Aus der KRACK-Schwachstelle gezogene Lehren

Digi International
Dezember 04, 2017

Die KRACK-Wi-Fi-Schwachstelle vom Oktober 2017 hat uns alle wieder einmal daran erinnert, dass Sicherheit für jeden, der für Gerätesicherheit und Netzwerkkommunikation verantwortlich ist, an erster Stelle stehen sollte. KRACK(Key Reinstallation Attack) betraf ein Problem mit dem WPA2-Protokoll, das den Wi-Fi-Verkehr für die große Mehrheit der heutigen Geräte und Router verschlüsselt. Mit anderen Worten: Dieses Problem betraf fast jeden, der einen Computer besitzt.

Was können wir daraus lernen?
 

Lektion 1: Sicherheitslücken sind keine Überraschung

Leider sind diese Probleme zu erwarten, da sie eine vorhersehbare Realität in der Welt der drahtlosen Kommunikation sind. Aber es gibt auch einen Silberstreif am Horizont. Dieses Wissen befähigt uns dazu, Best Practices zu etablieren und zu befolgen. Die wichtigste Lektion hier ist nicht die Nachricht, dass Sicherheit entscheidend ist. Es ist lediglich eine Erinnerung: Sie sollten sich unter keinen Umständen auf eine einzige Sicherheitsmethode verlassen, um Ihr Netzwerk vor Angriffen zu schützen.

Ein typisches Netzwerk folgt dem OSI 7-Schichten-Kommunikationsmodell*, und jede dieser Schichten kann Sicherheitsmaßnahmen anwenden. Zu den Schichten gehören:

1. Physikalische Schicht: Die Funktionen auf der Hardware-Ebene. Der primäre Zweck dieser Schicht ist die Definition der physikalischen Signale, die für die Übertragung durch das Medium, das die Kommunikation unterstützt, verantwortlich sind.
2. Datenverbindungsschicht: Die Schicht, die für die Definition des Protokolls für direkte Knoten-zu-Knoten-Datenübertragungen auf Bit-Ebene verantwortlich ist. Die Protokolle können die 802.11-Funkprotokolle zwischen der Station und dem Access Point umfassen. Kommunikationstypen, wie Wi-Fi oder Ethernet, können in dieser Schicht variieren. Die KRACK-Schwachstelle trat in dieser Schicht auf.
3. Netzwerkschicht: Die Schicht, die für die Verarbeitung von Daten in einem Netzwerk mit mehreren Knoten und für die Verwaltung der Kommunikation zwischen Hosts, die verschiedene Protokolle verwenden, verantwortlich ist. Ein Beispielprotokoll ist Internet Protocol (IP) Version 4.
4. Transportschicht: Die Schicht, die die Flusskontrolle der Daten übernimmt. Dies wird typischerweise als die TCP-Schicht gesehen.
5. Sitzungsschicht: Die Schicht, die Kommunikationssitzungen und die Authentifizierung über gängige Anwendungsprotokolle abwickelt.
6. Präsentationsschicht: Die Schicht, die ein- und ausgehende Daten in ein anderes Präsentationsformat umwandelt und verschlüsselte Daten entschlüsseln kann. Diese Schicht ist typischerweise der Ort, an dem die SSL/TLS-Verschlüsselungsströme stattfinden.
7. Anwendungsschicht: Die Schicht, die die formatierte Ein- und Ausgabe von Anwendungsdaten mit Anwendungen wie E-Mail-Clients und Webbrowsern verarbeitet.

Beachten Sie, dass wir uns bei der Definition der TCP/IP-Protokolle und des OSI-7-Schichten-Modells einige Freiheiten genommen haben. TCP/IP passt nicht gut in das OSI-Modell. Wir finden jedoch, dass die Verwendung des OSI-Modells bei der Überprüfung der Sicherheit in Netzwerken und Anwendungen entscheidend ist.

Lektion 2: Setzen Sie die Best Practice "Sicherheit in der Tiefe" ein

In einer wirklich sicheren Anwendung findet die Sicherheit auf mehreren Ebenen statt, minimal auf der Datenverbindungs-, Transport- und Präsentationsschicht. Die Sicherheitsstrategie Ihrer Anwendung darf sich nicht auf eine einzige Schicht verlassen. Jede der Schichten in diesem Modell kann und wird versagen, manchmal auf spektakuläre Weise.

