KRACK: WPA2-Sicherheitslücke – WLAN – Vorsicht aber keine Panik
Bereits seit gestern überschlagen sich die Meldungen zu einer Sicherheitslücke im WLAN-Verschlüsselungsstandard WPA2. Die Lücke wurde von belgischen Sicherheitsexperten der größten belgischen Universität KU LEUVEN aufgedeckt. Ich habe mich bei KRACK auch nicht verschrieben. KRACK steht als Abkürzung für die Vorgehensweise (Key reinstallation attacks). Es ist ohne Frage eine kritische Lücke und betroffene Geräte benötigen ein Update. Wenn man aber so mache Meldung verfolgt, dann ist da auch viel Panikmache dabei bzw. mangelnde Informationen zum Thema. Der Standard WPA2 ist nicht vollständig unsicher und die Sicherheitslücke legt auch nicht das Passwort des jeweiligen Netzwerks offen. Der Angriff erfolgt auch nicht direkt auf den Router oder das jeweilige WLAN, sondern aktuell vornehmlich auf Geräte mit Android oder Linux, die sich in einem entsprechenden WLAN befinden. Diese sind anfälliger als Geräte mit iOS oder beispielsweise Windows, wobei auch da ein erfolgreicher Eingriff möglich sein soll. Was man über diese Lücke erreicht, ist ein Mitlesen der Daten, die übertragen werden. Im schlimmsten Fall sind diese Daten nicht verschlüsselt und können im Klartext mitgelesen werden. Die Sicherheitsexperten zeigen in einem Video auch eine Möglichkeit wie ggf. selbst SSL-verschlüsselte Verbindungen (https://) mitgelesen werden können. Diese Vorgehensweise erfordert aber wieder besondere Umstände und die Tatsache, dass der Nutzer nicht mehr auf das grüne „https://“ bzw. „grüne Schlosssymbol“ in seinem Browser achtet. Das wird in der Praxis sicher bei vielen der Fall sein, bei der Einrichtung der SSL-Verschlüsselung der jeweiligen Webseite müssten aber weitere unglückliche Umstände vorliegen. Der Angriff ist auch nicht aus der Ferne möglich, sondern nur in der Reichweite Eures privaten WLAN bzw. eines öffentlichen WLAN in dem Ihr aktiv seid.
Bisher gibt es auch noch keine konkreten Hinweise darauf, dass diese Sicherheitslücke wirklich in der Praxis genutzt wurde. Dazu sind wie gesagt auch viele Dinge notwendig, die zusammen kommen. Durch die gestrige Veröffentlichung wurden nicht nur die Endverbraucher erstmals informiert, sondern auch viele Hersteller von möglicherweise betroffener Hardware haben erst jetzt von dem Problem erfahren. In einem öffentlichen WLAN ist immer Vorsicht geboten, auch völlig unabhängig von dieser Sicherheitslücke. Bis zur vollständigen Aufklärung und Aktualisierung von betroffenen Systemen und Geräten, sollte man auch im heimischen WLAN vielleicht noch mal genauer hinschauen ob die Verbindung zur Bank oder sonstigen Webseiten oder Diensten die man aufruft und wo man persönliche Daten eingibt oder überträgt, auch wirklich verschlüsselt sind. Bei Webseiten oder Shops kann man dies im Browser sehen, bei allen bekannten Banking-Apps kann man aber ebenfalls von einer funktionierenden Verschlüsselung ausgehen.
So unterschiedlich die Presseberichte zu dem Thema sind, so unterschiedlich sind auch die Empfehlungen. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt in einer Meldung von heute den Verzicht auf Online-Banking und Online-Shopping im WLAN, solange nicht entsprechende Updates zur Verfügung stehen. AVM schätzt in einer aktuellen Meldung die praktische Gefahr eher gering ein. Ähnlich würde ich es vor allem für normale heimische WLAN-Betreiber und Nutzer sehen. Bei öffentlichen WLAN-Netzwerken oder Firmennetzwerken kann die Sachen gerade nach der Veröffentlichung natürlich anders aussehen. Man sollte vor jeder Eingabe von persönlichen Daten auf Webseiten immer auf die SSL-Verschlüsselung (grünes https:// oder Schlosssymbol) achten. Das trifft für die Google-Suche, Soziale Medien wie Facebook und Co., WhatsApp, Banking-Portale und auch seriöse Shops zu. Der Anwender sollte da vielleicht aktuell besser drauf achten. Natürlich kann man auch noch Webseiten ohne eine solche Verschlüsselung ansurfen, sofern man sich dort nicht mit persönlichen Daten anmelden muss oder gar Zahlungsdaten hinterlegen muss. Wenn es Seiten wie unsere sind, wo nur Informationen konsumiert und abgerufen werden, ist es unkritisch. Aber Dinge wie ein Kontaktformular könnten unter Einsatz der oben genannten Lücke und allen dafür notwendigen Gegebenheiten ggf. mitgelesen werden.
Wer verkabelt mit seinem PC surft, muss sich auch keine Gedanken machen. Denn der eigentliche WPA2-Standard ist weiterhin sicher und nicht wie häufig berichtet „vollständig geknackt“. Man sollte auch auf keinen Fall einen älteren Standard als WPA2 in seinem Router oder anderen Geräten aktivieren. Die älteren Standards sind insgesamt deutlich unsicherer und anfälliger als WPA2 mit der aktuellen Lücke. Microsoft hat bei Windows nach aktuellen Informationen schon gepatcht. AVM sieht seine FRITZ!Boxen als sicher an und nach aktuellem Stand ist da auch kein Update nötig. Die WLAN-Repeater aus der Hause AVM bekommen aber wohl zeitnah ein Update. Apple hat in Vorabversionen auch schon entsprechende Patches eingebracht, die dann bald den Weg zu allen Kunden finden. Google muss bei Android 6.0 und höher auch aktualisieren, denn die mobilen Geräte spielten erstens ein große Rolle bei der Lücke und zweitens sind diese Geräte natürlich sehr verbreitet. Hier soll es nach aktuellen Informationen in der nächsten Woche die ersten Updates geben.
Ausgehend von der Schwierigkeit des Angriffes, der zwingenden Notwendigkeit vor Ort zu sein und der weiterhin aktiven Verschlüsselung auf höheren Ebenen, erscheint die praktische Bedeutung der Krack-Lücke gering. Angriffe sind nicht bekannt. (Auszug aus Informationen von AVM)
Alles in allem ist es ohne Frage sehr wichtig, dass diese Lücke geschlossen wird und das man seine Hard- und Software durch Updates immer aktuell hält. Auch die immer weitergehende Verschlüsselung von Webseiten hilft dabei, dass selbst wenn Dinge mitgelesen werden können, diese noch mal sicher verschlüsselt sind. Es kann auch grundsätzlich nicht schaden, wenn man mal mehr darauf achtet was man wo ansurft und welche Daten man da eingibt. Die praktische Gefahr für den Einzelnen dürfte sich aber wie schon oben geschrieben in sehr geringem Rahmen halten. Man muss also nicht panisch das Internet verlassen und das heimische WLAN komplett abstellen. Man sollte einfach etwas vorsichtiger sein und schauen ob Updates für die eingesetzte Hardware nötig ist und diese dann installieren.
Angebote bei amazon.de - 5 € Amazongutschein ab 15 € - April 2024
