WLAN-Router: Student entdeckt Sicherheitsproblem

Eigentlich soll der Standard WPS (Wi-Fi Protected Setup) den Aufbau eines sicheren drahtlosen Heimnetzwerkes erleichtern. Wie der österreichische Student Stefan Viehböck nun entdeckt hat, sind durch einen schwerwiegenden Designfehler Brute-Force-Angriffe möglich. Wie Viehböck in einem ausführlichen PDF mit dem Titel 'When poor design meets poor implementation', das er auch an das 'United States Computer Emergency Readiness Team (US-CERT)' übermittelt hat, schreibt, gebe es drei Möglichkeiten, mit WPS ein verschlüsseltes WLAN einzurichten.

Variante eins sieht vor, dass mittels "Push-Button-Connect" sowohl am Access Point als auch am WLAN-Client ein (unter Umständen auch virtueller) Knopf gedrückt wird. Die beiden anderen Möglichkeiten setzen auf PINs: Bei einem sogenannten "Internal Registrar" muss eine PIN, die man zumeist aufgedruckt am Client findet, in das Web-Interface des Routers eingegeben werden.

Bei "External Registrar" wird eine entweder am Router erzeugte oder darauf aufgedruckte PIN am Client vom Nutzer eingegeben. Dies ist auch jene Option, die anfällig für Angriffe ist. Scheitert die PIN-Authentifizierung nämlich, dann schickt der Access Point eine EAP-NACK-Nachricht zurück zum Client. Diese Nachricht wird aber so übermittelt, dass ein Angreifer die erste oder zweite Hälfte der Identifikations-Nummer herauslesen kann. Hinzu kommt, die letzte Stelle der PIN bekannt ist, weil sie eine Prüfsumme ist.

Dadurch reduzieren sich die für einen Angriff nötigen Versuche dramatisch, und zwar von 10^8 auf 10^4 plus 10^3 also auf 11.000 Versuche. Getestet hat Viehböck die Sicherheitslücke mit einem eigens (in Python) entwickelten Brute-Force-Tool bei Routern unterschiedlichster Hersteller. Im Schnitt habe er dabei die PINs nach 5500 Sekunden gefunden. Betroffen sind praktisch alle derzeit erhältlichen Router, Viehböck rät deshalb dazu, sofern möglich, WPS ganz abzuschalten.