Dragonblood-Vulnerability: Ist Ihr WLAN geschützt?

/0 Kommentare/in /von

Die neue Staffel von Game of Thrones ist angelaufen! Und alles, was mit Drachen zu tun hat, erinnert mich an diese Serie. Dragonblood-Vulnerability ist eine Malware, die kürzlich den WPA3-Standard geknackt hat. Vor knapp einem Jahr verursachte KRACK Sicherheitslücken im WPA2-Standard. Als Reaktion darauf wurde von der Wi-Fi Alliance ein stärkerer Nachfolger angekündigt: WPA3.

Doch war dieser Nachfolger wirklich so stark wie angenommen? Offensichtlich nicht.

WPA3 verwendet den Handshake „Simultaneous Authentication of Equals” (SAE), was eine wesentliche Verbesserung gegenüber WPA2 darstellt, da damit auch Wörterbuchangriffe verhindert werden. Die Familie der SAE-Handshakes wird als Dragonfly bezeichnet. Leider ist dieser Handshake aber anfällig für Kennwortaufteilungsangriffe, die den Wörterbuchangriffen ähneln und Seitenkanal-Schwachstellen nutzen, um Netzwerkkennwörter zu erfassen.

Laut den Forschern Vanhoef und Ronen, die den Artikel zu dieser Sicherheitsanfälligkeit veröffentlichten, liegen bei WPA3 schwerwiegende Designfehler vor, die durch Beachtung des Feedbacks von Branchenexperten zur WLAN-Sicherheit hätten vermieden werden können. Einer dieser Mängel ist z. B. die Tatsache, dass WPA3 keine neuen Protokolle eingeführt hat, sondern nur Anweisungen dazu enthält, welche bestehenden Protokolle unterstützt werden sollten.

WPA3-Hintergrund

WPA3 führte zu Verbesserungen gegenüber WPA2, indem die neuesten Sicherheitsmethoden verwendet, veraltete Protokolle abgelehnt und die Nutzung von Protected Management Frames (PMF) implementiert wurden. Es wurde für zwei Arten von Netzwerken konzipiert: Schutz für Heimnetzwerke mit WPA3-Personal und für Unternehmensnetzwerke mit WPA3-Enterprise.

WPA3-Personal bietet einen verbesserten Netzwerkkennwortschutz, während WPA3-Enterprise höhere Sicherheitsprotokolle für Unternehmensnetzwerke bietet. In WPA3-Personal-Netzwerken ersetzt der SAE-Handshake den in WPA2 verwendeten Pre-Shared Key (PSK). WPA3 bietet eine natürliche Kennwortauswahl, leichte Anwendung und Forward Secrecy.

Was ist ein Dragonfly-Handshake?

WPA3-Personal erfordert die Unterstützung von SAE-Handshakes, wobei es sich um einen ausgewogenen Austausch von Kennwortauthentifizierungsschlüsseln handelt, bei dem zwei Endpunkte (AP und AP oder AP und Client) Kennwörter im Klartext speichern. Die Eingabe für den SAE-Handshake ist ein vorab geteiltes Geheimnis und die Ausgabe ist ein paarweiser Master-Schlüssel mit hoher Entropie. Nach dieser Ausführung erfolgt ein vierfacher Handshake, um einen paarweisen Übergangsschlüssel zu generieren.

6 Auswirkungen von Dragonblood auf Ihr WLAN

  1. Denial of Service (DoS)-Angriff. Der Anti-Clogging-Mechanismus von WPA3, der DoS-Angriffe verhindern soll, verhindert dies aber nicht wirklich. Dadurch können Access Points abstürzen und eine Störung Ihres Netzwerks verursachen.
  2. Downgrade-Angriff. Der Übergangsmodus von WPA3 ist anfällig für Wörterbuchangriffe. In diesem Modus kann ein WPA3-fähiger Access Point Verbindungen von WPA2- und WPA3-Clientgeräten akzeptieren. Wenn ein Angreifer mithilfe eines Man-in-the-Middle-Angriffs die Beacons eines WPA3-fähigen Access Points modifiziert, um den Client so zu täuschen, als sei er ein WPA2-Access-Point, erkennt der Client während des vierseitigen WPA2-Handshakes die Anomalie und bricht die Übertragung ab. Während des Handshakes werden jedoch genügend Frames gesendet, sodass der Angreifer einen Wörterbuchangriff ausführen kann. Darüber hinaus entdeckten die Forscher „implementierungsspezifische Downgrade-Angriffe, wenn ein Client sich nicht automatisch mit einem zuvor verwendeten WPA3-Netzwerk verbindet.”
  3. SAE Group Negotiation-Angriff. Clientgeräte können Gruppen im SAE-Handshake gemäß den 802.11-Spezifikationen priorisieren. Wenn ein Client mit SAE eine Verbindung zu einem Access Point herstellt, schließt er die gewünschte Gruppe in die Commit-Frame ein und der Prozess wird fortgesetzt. „Leider gibt es keinen Mechanismus, der erkennt, ob jemand in diesen Prozess eingegriffen hat. Dies macht es einfach, den Client zu zwingen, eine andere Gruppe zu verwenden: Man erfindet einfach einen Commit-Frame, der angibt, dass der AP die aktuell ausgewählte Gruppe nicht unterstützt.” Dies führt zu einem Downgrade-Angriff. Diese Methode kann auch für Upgrade-Angriffe verwendet werden.
  4. Timing-basierte Seitenkanal-Angriffe. Der SAE-Handshake ist anfällig für Timing-Angriffe, bei denen Kennwortinformationen durchsickern und später bei Kennwortaufteilungsangriffen verwendet werden können, wobei das Kennwort des Opfers erfasst werden kann.
  5. Cache-basierte Seitenkanal-Angriffe. SAE ist außerdem anfällig für Schwachstellen bei der Implementierung seiner Algorithmen, die bei Kennwortaufteilungsangriffen genutzt werden könnten und zur Erfassung des Kennworts des Opfers führen könnten.
  6. EAP-PWD. Beeinflusst das EAP-Protokoll (Extensible Authentication Protocol), das in den WPA2- und WPA-Standards unterstützt wird. Die Forscher „entdeckten auch schwerwiegende Fehler in den meisten Produkten, die EAP-pwd implementieren. Diese ermöglichen es einem Angreifer, sich als Benutzer auszugeben und dadurch auf das Wi-Fi-Netzwerk zuzugreifen, ohne dessen Kennwort zu kennen.”

