Drahtlose Sicherheit

Drahtlose Sicherheit bezeichnet die Verhinderung von unbefugtem Zugriff auf oder Beschädigung von Computern oder Daten in drahtlosen Netzwerken, einschließlich WLAN-Netzwerken . Der Begriff kann sich auch auf den Schutz des drahtlosen Netzwerks selbst vor Angreifern beziehen, die die Vertraulichkeit, Integrität oder Verfügbarkeit des Netzwerks beeinträchtigen wollen. Die gängigste Art ist die WLAN-Sicherheit , zu der Wired Equivalent Privacy (WEP) und Wi-Fi Protected Access (WPA) gehören. WEP ist ein alter IEEE-802.11-Standard aus dem Jahr 1997. ^{[ 1 ]} Er gilt als notorisch schwacher Sicherheitsstandard: Das verwendete Passwort kann oft innerhalb weniger Minuten mit einem einfachen Laptop und weit verbreiteten Softwaretools geknackt werden. ^{[ 2 ]} WEP wurde 2003 durch WPA abgelöst, das damals eine schnelle Alternative zur Verbesserung der Sicherheit gegenüber WEP darstellte. Der aktuelle Standard ist WPA2; ^{[ 3 ]} manche Hardware unterstützt WPA2 nicht ohne Firmware-Upgrade oder Austausch. WPA2 verwendet ein Verschlüsselungsgerät, das das Netzwerk mit einem 256-Bit-Schlüssel verschlüsselt. Die längere Schlüssellänge verbessert die Sicherheit gegenüber WEP. Unternehmen setzen häufig ein zertifikatsbasiertes System zur Authentifizierung des angeschlossenen Geräts gemäß dem Standard 802.11X ein, um die Sicherheit zu gewährleisten.

Im Januar 2018 kündigte die Wi-Fi Alliance WPA3 als Nachfolger von WPA2 an. Die Zertifizierung begann im Juni 2018, und die Unterstützung von WPA3 ist seit Juli 2020 für Geräte mit dem Logo „Wi-Fi CERTIFIED™“ obligatorisch.

Viele Laptops verfügen über vorinstallierte WLAN-Karten . Der mobile Zugriff auf Netzwerke bietet große Vorteile. Allerdings birgt die drahtlose Netzwerktechnik auch Sicherheitsrisiken. Hacker haben festgestellt, dass drahtlose Netzwerke relativ leicht zugänglich sind und nutzen die Technologie sogar, um in kabelgebundene Netzwerke einzudringen. Daher ist es für Unternehmen unerlässlich, wirksame Sicherheitsrichtlinien für drahtlose Netzwerke zu definieren, die vor unbefugtem Zugriff auf wichtige Ressourcen schützen. ^{[ 4 ]} Drahtlose Intrusion-Prevention-Systeme (WIPS) oder drahtlose Intrusion-Detection-Systeme (WIDS) werden häufig zur Durchsetzung dieser Sicherheitsrichtlinien eingesetzt.

Mit zunehmender Beliebtheit drahtloser Technologien haben auch die Risiken für deren Nutzer zugenommen. Zu Beginn bestanden vergleichsweise wenige Gefahren. Hacker hatten noch keine Gelegenheit, sich die neue Technologie anzueignen, und drahtlose Netzwerke waren am Arbeitsplatz noch nicht weit verbreitet. Mittlerweile bergen die aktuellen drahtlosen Protokolle und Verschlüsselungsmethoden jedoch zahlreiche Sicherheitsrisiken , ebenso wie die Nachlässigkeit und Unwissenheit vieler Nutzer und IT-Fachkräfte in Unternehmen. ^{[ 5 ]} Mit dem drahtlosen Zugang sind Hacking-Methoden deutlich ausgefeilter und innovativer geworden. Auch der Zugang zu Hacking ist durch die kostenlose Verfügbarkeit benutzerfreundlicher Tools für Windows oder Linux im Internet erheblich erleichtert worden.

Manche Organisationen, die keine WLAN-Zugangspunkte installiert haben, sehen keine Notwendigkeit, sich mit WLAN-Sicherheitsbedenken auseinanderzusetzen. In-Stat MDR und die META Group schätzten jedoch, dass 95 % aller für 2005 geplanten Firmenlaptops mit WLAN-Karten ausgestattet waren. Probleme können auch in Organisationen entstehen, die vermeintlich kein WLAN nutzen, sobald ein solcher Laptop an das Firmennetzwerk angeschlossen wird. Ein Hacker könnte beispielsweise auf dem Parkplatz sitzen und über Laptops und/oder andere Geräte Informationen sammeln oder sich sogar über den mit einer WLAN-Karte ausgestatteten Laptop Zugang zum kabelgebundenen Netzwerk verschaffen.

Jeder, der sich innerhalb der geografischen Reichweite eines offenen, unverschlüsselten WLAN-Netzwerks befindet, kann den Datenverkehr abfangen („ sniffen “ ), sich unbefugten Zugriff auf interne Netzwerkressourcen sowie auf das Internet verschaffen und die Informationen und Ressourcen anschließend für Störungen oder illegale Handlungen nutzen. Solche Sicherheitslücken sind zu einem ernsthaften Problem für Unternehmens- und Heimnetzwerke geworden.

Wenn die Router-Sicherheit nicht aktiviert ist oder der Besitzer sie aus Bequemlichkeit deaktiviert, entsteht ein ungesicherter Hotspot . Da die meisten Laptops des 21. Jahrhunderts über integriertes WLAN verfügen (siehe Intel „ Centrino “-Technologie), benötigen sie keinen externen Adapter wie eine PCMCIA- Karte oder einen USB- Dongle . Das integrierte WLAN ist möglicherweise standardmäßig aktiviert, ohne dass der Besitzer es bemerkt, wodurch die WLAN-Verbindung des Laptops für alle Computer in der Nähe sichtbar wird.

Moderne Betriebssysteme wie Linux , macOS oder Microsoft Windows ermöglichen es, einen PC mithilfe der Internetverbindungsfreigabe relativ einfach als WLAN-Basisstation einzurichten. So können alle PCs im Haushalt über diesen Basis-PC auf das Internet zugreifen. Oftmals fehlt Nutzern jedoch das Wissen über die damit verbundenen Sicherheitsrisiken, wodurch auch Unbefugte in der Nähe Zugriff auf die Verbindung erhalten. Dieses unbefugte Mitnutzen erfolgt in der Regel ohne Wissen des WLAN-Betreibers; unter Umständen bemerkt der Nutzer selbst nichts davon, wenn sein Computer automatisch ein nahegelegenes, ungesichertes WLAN als Zugangspunkt auswählt.

Die Sicherheit drahtloser Netzwerke ist ein weiterer Aspekt der Computersicherheit. Organisationen können besonders anfällig für Sicherheitslücken ^{[ 6 ]} sein , die durch unbefugte Zugangspunkte verursacht werden .

Wenn ein Mitarbeiter eine drahtlose Schnittstelle an einen ungesicherten Port eines Systems anschließt, kann dies eine Sicherheitslücke im Netzwerk verursachen und den Zugriff auf vertrauliche Daten ermöglichen. Zum Schutz des Netzwerks und der darin enthaltenen Informationen stehen Gegenmaßnahmen wie das Deaktivieren offener Switch-Ports während der Switch-Konfiguration und die VLAN-Konfiguration zur Einschränkung des Netzwerkzugriffs zur Verfügung. Diese Maßnahmen müssen jedoch einheitlich auf alle Netzwerkgeräte angewendet werden.

Drahtlose Kommunikation ist in der industriellen Maschine-zu-Maschine -Kommunikation (M2M) nützlich. Solche industriellen Anwendungen haben oft spezifische Sicherheitsanforderungen. Es gibt Analysen dieser Schwachstellen und die daraus resultierenden Schwachstellenkataloge im industriellen Kontext unter Berücksichtigung von WLAN, NFC und ZigBee . ^{[ 7 ]}

Die Methoden des unbefugten Zugriffs auf Links, Funktionen und Daten sind so vielfältig wie die Art und Weise, wie die jeweiligen Entitäten Programmcode verwenden. Es existiert kein umfassendes Modell für diese Bedrohung. Die Prävention stützt sich zum Teil auf bekannte Angriffsarten und -methoden sowie auf geeignete Abwehrmaßnahmen. Jede neue Vorgehensweise birgt jedoch neue Bedrohungspotenziale. Daher erfordert Prävention kontinuierliche Verbesserungen. Die beschriebenen Angriffsarten stellen lediglich eine Momentaufnahme typischer Methoden und Anwendungsszenarien dar.

