Leps - Bat Enhanced Passphrase Security - Hirschmann BAT54-Rail FCC Anwenderhandbuch

Wireless LAN (WLAN)
3.3.1 LEPS – BAT Enhanced Passphrase Security
LEPS behebt die Unsicherheit von globalen Passphrases
U
Mit den modernen Verschlüsselungsverfahren WPA und IEEE 802.11i kann
der Datenverkehr im WLAN deutlich besser als mit WEP gegen unerwünsch-
te „Lauschangriffe" geschützt werden. Die Verwendung einer Passphrase als
zentraler Schlüssel ist sehr einfach zu handhaben, ein RADIUS-Server wie
in 802.1x-Installationen wird nicht benötigt.
Dennoch birgt die Verwendung der abhörsicheren Verfahren WPA und IEEE
802.11i einige Schwachstellen:
D
Eine Passphrase gilt global für alle WLAN-Clients
D
Die Passphrase kann durch Unachtsamkeit ggf. an Unbefugte weiterge-
geben werden
D
Mit der „durchgesickerten" Passphrase kann jeder Angreifer in das Fun-
knetzwerk eindringen
In der Praxis bedeutet das: Falls die Passphrase „verloren geht" oder ein Mit-
arbeiter mit Kenntnis der Passphrase das Unternehmen verlässt, müsste aus
Sicherheitsaspekten die Passphrase im Access Point geändert werden –
und damit auch in allen WLAN-Clients. Da das nicht immer sichergestellt
werden kann, würde sich also ein Verfahren anbieten, bei dem nicht eine glo-
bale Passphrase für alle WLAN-Clients gemeinsam gilt, sondern für jeden
Benutzer im WLAN eine eigene Passphrase konfiguriert werden kann. In die-
sem Fall muss z.B. beim Ausscheiden eines Mitarbeiters aus dem Unterneh-
men nur seine „persönliche" Passphrase gelöscht werden, alle anderen
behalten ihre Gültigkeit und Vertraulichkeit.
Mit LEPS (LANCOM Enhanced Passphrase Security) hat der Hersteller ein
effizientes Verfahren entwickelt, das die einfache Konfigurierbarkeit von
IEEE 802.11i mit Passphrase nutzt und dabei die möglichen Unsicherheiten
bei der Nutzung einer globalen Passphrase vermeidet.
Bei LEPS wird jeder MAC-Adresse in einer zusätzlichen Spalte der ACL (Ac-
cess Control List) eine individuelle Passphrase zugeordnet – eine beliebige
Folge aus 8 bis 63 ASCII-Zeichen. Nur die Verbindung von Passphrase und
MAC-Adresse erlaubt die Anmeldung am Access Point und die anschließen-
de Verschlüsselung per IEEE 802.11i oder WPA.
Da Passphrase und MAC-Adresse verknüpft sind, ist auch das Spoofing der
MAC-Adressen wirkungslos – LEPS schließt damit auch einen möglichen
Angriffspunkt gegen die ACL aus. Wenn als Verschlüsselungsart WPA oder
802.11i verwendet wird, kann zwar die MAC-Adresse abgehört werden – die
Passphrase wird bei diesem Verfahren jedoch nie über die WLAN-Strecke
übertragen. Angriffe auf das WLAN werden so deutlich erschwert, da durch
die Verknüpfung von MAC-Adresse und Passphrase immer beide Teile be-
kannt sein müssen, um eine Verschlüsselung zu verhandeln.
50
3.3 Absicherung des Funknetzwerks
BAT54-Rail/F..
Release 7.54 06/08