WLAN mit Windows XP - Teil 5: Den Datenverkehr verschlüsseln

Den Datenverkehr verschlüsseln


Bevor Sie Ihr Funknetzwerk betreiben, sollten Sie es unbedingt absichern. Sonst kommen nur allzu leicht ungebetene Gäste ins Netz.

Funkwellen machen nicht an der Hausmauer oder an der Grundstücksgrenze halt. So ist es nicht einmal nötig, sich Zugang zum Gebäude zu verschaffen, um das Netz zu kompromittieren. Auch aus sicherer Entfernung können sich Angreifer einklinken und die Daten ausspionieren oder das Netz für andere Zwecke missbrauchen.


WEP, WPA und WPA2

WLAN-Sicherheit basiert auf drei Grundforderungen:

• Vertraulichkeit: die Daten sollen abhörsicher transportiert werden
• Integrität: die Daten sollen nicht manipuliert werden können
• Authentifikation: die Identität der Teilnehmer soll feststehen

Die hauptsächlichen Schutzmaßnahmen sind darum

• Verschlüsselung
• Prüfsummenbildung
• und Zugangskontrolle

Hierfür gibt es unterschiedliche Ansätze und Standards.

Seit langem gebräuchlich ist die WEP-Verschlüsselung, von der aber inzwischen bekannt ist, dass sie keinen ausreichenden Schutz bietet. WEP ist Teil des IEEE 802.11-Standards und steht für Wired Equivalent Privacy. Man hatte sich also zur Aufgabe gesetzt, eine Privatsphäre zu schaffen, die der eines Kabelanschlusses vergleichbar ist.

Nachdem die IEEE 802.11-Arbeitsgruppe festgestellt hatte, dass dies nicht gelungen ist, wurde die neue Arbeitsgruppe IEEE 802.11i gebildet, die die WLAN-Sicherheit neu definieren sollte. Da sich die Entwicklung aber hinzog, hat die Wi-Fi (Wireless Fidelity) Alliance die schon fertige TKIP (Temporal Key Integrity Protocol)-Spezifikation vor ab unter dem Namen WPA (Wi-Fi Protected Access) herausgelöst und zum Zwischenstandard erklärt. Das nachfolgende CCMP-Verfahren auf der Basis von AES (Advanced Encryption Standard Counter Mode with Cipher Block Chaining Message Authentication Code Protocol) erhielt dementsprechend den Namen WPA2.

Insbesondere die Verschlüsselung wurde weiter verbessert. Das Verfahren wurde komplexer und die Algorithmen weiterentwickelt oder ausgetauscht. Statt eines statischen Schlüssels, der auch noch für alle Netzteilnehmer gleich ist, gibt es am Ende der Entwicklung aus einem Anfangsschlüssel weiterentwickelte dynamische Schlüssel, die zwischen jedem einzelnen Client und dem Access Point individuell ausgehandelt und ständig gewechselt werden und vom Access Point erzeugte dynamische Gruppenschlüssel für Broadcast-Meldungen.

Und auch die Authentifizierung ist klarer definiert worden. Es gibt sie in zwei Varianten:

• Personal
• und Enterprise

Arbeiten kleine Netze im SOHO (Small Office Home Office)-Bereich weiterhin mit Pre-Shared Keys als Ausgangspunkt, die auf dem Access Point und den Stationen manuell konfiguriert werden müssen, gibt es für große Netze eine andere Lösung: Hier ist nicht nur ein Schlüssel-Management vorgesehen, das die manuelle Konfiguration überflüssig macht, auch die Zugangskontrolle selbst erfolgt nach strengeren Gesetzen auf der Benutzerebene. Username und Kennwort werden über EAP (Extensible Authentication Protocol) an den Access Point geschickt, der wiederum seinerseits die Anfrage an einen RADIUS (Remote Authentication Dial-In User Service)-Server weiterleitet und fragt, ob diesem Anwender der Zugriff auf das Netz erlaubt werden soll.

Die folgende Tabelle zeigt einen kurzen Überblick der verwendeten Technologien: Die gelben Felder heben die gängigen Optionen in den Konfigurationstools hervor.





Die Sicherheitskonfiguration des WLAN-Routers

WLAN Router und WLAN Adapter unterstützen WPA2. Darauf soll das Netzwerk nun konfiguriert werden. Zuerst ist der Router dran.

1. Öffnen Sie ggf. noch einmal das Konfigurationsprogramm über den Internet Explorer.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
   
2. Beim Linksys WRT54G-DE WLAN-Breitband-Router klicken Sie auf das Menü Wireless und dann auf Sicherheit im Wireless Netzwerkbetrieb. Wählen Sie den Sicherheitsmodus WPA2-Personal aus.
   
   Hinweis
   
   Verwenden Sie einen anderen WLAN-Router, heißt auch der Sicherheitsmodus möglicherweise anders. Schauen Sie hierfür in das Handbuch. Unterstützt Ihr Router kein WPA2, gehen Sie auf WPA für den SOHO-Bereich zurück.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
   
3. Wählen Sie den Verschlüsselungsalgorithmus AES aus und geben Sie den Pre-Shared Key ein. Dieser vorläufige gemeinsame Schlüssel muss zwischen 8 und 63 Zeichen lang sein. Am besten ist es, wenn der Schlüssel sehr lang ist und Sie keine Wörter und Namen aus dem Wörterbuch verwenden.
   
   Hinweis
   
   Müssen Sie WPA statt WPA2 verwenden, wählen Sie stattdessen das TKIP-Verfahren aus.
4. Legen Sie dann noch fest, wie oft der Gruppenschlüssel geändert werden soll und speichern Sie die Einstellungen.
   
   
   Bild minimierenBild vergrößern

   
   
   
   
   

Die weiteren Teile des Themas WLAN mit Windows XP sind: