Insecurity by Design: WPA1 und WPA2 unsicher

Sicherheits-Updates sollten unbedingt eingespielt werden

Ein Beitrag von unserem Gastautor Nick Hunter, Senior Technical Manager bei Venafi

[datensicherheit.de, 18.10.2017] Seit wenigen Tagen macht eine kritische Schwachstelle in den WLAN-Verschlüsselungsstandards WPA1 und WPA2 Schlagzeilen. Die Lage ist ernst und das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät dazu, WLAN-Netzwerke bis zur Verfügbarkeit von Sicherheits-Updates nicht für Online-Transaktionen wie Online Banking und Online Shopping oder zur Übertragung anderer sensitiver Daten zu nutzen.

Private Nutzer und Unternehmen gleichermaßen bedroht

In der Tat sind WPA1 und WPA2 nicht länger sicher und bieten keinen hinreichenden Schutz mehr, um Wi-Fi-Kommunikation abzusichern. Bedroht sind private Nutzer und Unternehmen. Die Ciphers WPA-TKIP, AES-CCMP, und GCMP betreffen zudem auch Linux und Apple-Geräte. Laut einer Untersuchung sind aktuell 41 Prozent aller Androidgeräte verwundbar, solange noch keine neue Firmware installiert und kein HTTPS zum Schutz der Verbindungen eingesetzt wurde. Dann kann der Traffic durch Angreifer mitgehört und Malware in Websites eingepflanzt werden.

IoT-Geräte sind besonders kritisch

Besonders kritisch ist zudem, dass viele IoT-Geräte kein HTTPS unterstützen und nicht durch Verschlüsselung geschützt sind. Es wird an sich schon schwierig, für alle Geräte und Betriebssysteme Patches auszurollen, um die Schwachstellen zu fixen. HTTPS allein kann nicht immer angewendet werden, und selbst wenn, ist dies immer noch kein Allheilmittel. Die richtige Konfiguration von HTTPS liegt bei den Homepagebetreibern, und häufig werden hier nicht auf starke Verschlüsselungsmechanismen zurückgegriffen, da man sich vor Kompatibilitätsproblemen fürchtet. Der Vorfall macht deutlich, dass der richtigen Implementierung und Verwaltung von Verschlüsselung dringend eine höhere Priorität eingeräumt werden muss.

Weitere Informationen zum Thema:

datensicherheit.de, 17.10.2017
Mehrschichtige Sicherheit reduziert Auswirkung der WPA2-Schwachstelle