TechReport: Wireless Security

Jetzt kommt natürlich sofort der Einwand, dass ja nur selten derselbe Schlüssel verwendet wird – schließlich setzt ja jede Station einen eigenen 64 oder 128 Bit langen WEP-Key zur Generierung des Chiffrierstroms ein. Das ist jedoch nur bedingt richtig, da leider die meisten WLANs mit einem einheitlichen Schlüssel arbeiten und lediglich unterschiedliche Initialisierungsvektoren verwenden. Es sind also gerade einmal 24 Bit der Gesamtschlüssellänge wirklich verschieden. Daraus folgt, dass 16 Millionen Schlüssel zur Erzeugung eines Chiffrierstroms zur Verfügung stehen. Das bedeutet wiederum, dass spätestens nach 16 Millionen Datenpaketen der Schlüssel wiederholt werden muss.

Mit genügend Ausdauer sowie einer hinreichend großen Festplatte braucht sich ein Angreifer also nur auf die Lauer legen und Datenpakete sammeln. Freundlicher Weise wird der Initialisierungsvektor ja im Klartext übertragen, so dass die Identifizierung von gleichartig kodierten Paketen kein Problem darstellt. Sind mehrere Stationen im drahtlosen Netz, steigt die Wahrscheinlichkeit, schnell gleichartig kodierte Pakete zu finden. Unterstützend greifen hier die Hersteller der WLAN-Hardware ein: die meisten Produkte setzen beim Einschalten ihren Initialisierungsvektor auf 0 zurück und – wohl der einfacheren Implementierung wegen – erhöhen ihn für jedes Paket um den Wert 1. Es liegt klar auf der Hand, dass potenzielle Angreifer sich also nur auf Initialisierungsvektoren mit niedrigen Werten konzentrieren müssen, um vergleichsweise schnell zu einem Ergebnis zu kommen.

Da dieser Angriff auf die übertragenen Daten ausschließlich auf dem Initialisierungsvektor aufsetzt, ist die verwendete Länge des WEP-Keys unerheblich. Kurz und schlecht: WEP-128 ist für diese Attacke genauso anfällig wie WEP-40 oder auch WEP-1048576.

Schwachstellen ausmerzen
Um dieser Schwachstelle entgegen zu wirken, haben die Hersteller von WLAN-Produkten Nachbesserungen an WEP vorgenommen. Diese bringen jedoch nur bedingt mehr Sicherheit – zum Teil auch, weil die Anbieter das Problem falsch verstanden haben. So setzt etwa Intersil, zusammen mit Orinoco (Produzent der wohl am häufigsten verwendeten WLAN-Chipsätze) auf eine Modifikation des Treibers. Diese soll verhindern, dass von Intersil als schwach bezeichnete Initialisierungsvektoren verwendet werden. Nur leider gibt es keine schwachen Initialisierungsvektoren. Es steigt lediglich der notwendige Plattenplatz, da ein Angreifer nun mehr mitgeschnittene Datenpakete auf seiner Platte speichern muss, um ein vollständiges Verzeichnis aller verwendeten Initialisierungsvektoren zu erhalten.

Einen anderen Weg beschreitet das Fast Packet Keying genannte Verfahren, das von RSA Security entworfen wurde. Es soll auch Einzug in den aktuell vom IEEE entworfenen Standard 802.11i halten und zielt darauf ab, jedes Datenpaket wirklich mit einem genau einmal und nur für dieses Paket verwendeten Schlüssel zu codieren. Allerdings sind auch zu 802.11i schon Diskussionen über Schwachstellen in dessen vorläufiger Spezifikation im Gange. Immerhin: Durch die frühe Aufdeckung potenzieller Schwachstellen besteht die Möglichkeit, nachzubessern und mit 802.11i dann ein System zu etablieren, das zumindest nach dem Stand der Technik als sicher gelten kann.