Die Sicherheitsgrenzen eines Unternehmensnetzwerks können auf verschiedene Weise und mit unterschiedlichen Absichten verletzt werden. Eine dieser Methoden ist die sogenannte „unbeabsichtigte Netzwerkverbindung“. Wenn ein Benutzer seinen Computer einschaltet und dieser sich mit einem WLAN-Zugangspunkt eines benachbarten Unternehmensnetzwerks verbindet, bemerkt der Benutzer dies möglicherweise gar nicht. Es handelt sich jedoch um eine Sicherheitslücke, da firmeneigene Informationen offengelegt werden und eine Verbindung zwischen den beiden Unternehmen entstehen kann. Dies gilt insbesondere, wenn der Laptop zusätzlich mit einem kabelgebundenen Netzwerk verbunden ist.

Eine versehentliche Verbindung ist ein Fall von Sicherheitslücke in drahtlosen Netzwerken, die als „Fehlverbindung“ bezeichnet wird. ^{[ 8 ]} Eine Fehlverbindung kann versehentlich oder absichtlich erfolgen (z. B. um eine Unternehmensfirewall zu umgehen) oder sie kann das Ergebnis gezielter Versuche sein, drahtlose Clients dazu zu verleiten, sich mit den Access Points des Angreifers zu verbinden.

„Bösartige Verbindungen“ entstehen, wenn Angreifer drahtlose Geräte aktiv so einstellen, dass sie sich über ihren Laptop anstatt über einen firmeneigenen Zugangspunkt (AP) mit einem Unternehmensnetzwerk verbinden. Solche Laptops werden als „Soft-APs“ bezeichnet und entstehen, wenn Cyberkriminelle Software ausführen , die ihre WLAN-Karte wie einen legitimen Zugangspunkt erscheinen lässt. Sobald der Angreifer Zugriff erlangt hat, kann er Passwörter stehlen, Angriffe auf das kabelgebundene Netzwerk starten oder Trojaner einschleusen . Da drahtlose Netzwerke auf Schicht 2 arbeiten, bieten Schutzmaßnahmen der Schicht 3 wie Netzwerkauthentifizierung und virtuelle private Netzwerke (VPNs) keinen Schutz. Die drahtlose 802.1X-Authentifizierung bietet zwar einen gewissen Schutz, ist aber dennoch anfällig für Hackerangriffe. Das Ziel dieser Angriffsart ist möglicherweise nicht, ein VPN oder andere Sicherheitsmaßnahmen zu überwinden . Höchstwahrscheinlich versucht der Angreifer lediglich, die Kontrolle über den Client auf Schicht 2 zu erlangen.

Ad-hoc -Netzwerke können ein Sicherheitsrisiko darstellen. Ad-hoc-Netzwerke sind Peer-to-Peer-Netzwerke zwischen drahtlosen Computern ohne dazwischenliegenden Zugangspunkt. Obwohl diese Netzwerktypen üblicherweise nur wenig Schutz bieten, können Verschlüsselungsmethoden zur Erhöhung der Sicherheit eingesetzt werden. ^{[ 9 ]}

