Startseite > Markt > Tipps zum Schutz drahtloser Netzwerke

Wireless-LAN-Security

Tipps zum Schutz drahtloser Netzwerke

13. Januar 2012, 14:50 Uhr | Mathias Hein, freier Consultant in Neuburg an der Donau

Fortsetzung des Artikels von Teil 1

802.11i und 802.1x

3. Implementieren des 802.11i-Standards
Der EAP -(Extensible-Authentication-Protocol-)Modus der WPA- und WPA2-Sicherheit erfordert anstelle von PSK die Nutzung einer 802.1X-Authentifizierung. Diese Sicherheitsvariante bietet jedem Benutzer oder WLAN-Client die Möglichkeit einer eigenen Anmeldeinformation, bestehend aus einem Benutzername und Passwort und/oder einem digitalen Zertifikat.
Dabei werden die Schlüssel regelmäßig im Hintergrund gewechselt. Änderungen der Benutzerberechtigungen erfordern nur die Modifikation der Anmeldeinformationen auf einem zentralen Server und müssen im Gegensatz zu PSK nicht mehr auf jedem WLAN Client vorgenommen werden. Die einzigartigen Session-Schlüssel verhindern auch das Mithören des Datenverkehrs durch andere Nutzer im WLAN.
Die Aktivierung der 802.1X-Authentifizierung erfordert einen RADIUS/AAA-Server im Netz. Wird im Unternehmen ein Windows-Server-2008 eingesetzt, sollten man über die Nutzung von Network-Policy-Server (NPS) nachdenken. Bei früheren Server-Versionen empfiehlt sich der Internet Authenticate Service (IAS). Wird im Unternehmen kein Windows-Server eingesetzt, dann steht ein Open-Source-FreeRADIUS-Server zur Verfügung.
Wird im Unternehmen ein Windows-Server-2008 R2 oder höher betrieben, dann lassen sich die 802.1X-Einstellungen zentral via Group-Policys an alle mit der Domäne verbunden Clients verteilen.

4. Sichern der 802.1X Client-Konfigurationen
Der EAP-Modus von WPA/WPA2 ist jedoch anfällig für Man-in-the-Middle-Angriffe. Dagegen hilft die Sicherung der EAP-Einstellungen der Clients. Beispielsweise lässt sich in den EAP-Einstellungen von Windows eine Server-Zertifikat-Validierung aktivieren. Dafür muss ein entsprechendes CA-Zertifikats und die Adresse des Servers festgelegt werden. Damit werden die Nutzer daran gehindert, neuen Servern oder CA-Zertifikaten zu vertrauen.