Netzwerksicherheit: WPA2 weist kritische Lücken auf

Offenbar klaffen im WPA2-Standard kritische Sicherheitslücken. Die gute Nachricht: Netzwerkausrüster können die Lücken wohl mit Updates stopfen.

(Foto: Nmedia - Fotolia.com)

Sicherheitsforscher der Katholischen Universität Löwen haben gravierende Sicherheitslücken in dem Verschlüsselungsprotokoll WPA2 entdeckt, mit dem WLAN-Hotspots abgesichert werden. Mit der »KRACK»«getauften Attacke können demnach Angreifer die WPA2-Verschlüsselung aufbrechen, belauschen und manipulieren, berichtete der belgische Sicherheitsforscher Mathy Vanhoef. Das Computer Emergency Response Team (CERT) der USA warnte einem Bericht von »ArsTechnica« zufolge bereits vor den Folgen der entdeckten Lücken.

Über die Konsequenzen aus der KRACK-Attacke waren sich Experten am Montag nicht einig: Fachleute der Wifi Alliance verwiesen darauf, dass zusätzliche Verschlüsselungs-Schichten wie HTTPS (beispielsweise beim Online-Banking) oder virtuelle private Netzwerke (VPN) durch die KRACK-Attacke nicht ausgehebelt werden. Daher seien auch Online-Banking oder die Kommunikation mit WhatsApp über WLAN weiterhin sicher.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dagegen warnte am Montagabend davor, bis zur Verfügbarkeit auf Online-Banking in einem mit WPA2 gesicherten WLAN zu verzichten. Auch vom Einkaufen im Netz via WLAN riet das BSI ab, obwohl quasi alle Online-Händler einen verschlüsselten Übertragungsweg anbieten, der nicht von dem WPA2-Standard des WLANs abhängt. Das kabelgebundene Surfen dagegen sei sicher.

WPA2 ist ein Verschlüsselungsverfahren zur Absicherung eins WLANs, das bislang als sicher galt. Ältere Standards wie WPA und WEP wurden schon vor Jahren als nicht mehr sicher ausgemustert. Die Forscher in Löwen entdeckten nach eigenen Angaben nun einen Fehler in dem vierstufigen Verfahren, mit dem bei WPA2 die Schlüssel von Sender und Empfänger in einem WLAN ausgetauscht werden. Im dritten Schritt kann der Schlüssel mehrmals gesendet werden. Diese Sicherheitslücke habe ermöglicht, die Verschlüsselung zu knacken.

Übersicht

Kommentare (1) Alle Kommentare

Antwort von PC-Flüsterer Bremen , 20:00 Uhr

"keine Anzeichen für bereits erfolgte Angriffe durch Computerkriminelle": Selten so gelacht!

1. Der Sicherheitsforscher selbst, der die Schwachstelle entdeckt hat, schreibt auf seiner Website, er sei "not in a position to determine …". Und da hat er Recht! So lange es der Angreifer beim reinen Abhören belässt, wer will das wie feststellen?

2. Besonders lustig ist die Einschränkung auf Computerkriminelle. Was ist mit den Geheimdiensten? Diese KONZEPTIONELLE Sicherheitslücke stinkt geradezu nach einer Hintertür, für deren Einbau die Geheimdienste gesorgt haben. Es wäre nicht das erste mal: Bei GSM (2G) ist die Einflussnahme des GCHQ auf eine Schwächung der Verschlüsselung seit spätestens Anfang 2014 öffentlich bekannt; auch UMTS (3G) enthält einen dramatischen Konzeptionsfehler, der sich bestens als Hintertür eignet.