Die Sicherheitslücke von Ad-hoc-Netzwerken liegt nicht im Netzwerk selbst, sondern in der von ihm geschaffenen Verbindung zu anderen Netzwerken, insbesondere in Unternehmensumgebungen. Bedauerlicherweise ist diese Funktion in den meisten Microsoft Windows-Versionen standardmäßig aktiviert, sofern sie nicht explizit deaktiviert wird. Daher bemerkt der Benutzer möglicherweise gar nicht, dass auf seinem Computer ein ungesichertes Ad-hoc-Netzwerk aktiv ist. Nutzt er gleichzeitig ein kabelgebundenes oder drahtloses Infrastrukturnetzwerk, stellt er über die ungesicherte Ad-hoc-Verbindung eine Brücke zum gesicherten Unternehmensnetzwerk her. Diese Brücke kann auf zwei Arten hergestellt werden: Eine direkte Brücke, die eine Konfiguration durch den Benutzer erfordert und daher in der Regel nicht automatisch eingerichtet wird, und eine indirekte Brücke über die freigegebenen Ressourcen des Benutzercomputers. Die indirekte Brücke kann private Daten, die vom Benutzercomputer für LAN-Verbindungen freigegeben werden, wie z. B. freigegebene Ordner oder private NAS-Speicher, offenlegen, ohne zwischen authentifizierten oder privaten Verbindungen und nicht authentifizierten Ad-hoc-Netzwerken zu unterscheiden. Dies birgt keine Bedrohungen, die nicht bereits von offenen/öffentlichen oder ungesicherten WLAN-Zugangspunkten bekannt wären, jedoch können Firewall-Regeln bei schlecht konfigurierten Betriebssystemen oder lokalen Einstellungen umgangen werden. ^{[ 10 ]}

Nicht-traditionelle Netzwerke wie Bluetooth- Geräte im persönlichen Netzwerk sind nicht vor Hackerangriffen geschützt und sollten als Sicherheitsrisiko betrachtet werden. ^{[ 11 ]} Auch Barcode-Lesegeräte , Handheld -PDAs sowie drahtlose Drucker und Kopierer sollten gesichert werden. Diese nicht-traditionellen Netzwerke werden von IT-Fachkräften, die sich hauptsächlich auf Laptops und Zugangspunkte konzentrieren, leicht übersehen.

Identitätsdiebstahl (oder MAC-Spoofing ) liegt vor, wenn ein Hacker den Netzwerkverkehr abhört und die MAC-Adresse eines Computers mit Netzwerkrechten ermittelt . Die meisten WLAN-Systeme bieten eine Art MAC-Filterung , um nur autorisierten Computern mit bestimmten MAC-Adressen den Zugriff auf das Netzwerk zu ermöglichen. Es gibt jedoch Programme mit Netzwerk- Sniffing -Funktionen. Kombiniert man diese Programme mit anderer Software, die es einem Computer erlaubt, eine beliebige MAC-Adresse vorzutäuschen ^{[ 12 ]} , kann der Hacker diese Sicherheitsbarriere leicht umgehen.

MAC-Filterung ist nur für kleine Heimnetzwerke (SOHO) effektiv, da sie nur dann Schutz bietet, wenn das WLAN-Gerät nicht sendet. Jedes 802.11-Gerät, das sendet, überträgt seine unverschlüsselte MAC-Adresse in den 802.11-Headern, und es ist keine spezielle Hardware oder Software erforderlich, um diese zu erkennen. Jeder mit einem 802.11-Empfänger (Laptop und WLAN-Adapter) und einem kostenlosen WLAN-Paketanalysator kann die MAC-Adresse jedes sendenden 802.11-Geräts in Reichweite ermitteln. In Unternehmensumgebungen, in denen die meisten WLAN-Geräte während der gesamten Arbeitszeit aktiv sind, vermittelt die MAC-Filterung nur ein trügerisches Sicherheitsgefühl, da sie lediglich zufällige oder unbeabsichtigte Verbindungen zur Unternehmensinfrastruktur verhindert und keinen Schutz vor gezielten Angriffen bietet.

