Nun ist es also soweit: Die bisher als ausreichend sicher eingestufte WPA2-Methode zum Schlüsseltausch in WLAN-Verbindungen hat (mindestens) einen massiven Fehler, der Angreifern die Möglichkeit gibt, durch eine einigermaßen simple Attacke (KRACK Attack) den Datenverkehr komplett offenzulegen. IT-Sicherheitsforscher Mathy Vanhoef von der belgischen KU Leuwen sorgte mit der Ankündigung am Montag für kollektives Luftanhalten in der Sicherheitsbranche und bei technisch versierten Anwendern. WPA2 wird praktisch ausnahmslos beim Schutz von WLAN-Verbindungen eingesetzt, nachdem sich WPA und das noch ältere WEP schon vor Jahren als unsicher erwiesen hatten. Laut Vanhoef ist der Angriff besonders wirksam gegen Android 6.0 und Linux mit wpa_supplicant 2.4. In diesem Fall ist es möglich, den Datenverkehr komplett zu entschlüsseln. Geschätzt betrifft das im Moment etwa 50% aller Android-Endgeräte.
Das Problem liegt in einer Funktion des Schlüsselaustauschs, dem sogenannten 4-Way Exchange. Vanhoef fand heraus, dass es möglich war, den Kommunikationspartnern in einer Stufe des Schlüsselaustauschs einen anderen, dem Angreifer bekannten, Schlüssel unterzuschieben, indem er einen bereits gesetzten Schlüssel erneut aushandelt. Diese Key Reinstallation Attack (KRACK) benötigt zwar die physische Nähe zum Opfer, ist aber ansonsten ohne weitere Vorbedingungen möglich. Laut Vanhoef ist der Fehler ein grundlegendes Problem von WPA2 und hat nichts mit der jeweiligen Implementation zu tun. Damit sind zurzeit alle WLAN-Verbindungen betroffen! Je nach Netzwerkkonfiguration, lassen sich nicht nur Daten abgreifen, sondern auch Datenpakete manipulieren und in die Verbindung einfügen. Damit könnten Angreifer mit den richtigen Tools Ransomware oder andere Malware dynamisch in Webseiten einfügen. Wie der Angriff im Detail funktioniert, erklärt Vanhoef sehr detailliert auf seiner Microsite zum Thema.
So sieht es also aus – zusammengefasst gar nicht gut. Weil WPA2 selbst der Verursacher ist, bleibt Anwendern nur zu warten, bis die Hersteller aller beteiligten Komponenten gepatchte Versionen der relevanten Software liefern. Also alle WLAN-Access Points, Router, Netzwerk-Clients, Betriebssysteme etc. Das wird dauern, soviel ist sicher. In der Zwischenzeit wollen Anwender aber sicherlich trotzdem WLAN für ihre Netzverbindungen zu nutzen. Und das ist nach wie vor (weitgehend) gefahrlos möglich, wenn für die Verbindung zwischen Endgerät und Access-Point ein VPN genutzt wird. Im Firmenumfeld bedeutet dies, sämtliche drahtlose Kommunikation erfolgt über einen zusätzlichen VPN-Tunnel auf die zugreifbaren Fileserver, Intranet und sonstigen Ressourcen. Dann funktioniert der Angriff zwar trotzdem, doch der Angreifer entschlüsselt lediglich die übergeordnete Ebene. Alles was er dann vorfindet, ist schlicht die nächste Verschlüsselungsebene des VPN. Auch HTTPS, das ja ebenfalls eine spezifische Verschlüsselungstechnik darstellt, würde gegen KRACK schützen. Weil HTTPS aber in der Regel nur vom Browser genutzt wird, ist das VPN universeller. Damit ist die WLAN-Verbindung trotz WPA2 sicher, solange das VPN korrekt implementiert und vertrauenswürdig ist.
Eine Schwachstelle wie KRACK ist zunächst natürlich ein großes Problem für Anwender und Hersteller gleichermaßen. Doch sie enthält auch die Chance, das Sicherheitsniveau generell zu erhöhen, indem nun VPNs als Standard für alle internen UND externen Verbindungen gesetzt werden. Wer bislang noch kein VPN einsetzt, muss spätestens jetzt umdenken. Jede WLAN-Verbindung wird auf lange Zeit hin potentiell gefährdet sein. Und ohne WLAN ist Arbeit mittlerweile praktisch undenkbar. Es wird auch unmöglich sein, herauszufinden, ob die Komponenten der gerade genutzten Verbindung bereits gepatcht sind oder nicht. Ab sofort sollte also ein VPN für jede Verbindung Pflicht sein.