Wie man sich vor Dragenblood schützt

Die Dragonblood-Schwachstelle kann mit Software-Patches behoben werden. Während die Wi-Fi Alliance den Herstellern Richtlinien mitteilt, muss vor allem sichergestellt werden, dass das eigene Netzwerk immer sofort mit den neuesten Sicherheitsupdates der Hersteller von Wireless-Geräten aktualisiert wird. Des Weiteren sollten in allen Netzwerken stets starke Kennwörter verwendet werden.

Sind SonicWave-Wireless-Access-Points von der Dragonblood-Vulnerability betroffen?

Nein. Bei den Wireless-Access-Points von SonicWall liegt diese Schwachstelle nicht vor. Die SonicWave-Access-Points bieten unübertroffene WLAN-Sicherheit und haben ein dediziertes drittes Modul für Sicherheitsscans. Erweiterte Sicherheitsfunktionen wie die Capture Advanced Threat Protection (ATP) Sandbox und Content Filtering Service (CFS) können von den APs ausgeführt werden, auch wenn keine Firewalls angebunden sind. Somit erhalten Sie ultimative Flexibilität bei der Verwaltung Ihres WLANs über die Cloud  oder über Firewalls — ohne jegliche Beeinträchtigung der Sicherheit.

Einfachere WLAN-Planung, Sicherheit und Verwaltung aus der Cloud

/0 Kommentare/in , /von

Drahtlosen Internetzugang gibt es überall, aber Planung, Bereitstellung, Sicherung und Verwaltung sind nicht immer einfach, insbesondere bei weit verstreuten Betrieben und Unternehmen.

SonicWall glaubt an einen einfacheren Ansatz, und so haben unsere Produktteams unsere Lösungen zur WLAN-Verwaltung von Grund auf überarbeitet. Während des gesamten Vorgehens konzentrierten wir uns auf die Weiterentwicklung unserer WLAN-Technologie in vier Kernbereichen: Sicherheit, Leistung, Einfachheit und Intuitivität.

Auf dem Papier klingt das ganz selbstverständlich. Aber wir wollten sichergehen, dass die Ausführung auch unserer Vorstellung entsprach: Weg mit der Komplexität, aber ohne Beeinträchtigung von Benutzerfreundlichkeit. Das Ergebnis unserer Bemühungen sind vier neue drahtlose Lösungen von SonicWall:

Intuitive Verwaltung drahtloser Internetverbindungen für morgen

Unüberschaubare Netzwerke sind einwahrer Albtraum für Netzwerkadministratoren. Mit der Erweiterung Ihres Netzwerks ändern sich Richtlinien und Bedrohungen nehmen zu – und es ist oft schwer, mit diesen Entwicklungen Schritt zu halten.

Die Entdeckung eines Ausfalls erst nach seinem Eintreten – oder schädlicher Malware erst nach dem Eindringen in Ihr Netzwerk – ist verheerend. SonicWall gibt Ihnen das richtige Tool, mit dem Sie Einblicke in Ihr Netzwerk gewinnen und mit den wechselnden Netzwerkanforderungen Schritt halten können.

SonicWall WiFi Cloud Manager ist ein intuitives, skalierbares und zentralisiertes WLAN-Verwaltungssystem für drahtlose Netzwerke jeglicher Größe. Die vereinfachte Verwaltung erlaubt eingehendere WLAN-Analysen, die von jedem Ort mit Internetverbindung aus abgerufen werden können. Die benutzerfreundlich und belastbar angelegte, cloudbasierte Verwaltung vereinfacht Zugang, Kontrolle und Problemlösunn.