Ein Man-in-the-Middle -Angreifer verleitet Computer dazu, sich an einem Computer anzumelden, der als Soft- Access-Point (SA ) eingerichtet ist. Sobald dies geschehen ist, verbindet sich der Angreifer über eine weitere WLAN-Karte mit einem echten Access-Point. Diese Karte ermöglicht einen kontinuierlichen Datenverkehr über den getarnten Angreifer-Computer zum eigentlichen Netzwerk. Der Angreifer kann diesen Datenverkehr dann abfangen. Eine Art von Man-in-the-Middle-Angriff nutzt Sicherheitslücken in den Challenge- und Handshake-Protokollen aus, um einen Deauthentifizierungsangriff durchzuführen. Dieser Angriff zwingt die mit dem SA verbundenen Computer, ihre Verbindung zu trennen und sich erneut mit dem Soft-SA des Angreifers zu verbinden (die Verbindung des Benutzers zum Modem wird getrennt, sodass er sich erneut mit seinem Passwort anmelden muss, das aus der Aufzeichnung des Ereignisses extrahiert werden kann). Man-in-the-Middle-Angriffe werden durch Software wie LANjack und AirJack erleichtert, die viele Schritte des Prozesses automatisieren. Was früher Fachkenntnisse erforderte, kann nun auch von Scriptkiddies durchgeführt werden . Hotspots sind besonders anfällig für Angriffe, da diese Netzwerke kaum oder gar nicht gesichert sind.

Ein Denial-of-Service-Angriff (DoS) liegt vor, wenn ein Angreifer einen bestimmten Access Point (AP ) oder ein Netzwerk kontinuierlich mit gefälschten Anfragen, vorzeitigen Verbindungsbestätigungen, Fehlermeldungen und/oder anderen Befehlen überlastet. Dies verhindert, dass legitime Benutzer auf das Netzwerk zugreifen können und kann sogar zum Netzwerkausfall führen. Solche Angriffe nutzen den Missbrauch von Protokollen wie dem Extensible Authentication Protocol (EAP) aus.

Ein DoS-Angriff an sich legt Organisationsdaten kaum einem Angreifer offen, da die Unterbrechung des Netzwerks den Datenfluss verhindert und die Daten indirekt schützt, indem sie deren Übertragung unterbindet. Der übliche Grund für einen DoS-Angriff ist die Beobachtung der Wiederherstellung des WLANs. Währenddessen werden alle Geräte die initialen Handshake-Codes erneut senden. Dies bietet dem Angreifer die Möglichkeit, diese Codes aufzuzeichnen und mithilfe verschiedener Cracking-Tools Sicherheitslücken zu analysieren und auszunutzen, um sich unbefugten Zugriff auf das System zu verschaffen. Dies funktioniert am besten bei schwach verschlüsselten Systemen wie WEP, da zahlreiche Tools verfügbar sind, die einen Wörterbuchangriff auf „möglicherweise akzeptierte“ Sicherheitsschlüssel basierend auf dem während der Netzwerkwiederherstellung aufgezeichneten „Modell“-Sicherheitsschlüssel durchführen können.

Bei einem Netzwerk-Injection-Angriff nutzt ein Hacker Zugangspunkte, die ungefiltertem Netzwerkverkehr ausgesetzt sind, insbesondere Broadcast-Netzwerkverkehr wie Spanning Tree Protocol (802.1D), OSPF , RIP und HSRP . Der Hacker schleust gefälschte Netzwerkkonfigurationsbefehle ein, die Router, Switches und intelligente Hubs beeinträchtigen. Auf diese Weise kann ein ganzes Netzwerk lahmgelegt werden, was einen Neustart oder sogar eine Neuprogrammierung aller intelligenten Netzwerkgeräte erforderlich macht.

Der Caffe-Latte-Angriff ist eine weitere Methode, um einen WEP- Schlüssel zu erlangen, ohne dass ein nahegelegener Zugangspunkt des Zielnetzwerks erforderlich ist . ^{[ 13 ]} Beim Caffe-Latte-Angriff wird ein Client, dessen WEP-Passwort gespeichert ist, dazu verleitet, sich mit einem manipulierten Zugangspunkt zu verbinden, dessen SSID mit der des Zielnetzwerks übereinstimmt. Nach der Verbindung sendet der Client ARP- Anfragen, die der manipulierte Zugangspunkt nutzt, um Schlüsselstromdaten zu erfassen . Anschließend sendet der manipulierte Zugangspunkt wiederholt ein Deauthentifizierungspaket an den Client, wodurch dieser die Verbindung trennt, sich erneut verbindet und weitere ARP-Anfragen sendet. Diese nutzt der manipulierte Zugangspunkt, um zusätzliche Schlüsselstromdaten zu erhalten. Sobald der manipulierte Zugangspunkt genügend Schlüsselstromdaten gesammelt hat, kann der WEP-Schlüssel mit einem Tool wie aircrack-ng geknackt werden.

