ungewiss. Fachleute der Wifi Alliance verwiesen darauf, dass zusätzliche Verschlüsselungs-Schichten wie HTTPS (beispielsweise beim Online-Banking) oder virtuelle private Netzwerke (VPN) weiterhin vor der KRACK-Attacke geschützt bleiben. Daher gelten auch Anwendungen wie Online-Banking oder die Kommunikation mit WhatsApp über WLAN weiterhin als sicher.

 

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) riet hingegen davon ab, in einem mit WPA2 gesicherten WLAN Online-Banking-Geschäfte zu verrichten. Selbst vom Einkaufen im Netz über WLAN solle man laut BSI Abstand nehmen – und dass, obwohl nahezu alle Online-Händler einen verschlüsselten Übertragungsweg anbieten, der unabhängig vom WPA2-Standard ist. Stattdessen solle man im Moment lieber auf das kabelgebundene Surfen setzen.

 

Bisher nur theoretische Gefahr

Laut Branchenverband WiFi Alliance gibt es bisher keine Anzeichen dafür, dass die von den Forschern entdeckten Sicherheitslücken bereits von Kriminellen ausgenutzt werden. Vanhoef erklärte, dass es jetzt nichts nütze, sein WLAN-Passwort zu ändern. Auch das schütze vor einer Attacke nicht. Es wird vermutet, dass Geräte aller Hersteller von den Fehlern betroffen seien. Ein Grund zur Panik sei das aber nicht, da die Lücken durch ein Software-Update geschlossen werden können.

 

„Das sollte aber nicht zur Fehleinschätzung führen, dass die Attacken in der Praxis nicht zu einem Missbrauch führen können“, erklärte Vanhoef. Er rät Nutzern daher, sich bei den Herstellern ihrer WLAN-Geräte nach einem „Patch“ zu erkundigen.

 

KRACK-Angriff zielt auf Einzelnen ab

Die US-amerikanischen Netzwerkausrüster Aruba und Ubiquiti stellen bereits Sicherheitsupdates bereit. Der deutsche FritzBox-Hersteller AVM erklärte, man werde „falls notwendig wie gewohnt ein Update bereitstellen“.

 

Im Gegensatz zu anderen kritischen Sicherheitslücken wie dem berüchtigten „Heartbleed“-Fehler kann der Hacker bei KRACK nicht millionenfach über das Netz angreifen. Stattdessen muss sich der Angreifer jeweils in der räumlichen Nähe des WLAN-Hotspots befinden.

 

Zurück