Mit einer frischen Benutzeroberfläche kann der WiFi Cloud Manager über das SonicWall Capture Security Center aufgerufen werden und liefert leistungsstarke Funktionen sowie vereinfachte Einarbeitung über die Cloud von einer zentralen Stelle aus. Zentralisierte Sicht und Kontrolle über die verkabelte und drahtlose Netzwerkhardware mindert Komplexität und die Notwendigkeit für teure, überlagerte Verwaltungssysteme. Es kann auch über mehrere Regionen verteilt eingesetzt werden und damit zu besserer Sicht auf problembehaftete Unternehmen im Netzwerk verhelfen.

Für Netzwerkadministratoren, die viel unterwegs sind, bietet SonicWall jetzt die mobile App SonicWiFi zum Einrichten und Überwachen Ihres Netzwerks. Diese App dient zur problemlosen Aufnahme und Einrichtung Ihrer APs. Für iOS und Android verfügbar.

Moderne drahtlose Sicherheit – mit oder ohne Firewall

Große wie kleine Unternehmen brauchen sichere drahtlose Lösungen, wenn sie ihre Konnektivität für Mitarbeiter, Kunden und Gäste erweitern wollen. Die neuen SonicWave 200 Serie Wireless Access Points  bieten Leistung und Sicherheit auf Unternehmensniveau mit der Reichweite und Zuverlässigkeit der 802.11ac Wave 2 Technologie zu einem erschwinglichen Preis.

Diese APs bauen auf der branchenführenden Sicherheit der nächsten Generation auf und verfügen über ein dediziertes zusätzliches WLAN Modul für Sicherheitsscans.

Damit können so moderne Sicherheitsfunktionen wie Content Filtering Service (CFS) und der Capture Advanced Threat Protection (ATP) Sandbox-Service direkt am AP ausgeführt werden, was Organisationen die Eindämmung von Cyberangriffen selbst dann ermöglicht, wenn keine Firewalls aufgestellt wurden.

SonicWave 200 Access Points gibt es in drei Ausführungen: 231c für Innenräume, 231o für den Außenbereich und 224w für Wandbefestigungen.

Sie genießen unerreichte Flexibilität und können Dutzende oder sogar Tausende von  SonicWave-Access Points von jedem Ort mit Internetverbindung aus über die Cloud oder über Firewalls verwalten.

Der SonicWall WiFi Cloud Manager gewährt Ihnen von einer zentralen Stelle aus Sicht auf Ihr gesamtes drahtloses Netzwerk. SonicWave-Access Points unterstützen auch SonicWall Zero-Touch Implementierungsfunktionen, die die automatische Erkennung und Registrierung der Access Points ermöglichen. Die mobile App SonicWiFi erlaubt Ihnen auch das Einrichten, Verwalten und Verfolgen Ihres Netzwerks.

SonicWave-Access Points vermeiden anhand von Mesh-Technologie die Komplexität, die sonst mit der Erweiterung des drahtlosen Netzwerks einhergeht, insbesondere bei entfernten oder weit verstreuten Standorten. Mesh-Netzwerke lassen sich leicht einrichten, mühelos erweitern und benötigen weniger Kabel und Personal für ihren Einsatz, was zu niedrigeren Einrichtungskosten führt. Die neue Halterung zum Einrasten macht den Einbau noch einfacher.

Einfache Planung und Aufstellung drahtloser Netzwerke

IT-Administratoren hören oft Beschwerden über schlechte Nutzererfahrungen wegen unzuverlässiger WLAN-Verbindungen. Das liegt hauptsächlich daran, dass die WLAN-Netzwerke von vornherein falsch angelegt wurden. Access Points sind möglicherweise falsch aufgestellt, vielleicht gibt es Funkstörungen, oder aber Kapazität und Reichweite sind unzureichend.

SonicWall WiFi Planner ist ein einfaches, benutzerfreundliches und modernes drahtloses Tool zur Untersuchung von Standorten, mit dem Sie ein drahtloses Netzwerk optimal gestalten und aufstellen können.

Das Tool ermöglicht Ihnen die individuelle Gestaltung im Einklang mit Ihrer Umgebung und Ihren Anforderungen, damit Sie die größtmögliche Deckung mit der geringstmöglichen Anzahl an Access Points erreichen. Mithilfe der automatischen Kanalzuweisung können Sie Eingriffe in Ihrer Bereitstellung weitestgehend verhindern.

Mit einer cloudbasierten Benutzeroberfläche haben Sie auch die Flexibilität, mit globalen Teams zusammenzuarbeiten. Das Tool ist ideal für die Aufstellung neuer Access Points oder für die Gewährleistung ausgezeichneter Deckung mit Ihrem Drahtlosnetzwerk. Der SonicWall WiFi Planner steht ohne Aufpreis über den WiFi Cloud Manager zur Verfügung.

Gemeinsam liefern diese Produkte eine leistungsstarke drahtlose Lösung und bereiten den Weg für die nächste Ära der drahtlosen Sicherheit. Willkommen in der Zukunft der drahtlosen Sicherheit.