Der Caffe Latte-Angriff wurde gegen den Windows Wireless Stack demonstriert, aber möglicherweise sind auch andere Betriebssysteme anfällig.

Der Angriff wurde von dem Forscher Vivek Ramachandran als „Caffe Latte“-Angriff bezeichnet, da er es ermöglichte, den WEP-Schlüssel eines entfernten Reisenden in weniger als den sechs Minuten, die man zum Trinken einer Tasse Kaffee benötigt, zu erlangen. ^{[ 14 ] [ 15 ] [ 16 ]}

Es gibt drei Hauptmethoden, um ein drahtloses Netzwerk abzusichern.

• In geschlossenen Netzwerken (wie z. B. in Privathaushalten und Organisationen) ist die Konfiguration von Zugriffsbeschränkungen an den Zugangspunkten die gängigste Methode . Diese Beschränkungen können Verschlüsselung und MAC-Adressenprüfungen umfassen . Drahtlose Intrusion-Prevention-Systeme (WIPS) können in diesem Netzwerkmodell zur Absicherung des WLANs eingesetzt werden.
• Für kommerzielle Anbieter, Hotspots und große Organisationen ist die bevorzugte Lösung oft ein offenes und unverschlüsseltes, aber vollständig isoliertes WLAN. Die Nutzer haben zunächst keinen Zugriff auf das Internet oder lokale Netzwerkressourcen. Kommerzielle Anbieter leiten üblicherweise den gesamten Webverkehr an ein Captive Portal weiter , das die Zahlung und/oder Autorisierung ermöglicht. Alternativ können die Nutzer eine sichere Verbindung zu einem geschützten Netzwerk über ein VPN herstellen .
• Drahtlose Netzwerke sind weniger sicher als kabelgebundene. In vielen Büros können Unbefugte problemlos ihren eigenen Computer an das kabelgebundene Netzwerk anschließen und so Zugriff erlangen. Auch über Hintertüren wie Back Orifice ist es oft möglich, sich aus der Ferne Zugang zum Netzwerk zu verschaffen . Eine mögliche Lösung ist die Ende-zu-Ende-Verschlüsselung mit unabhängiger Authentifizierung für alle Ressourcen, die nicht öffentlich zugänglich sein sollen.

Es gibt kein fertiges System, das den betrügerischen Einsatz drahtloser Kommunikation verhindert oder Daten und Funktionen drahtlos kommunizierender Computer und anderer Geräte schützt. Allerdings existiert ein System zur Bewertung der insgesamt getroffenen Maßnahmen gemäß einem gemeinsamen Verständnis des Stands der Technik. Dieses Bewertungssystem basiert auf einem internationalen Konsens und ist in ISO/IEC 15408 spezifiziert .

Ein Wireless Intrusion Prevention System (WIPS) ist ein Konzept für den effektivsten Schutz vor drahtlosen Sicherheitsrisiken. ^{[ 17 ]} Ein solches WIPS existiert jedoch nicht als fertige Softwarelösung. Typischerweise wird ein WIPS als Overlay in eine bestehende WLAN- Infrastruktur integriert, kann aber auch eigenständig eingesetzt werden, um die Nutzung drahtloser Netzwerke innerhalb einer Organisation zu unterbinden. WIPS gilt als so wichtig für die Sicherheit drahtloser Netzwerke, dass der Payment Card Industry Security Standards Council im Juli 2009 Richtlinien für drahtlose Netzwerke ^{[ 18 ]} im Rahmen des PCI DSS veröffentlichte , die den Einsatz von WIPS zur Automatisierung des Scannens und des Schutzes drahtloser Netzwerke in großen Organisationen empfehlen.

Several WIPS vendors were established in the early 2000s. AirDefense was founded in 2001 and later acquired by Motorola in 2008^[19]. Mojo Networks was founded in 2004 and later acquired by Arista Networks in 2018^[20]. With the rapid growth of Wireless LANs, WIPS became an important part of every organization's security posture.

