Inhaltsverzeichnis
Werbung
Referenzhandbuch
12 Wireless LAN – WLAN
kann nun ausschließlich mit dem privaten Schlüssel des Senders wieder entschlüsselt werden. Ein potenzieller Mithörer
des Schlüsselaustauschs kann diese Information aber nicht entschlüsseln, die Übertragung des symmetrischen
Schlüssels ist also gesichert.
12.5.2 IEEE 802.11i / WPA2
Mitte 2004 wurde der Standard 802.11i vom IEEE verabschiedet, der auch als Wi-Fi Protected Access 2 (WPA2) bekannt
ist. WPA2 stellt den derzeit höchsten Sicherheitsstandard für WLANs dar, da es zum einem die Authentifizierung und
Autorisierung der Benutzer über IEEE 802.1X erlaubt und zum anderen eine Unterstützung des Verschlüsselungsverfahrens
AES, das eine weitaus höhere Sicherheit bietet als die in WEP oder WPA verwendeten Verfahren. Die folgenden Abschnitte
stellen einige der relevanten technischen Aspekte vor.
EAP und IEEE 802.1x
Eine deutliche Steigerung in der Absicherung von WLANs kann erzielt werden, wenn für eine Verbindung keine festen
Schlüssel definiert werden sondern diese Schlüssel dynamisch ausgehandelt werden. Als dabei anzuwendendes Verfahren
hat sich dabei das Extensible Authentication Protocol durchgesetzt. Wie der Name schon nahelegt, ist der ursprüngliche
Zweck von EAP die Authentifizierung, d.h. der geregelte Zugang zu einem WLAN – die Möglichkeit, einen für die folgende
Sitzung gültigen Schlüssel zu installieren, fällt dabei sozusagen als Zusatznutzen ab. Die folgende Abbildung zeigt den
grundsätzlichen Ablauf einer mittels EAP geschützten Sitzung.
5
Der Einsatz von EAP / 802.1X ist grundsätzlich auch bei WEP möglich. In der Regel wird dieses Verfahren jedoch
bei WLANs nach WPA2 eingesetzt.
In der ersten Phase meldet sich der Client wie gewohnt beim AP an und erreicht einen Zustand, in dem er bei früher
verwendeten WEP jetzt über den AP Daten senden und empfangen könnte – nicht so jedoch bei EAP, denn in diesem
Zustand verfügt der Client ja noch über keinerlei Schlüssel, mit denen man den Datenverkehr vor Abhören schützen
könnte. Stattdessen steht der Client aus Sicht des APs in einem 'Zwischenzustand', in dem er nur bestimmte Pakete vom
Client weiter leitet, und diese auch nur gerichtet an einen Authentifizierungs-Server. Bei diesen Paketen handelt es sich
um das bereits erwähnte EAP/802.1x. Der AP packt diese Pakete in RADIUS-Anfragen um und reicht sie an den
690
Werbung
Inhaltsverzeichnis
