VPNs – nicht das Nonplusultra für mobile Sicherheit

Anbieter-spezifischer (proprietärer) Alternativen zum WEP wie LEAP von Cisco stellen jedoch Beispiele für eine Technologie dar, die hinsichtlich der WLAN-Adapter und Access Points zur Bindung an einen Anbieter zwingt. Schnellere und sicherere Standard-basierte Layer 2-Lösungen (VPNs operieren auf Layer 3) kommen erst jetzt auf den Markt.

Diese Lösungen basieren auf dem bereits existierenden 802.1x-Protokoll zur Port-Authentifizierung (das über Festnetz- und mobile LANs arbeitet) und dem neuen EAP-TLS-Standard (Extensible Authentication Protocol – Transport Layer Security). 802.1x EAP-TLS scheint einer der besten, nicht Anbieter-spezifischen WLAN-Ansätze zu sein, mit denen die Schwachstellen des herkömmlichen WEP behoben werden und gleichzeitig durch transparentes Roaming zwischen den Access Points Mobilität ermöglicht wird. Allerdings ist die Konfiguration hierfür nicht ganz einfach. Wie man hört, wird für viele Windows-Systeme daher eher eine praktischere, selbstkonfigurierende Lösung auf Basis einer anderen Technologie eingesetzt werden. Diese nennt sich PEAP und wird gegenwärtig von der IETF geprüft.

PEAP wurde von Microsoft, Cisco und RSA Security entwickelt. Das erste Microsoft-Service Pack für Windows XP enthält bereits eine Unterstützung für PEAP. Eine entsprechende Unterstützung ist zwar auch für Microsofts ältere Windows-Versionen geplant, doch würde sich schon allein aus diesem Grund für bestimmte Windows-Benutzer ein Upgrade auf XP lohnen. Unternehmen, die keine Microsoft-Lösungen verwenden möchten, sollten sich Odyssey von Funk Software ansehen, das auf einem weiteren mit EAP-TLS verwandten System namens EAP-TTLS beruht.

Weniger Kosten
Ein weiterer entscheidender Vorteil der 802.1x-EAP-Lösungen besteht darin, dass der kostspielige VPN-Engpass beseitigt wird. Die Clients könnten mit Geschwindigkeiten wir über Kabel arbeiten. Ein Server für Authentifizierung, Autorisierung und Abrechnung (auch AAA-Radius genannt) könnte die Authentifizierungsvorgänge für 20.000 Benutzer übernehmen, wobei nahezu nahtlose Weiterleitungen zwischen einer unbegrenzten Anzahl von Access Points möglich wären.

Weshalb also preisen einige Analysten und viele andere Experten noch immer die VPNs an, obwohl stabilere Lösungen bereits vorhanden sind oder in Kürze eingeführt werden? Vor allem müssen die Access Points zur Weiterleitung der mobilen Geräte die entsprechenden Standards unterstützen. Gegenwärtig ist das bei den meisten Access Points nicht der Fall. Diese Standards sind, wie Girard selbst ausführte, noch nicht einmal genehmigt.

Längerfristig betrachtet, sorgen die bevorstehenden Standards jedoch bereits dafür, dass erste Hardware-Anwendungen auf den Markt kommen, wobei die entsprechende Software bereits vorhanden ist. Die Standard-Lösung, auf die wir uns konzentrieren sollten, ist sicherlich wichtiger als die VPNs, die primär dazu dienen, eine veraltete, wenig praktische Infrastruktur zu benutzen, in die man in jedem Fall nicht mehr investieren sollte.

Dies bedeutet übrigens nicht, dass keine VPNs mehr benötigt werden. VPNs sind noch immer die beste Möglichkeit, um die Sicherheit für mobile Benutzer zu gewährleisten, die über öffentlich zugängliche Netzwerke wie etwa in Hotels, Flughäfen oder Restaurants auf Unternehmensressourcen zugreifen.