Daher ist es eine bewährte Praxis, branchenübliche Sicherheitsmethoden in möglichst vielen Ihrer Netzwerkschichten zu überwachen und zu implementieren. Wenn eine Sicherheitslücke oder ein Angriff auf eine der Schichten abzielt, haben Sie dann andere robuste Maßnahmen im Einsatz. Diese Maßnahmen sind Ihre "Komm-aus-dem-Gefängnis-frei"-Karte, wenn eine Schicht kompromittiert wird.

Betrachten wir Wi-Fi und die KRACK-Schwachstellen als Beispiel. Bei Wi-Fi werden Ihre Daten von Ihrem Gerät an den Zugangspunkt übertragen, und niemand kann sie lesen oder entschlüsseln. Im Gegensatz dazu kann jeder, der mit einem Netzwerk-Hub verbunden ist, den Datenverkehr der anderen sehen. Die KRACK-Schwachstelle, von der alle Systeme betroffen waren, die den WPA/WPA2-Standard implementierten, ermöglichte es jedem, Ihren Datenverkehr auf dieselbe Weise zu sehen, als ob er sich im selben kabelgebundenen Netzwerk befände.

Bei Wi-Fi (auf der Transportschicht) können Sie keine Kontrolle über eine unberechtigte Station ausüben, die das Wi-Fi-Funksignal abhört. Aus diesem Grund müssen Sie Sicherheitsprotokolle wie den WPA/WPA2-Standard verwenden, um den Datenverkehr zu verschlüsseln. Wenn Sie außerdem über die neuesten TLS-Protokolle auf Sitzungsebene verfügen, sind Sie auch im Falle einer Wi-Fi-Schwachstelle geschützt.

Lektion 3: Die Lebensdauer jeder Sicherheitsmaßnahme ist begrenzt

Sicherheitsmethoden verfallen. Da Sicherheitslücken häufig auftreten können und dies auch tun (typischerweise gemessen in Monaten, nicht Jahren), müssen die Standards zum Schutz unserer Netzwerke und Daten regelmäßig aktualisiert werden. Die Netzwerkbranche hat wiederholt Schlagzeilen gemacht, wie z. B. das POODLE-Problem, das SSL und TLS 1.0 kompromittierte, sowie viele andere Angriffe auf Authentifizierungs-, Zertifizierungs- und Verifizierungsmethoden über mehrere Schichten und Kommunikationsmethoden hinweg.

Da sich die Sicherheitsprotokolle und -standards ändern, liegt es an den Unternehmen und ihren Netzwerkmanagern, diese Updates zum Schutz ihrer Systeme und Netzwerke einzusetzen.

Lektion 4: Arbeiten Sie mit Produktanbietern zusammen, die sich der Sicherheit verpflichtet haben

Da Sicherheit einen mehrgleisigen Ansatz erfordert, ist es nicht nur wichtig, sicherzustellen, dass Ihre Netzwerkrichtlinien robust sind, sondern auch, dass die Produkte, die Sie in Ihre Systeme integrieren, für die Sicherheit ausgelegt sind.

Treffen Sie Digi TrustFence®

1. Entwickeln Sie Produkte, die Funktionen enthalten, um die häufigsten Sicherheitslücken und Angriffe auf Geräte zu entschärfen.
2. Verpflichten Sie sich, bei der kontinuierlichen Verbesserung des Sicherheitslebenszyklus auf dem Laufenden zu bleiben.

Wenn Sie sich für Produkte entscheiden, die auf diesem Modell aufbauen, können Sie problemlos Funktionen für Gerätesicherheit, Geräteidentität und Datenschutz in Ihre Systeme und Designs integrieren.

Zusammengefasst

Auch wenn es kein realistisches Ziel ist, "kugelsicher" zu sein, ist es wichtig, eine robuste Strategie zu entwickeln, die Ihnen hilft, sich auf Sicherheitsprobleme vorzubereiten und auf sie zu reagieren, bevor sie auftreten und wenn sie auftreten. Dazu gehört die Einhaltung aktueller Standards über mehrere Netzwerkschichten hinweg und die Verwendung von Produkten, die so konzipiert sind, dass sie sich an die sich ständig weiterentwickelnden Sicherheitsbedrohungen anpassen.