Grundlegende Sicherheitslücke im WLAN-Protokoll IEEE802.11 entdeckt

Forscher der Northeastern University und der Katholischen Universität Leuven haben eine Schwachstelle im WLAN-Standard IEEE 802.11 gefunden. Angreifer sind unter Umständen in der Lage, einen WLAN-Zugangspunkt dazu zu bringen, Netzwerk-Frames im Klartext preiszugeben, wie BleepingComputer berichtet.

Daten werden über ein WLAN in sogenannte Frames aufgeteilt. Diese Datencontainer enthalten neben den eigentlichen Daten auf einen Header und einen Trailer mit Informationen wie MAC-Adressen des Quell- und Zielgeräts und Management-Daten. Die Frames werden kontrolliert und in Reihenfolge übertragen, um Kollisionen zu verhindern und eine maximale Datenübertragung zu erreichen.

Unzureichender Schutz für wartende Frames

Die Forscher fanden jedoch heraus, dass Frames, die auf eine Übertragung warten, nicht ausreichend vor Zugriffen von Unbefugten geschützt sind. Dem Bericht zufolge sind sie anfällig für Client Spoofing, Umleitungen und Manipulationen. „Unsere Angriffe haben weitreichende Auswirkungen, da sie verschiedene Geräte und Betriebssysteme (Linux, FreeBSD, iOS und Android) betreffen und weil sie dazu verwendet werden können, TCP-Verbindungen zu kapern oder Client- und Webverkehr abzufangen“, heißt es in einem technischen Papier von Domien Schepers und Aanjhan Ranganathan von der Northeastern University und Mathy Vanhoef von imec-DistriNet, KU Leuven.

Der Fehler tritt auf, wenn ein WLAN-Gerät versucht Energie zu sparen, indem es Frames puffert oder in eine Warteschlange stellt, die für schlafende Geräte gedacht sind. Geht ein empfangendes Gerät in den Ruhezustand, so sendet es einen Frame an den Access Point mit einem Header, der wiederum ein Power-Saving-Bit enthält. Als Folge werden alle für diesen Client gedachten Frames geparkt.

Falscher Client schickt Frames in Warteschlange

Den Forschern zufolge enthält der WLAN-Standard IEEE 802.11 keine genauen Vorgaben für die Sicherheit dieser geparkten oder gepufferten Frames. Auch gibt es keine zeitliche Obergrenze, wie lange Frames in der Warteschleife verbleiben dürfen.

Wacht ein WLAN-Client wieder auf, gibt der Access Point die wartenden Frames frei, verschlüsselt sie und überträgt sie an den Client. Angreifer sind allerdings in der Lage, die MAC-Adresse eines Client-Geräts zu fälschen und einen Power-Saving-Frame an den Access Point zu schicken. Dieser schickt anschließend alle weiteren Frames für diesen Client in die Warteschleife.

Zusammen mit einem Wake-Up-Frame, der die Übertragung des Access Points wieder startet, können Angreifer allerdings auch die Sicherheitsvorgaben für die parkenden Frames ändern. Als Folge überträgt der Access Point die Frames nicht verschlüsselt, sondern im Klartext. Alternativ können die Angreifer dem Access Point einen eigenen Schlüssel zur Verschlüsselung der Frames aufzwingen.

Ciso bestätigt Fehler

Getestet wurde der Angriff unter anderem mit Geräten von Lancom, Aruba, Cisco, Asus und D-Link. Die Forscher warnen, dass ihr Angriff genutzt werden kann, um schädliche Inhalte wie JavaScript oder TCP-Pakete in eine WLAN-Datenübertragung einzuschleusen.

Dem Bericht zufolge hat Cisco die Anfälligkeit bestätigt. Das Unternehmen geht jedoch davon aus, dass die Sicherheit eines korrekt abgesicherten Netzwerks dadurch nicht gefährdet wird. „Dieser Angriff wird als opportunistischer Angriff betrachtet, und die vom Angreifer gewonnenen Informationen wären in einem sicher konfigurierten Netzwerk von minimalem Wert“, erklärte Cisco. Darüber hinaus rät Cisco, nicht nur die WLAN-Verbindung zu verschlüsseln, sondern auch die übertragenen Daten wann immer möglich per TLS zu schützen.