Angriffe auf drahtlose Netzwerke: Evil Twin, Deauth und Rogue AP

WLANs sind besonders anfällig, weil sich das Signal nicht auf eine physische Grenze beschränken lässt. Angreifer können aus einem Auto auf einem Parkplatz, einem benachbarten Büro oder sogar mit Richtantennen über Hunderte von Metern Entfernung agieren. Die wichtigsten auf Security+ behandelten Kategorien von WLAN-Angriffen sind Evil-Twin-Angriffe, Deauthentication-Angriffe und Rogue Access Points. Jede Kategorie nutzt unterschiedliche Schwachstellen darin aus, wie WLAN-Clients Access Points erkennen, sich mit ihnen verbinden und ihnen vertrauen.

Ein Rogue Access Point ist ein nicht autorisierter WLAN-AP, der mit einem Unternehmensnetzwerk verbunden ist – entweder von einem Angreifer installiert, der physischen Zugang erlangt hat, oder von einem hilfsbereiten Mitarbeiter aus praktischen Gründen eingerichtet. Ein Rogue AP kann die kabelgebundenen Sicherheitskontrollen einer Organisation umgehen, indem er Angreifern oder Malware einen drahtlosen Zugang zum internen Netzwerk ermöglicht. Wireless Intrusion Detection Systems (WIDS) und regelmäßige RF-Überprüfungen erkennen Rogue APs, indem sie über Funk erkannte MAC-Adressen mit dem Inventar autorisierter APs abgleichen.

Ein Evil Twin ist ein Rogue AP, der einen legitimen Access Point nachahmt, indem er dieselbe SSID (Netzwerkname) ausstrahlt. Clients, die so konfiguriert sind, dass sie automatisch eine Verbindung zu bekannten SSIDs herstellen, verbinden sich möglicherweise mit dem Evil Twin statt mit dem legitimen AP, insbesondere wenn das Signal des Angreifers stärker ist. Nach der Verbindung kann der Angreifer MitM-Angriffe durchführen, Anmeldedaten über HTTP abfangen und unverschlüsselten Datenverkehr mitschneiden. Evil-Twin-Angriffe sind in öffentlichen WLANs besonders effektiv, da Clients dort den echten AP nicht von einem gefälschten unterscheiden können.

Der 802.11-Standard umfasst Management-Frames zur Steuerung von Verbindungen, darunter Deauthentication-Frames, die einem Client mitteilen, dass er vom AP getrennt wurde. Ohne 802.11w (Protected Management Frames) sind diese Frames nicht authentifiziert und können von jeder Person gefälscht werden. Bei einem Deauthentication-Angriff werden gefälschte Deauth-Frames an einen Client gesendet, sodass dieser die Verbindung trennt und erneut herstellt. Angreifer verwenden Deauth-Angriffe, um Clients zum Offenlegen ihres 4-Way-Handshakes zu zwingen (zum Knacken von WPA2) oder um sie zu einem Evil-Twin-AP mit stärkerem Signal umzuleiten.

Viele öffentliche WLANs verwenden Captive Portals – Webseiten, auf denen Sie Bedingungen akzeptieren oder Anmeldedaten eingeben müssen, bevor der Internetzugang freigeschaltet wird. Angreifer können einen Rogue AP einrichten, der Clients zu einem gefälschten Captive Portal umleitet, um Anmeldedaten abzugreifen oder Malware zu installieren. Captive Portals verwenden typischerweise HTTP (nicht HTTPS) und sind dadurch anfällig für MitM-Angriffe. Das OWE (Opportunistic Wireless Encryption) von WPA3 adressiert offene Netzwerke durch nicht authentifizierte Verschlüsselung. Captive Portals sind jedoch weiterhin verbreitet und gefährlich. Sie sollten in jedem Netzwerk mit Captive Portal ein VPN verwenden.

Unternehmen erkennen Evil-Twin-Angriffe mithilfe von Wireless Intrusion Detection Systems (WIDS), die die RF-Umgebung kontinuierlich überwachen. WIDS-Sensoren identifizieren APs, die die Unternehmens-SSID mit einer nicht in der genehmigten Liste enthaltenen BSSID ausstrahlen, oder erkennen, wenn sich Clients mit nicht autorisierten APs verbinden. Der Abgleich mit Daten aus dem kabelgebundenen Netzwerk hilft zu bestätigen, ob ein verdächtiger AP tatsächlich mit dem internen Netzwerk verbunden ist (Rogue) oder ausschließlich extern betrieben wird (Evil Twin). WLAN-Controller für Unternehmen (Cisco, Aruba, Juniper) verfügen häufig über integrierte WIDS-Funktionen, die diese Erkennung automatisieren.

