News
Sicherheitslücke

WPA2 ist nicht mehr sicher

Uhr

Die WPA2-Verschlüsselung für WLAN-Netze galt jahrelang als sicher. Nun hat ein Forscher das Gegenteil bewiesen: Angreifer können die Kommunikation mitlesen, ohne das Passwort zu wissen.

(Source: bloomua / Fotolia.com)
(Source: bloomua / Fotolia.com)

Der Sicherheitsforscher Mathy Vanhoef hat die obsolete WPA1-Verschlüsselung und den Nachfolger WPA2 (mit WPA-TKIP oder AES-CCMP) erfolgreich angegriffen. Den Angriff nennt er Krack - Key Re-Use Attack. Vanhoef nutzt Schwachstellen in den WLAN-Standards 802.11i und 802.11ad (mit GCMP). Sie ermöglichen es, Inhalte im Netz mitzulesen, ohne das Passwort des WLANs zu kennen. Das funktioniert mit fast allen Betriebssystemen und Access Points.

Für viele Linux- und OpenBSD-Nutzer gibt es bereits Updates, unter anderem für die Distributionen Debian, Suse und Red Hat. Sie patchen die WLAN-Implementierung wpa_supplicant. Android-Nutzer sind auch betroffen. Sie müssen hoffen, dass die Gerätehersteller Updates ausliefern. Laut Vanhoef sind auch iOS, Mac OS und Windows angreifbar. Microsoft stellte bereits einen Patch bereit.

Für einige Access Points gibt es Updates, unter anderem für Aruba Networks, AVM und Ubiquiti Networks. Auch die Openwrt-Community stellt Patches zur Verfügung. Laut Golem sind auch die WLAN-Implementierungen von Mediatek und Linksys angreifbar, und wahrscheinlich auch Broadcom, TP-Link und weitere Hersteller.

Das US-Cert veröffentlichte eine Liste mit Herstellern, die über die Lücke informiert sind. Laut dieser sind einige Anbieter auch nicht betroffen: Arista Networks, Mikrotik und VMware.

Immerhin: Die Schwachstelle lässt sich nur ausnutzen, wenn sich der Angreifer in der Nähe des WLAN-Hotspots befindet. Auch zusätzliche Verschlüsselungen wie HTTPS und private VPNs sind immun gegen den Angriff.

Zum Thema
Tags
E-Security
Unternehmen
Web
WLAN
Webcode
DPF8_63170
Back to top