RF-Jamming ist die absichtliche Übertragung von Hochfrequenzsignalen auf demselben Kanal wie ein Zielnetzwerk, um Störungen zu verursachen und es unbrauchbar zu machen – im Grunde ein drahtloser DoS-Angriff. Jamming kann in vielen Rechtsordnungen illegal sein. Unbeabsichtigte Interferenzen durch Mikrowellen, Babyphone und benachbarte Netzwerke auf demselben Kanal treten häufiger auf und können ähnliche Symptome verursachen. Organisationen, bei denen dauerhaft Interferenzen auftreten, sollten eine HF-Spektrumanalyse durchführen, um Jamming von Interferenzen zu unterscheiden, und auf freie Kanäle oder, sofern verfügbar, auf das 5-GHz- bzw. 6-GHz-Band wechseln.

WPA2-Enterprise mit 802.1X verhindert das Abgreifen von Anmeldedaten durch Evil Twins, da sich Clients mithilfe von EAP (Extensible Authentication Protocol) an einem RADIUS-Server authentifizieren. Der Client sollte das TLS-Zertifikat des RADIUS-Servers validieren, bevor er Anmeldedaten sendet. Sind Clients nicht so konfiguriert, dass sie das Serverzertifikat validieren und die erwartete CA festlegen, kann ein Evil Twin einen unerlaubten RADIUS-Server betreiben und EAP-Anmeldedaten abgreifen. Die Zertifikatsvalidierung muss auf Unternehmensgeräten durch MDM-Profile erzwungen werden, um dieses Downgrade zu verhindern.

Der 802.11-Standard definiert zwei unterschiedliche Typen von Management-Frames, die zum Beenden von Verbindungen verwendet werden. Ein Deauthentication-Frame beendet den Authentifizierungsstatus, während ein Disassociation-Frame den Client aus der Zuordnungstabelle des AP entfernt, die Authentifizierung jedoch beibehält. Beide können ohne 802.11w gefälscht werden. Für die Security+-Prüfung sollten Sie wissen, dass beide Frame-Typen gültige Angriffsvektoren darstellen, um eine erneute Verbindung zu erzwingen. Die 802.11w-Erweiterung, die in WPA2 optional und in WPA3 verpflichtend integriert ist, fügt diesen Frames einen Message Integrity Code (MIC) hinzu und verhindert dadurch Fälschungen.

Technische Sicherheitskontrollen für drahtlose Netzwerke müssen durch physische Sicherheit ergänzt werden. Ein AP, der an einem zugänglichen Ort installiert ist, kann auf die Werkseinstellungen zurückgesetzt werden, wodurch alle Sicherheitskonfigurationen umgangen werden. Zu den Best Practices gehören die Montage von APs an geschützten oder höher gelegenen Positionen, die Verwendung von manipulationssicheren Schrauben oder AP-Sicherheitskäfigen, die softwareseitige Deaktivierung der Reset-Taste, sofern möglich, sowie die Aufnahme der APs in Audits der Anlageninventare. PoE-Switches, die APs mit Strom versorgen, sollten sich ebenfalls in verschlossenen Netzwerkschränken befinden, damit ein Angreifer nicht einfach einen legitimen AP ausstecken und sein eigenes Gerät anschließen kann.

Um sich gegen das gesamte Spektrum drahtloser Angriffe zu schützen, aktivieren Sie WPA3 oder WPA2-Enterprise, um das Knacken von PSKs zu verhindern; erzwingen Sie PMF (802.11w), um Deauthentication-Angriffe abzuwehren; setzen Sie ein WIDS ein, um Evil Twins und nicht autorisierte APs zu erkennen; validieren Sie RADIUS-Zertifikate, um das Abgreifen von Anmeldedaten durch Evil-Twin-RADIUS-Server zu verhindern; deaktivieren Sie WPS, um Brute-Force-Angriffe auf PINs auszuschließen; und segmentieren Sie drahtlose Netzwerke nach Rollen (Unternehmen, Gäste, IoT), indem Sie separate SSIDs verwenden, die unterschiedlichen VLANs zugeordnet sind. Kombinieren Sie diese Kontrollen zu einer mehrschichtigen Sicherheitsstrategie für drahtlose Netzwerke.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Ein nicht autorisierter AP ist ein unbefugter Access Point im Unternehmensnetzwerk, der drahtlose Sicherheitskontrollen umgeht; ein Evil Twin ahmt eine legitime SSID nach, um den Datenverkehr der Clients über einen MitM-Angriff abzufangen; und Deauthentication-Angriffe fälschen 802.11-Management-Frames, um Clients zu trennen – eine Bedrohung, die durch Protected Management Frames (802.11w), die von WPA3 vorausgesetzt werden, reduziert wird. Als Nächstes betrachten wir drahtlose Unternehmensnetzwerke mit 802.1X und RADIUS.