There are a range of wireless security measures, of varying effectiveness and practicality.

A simple but ineffective method to attempt to secure a wireless network is to hide the SSID (Service Set Identifier).^[21] This provides very little protection against anything but the most casual intrusion efforts.

One of the simplest techniques is to only allow access from known, pre-approved MAC addresses. Most wireless access points contain some type of MAC ID filtering. However, an attacker can simply sniff the MAC address of an authorized client and spoof this address.

Typical wireless access points provide IP addresses to clients via DHCP. Requiring clients to set their own addresses makes it more difficult for a casual or unsophisticated intruder to log onto the network, but provides little protection against a sophisticated attacker.^[21]

IEEE 802.1X is the IEEE Standardauthentication mechanisms to devices wishing to attach to a Wireless LAN.

The Wired Equivalent Privacy (WEP) encryption standard was the original encryption standard for wireless, but since 2004 with the ratification WPA2 the IEEE has declared it "deprecated",^[22] and while often supported, it is seldom or never the default on modern equipment.

Concerns were raised about its security as early as 2001,^[23] dramatically demonstrated in 2005 by the FBI,^[24] yet in 2007 T.J. Maxx admitted a massive security breach due in part to a reliance on WEP^[25] and the Payment Card Industry took until 2008 to prohibit its use – and even then allowed existing use to continue until June 2010.^[26]

Die Sicherheitsprotokolle Wi-Fi Protected Access (WPA und WPA2) wurden später entwickelt, um die Probleme von WEP zu beheben. Bei Verwendung eines schwachen Passworts, wie beispielsweise eines Wörterbuchworts oder einer kurzen Zeichenkette, können WPA und WPA2 geknackt werden. Die Verwendung eines ausreichend langen, zufällig generierten Passworts (z. B. 14 zufällige Buchstaben) oder einer Passphrase (z. B. 5 zufällig gewählte Wörter ) macht WPA mit vorab vereinbartem Schlüssel praktisch unknackbar. Die zweite Generation des WPA-Sicherheitsprotokolls (WPA2) basiert auf der finalen IEEE 802.11i- Erweiterung des 802.11- Standards und erfüllt die Anforderungen von FIPS 140-2 . Trotz all dieser Verschlüsselungsverfahren kann jeder Client im Netzwerk, der die Schlüssel kennt, den gesamten Datenverkehr mitlesen.

Wi-Fi Protected Access (WPA) ist eine Software-/Firmware-Verbesserung gegenüber WEP. Alle gängigen WLAN-Geräte, die bisher mit WEP funktionierten, können problemlos aktualisiert werden; es müssen keine neuen Geräte angeschafft werden. WPA ist eine abgespeckte Version des Sicherheitsstandards 802.11i , der vom IEEE 802.11 als Nachfolger von WEP entwickelt wurde. Der TKIP- Verschlüsselungsalgorithmus wurde für WPA entwickelt, um Verbesserungen gegenüber WEP zu bieten, die als Firmware- Updates auf bestehenden 802.11-Geräten implementiert werden können. Das WPA-Profil bietet optional auch Unterstützung für den AES-CCMP -Algorithmus, der in 802.11i und WPA2 bevorzugt wird.

WPA Enterprise bietet RADIUS- basierte Authentifizierung gemäß 802.1X. WPA Personal verwendet einen vorab vereinbarten Schlüssel ( PSK ) zur Authentifizierung mit einer 8 bis 63 Zeichen langen Passphrase. Der PSK kann auch als 64-stellige Hexadezimalzeichenkette eingegeben werden. Schwache PSK-Passphrasen lassen sich durch Offline-Wörterbuchangriffe knacken, indem die Nachrichten des Vier-Wege-Austauschs beim erneuten Verbinden des Clients nach der Deauthentifizierung abgefangen werden. Wireless-Tools wie aircrack-ng können eine schwache Passphrase in weniger als einer Minute knacken. Weitere WEP/WPA-Cracker sind AirSnort und Auditor Security Collection . ^{[ 27 ]} Dennoch ist WPA Personal sicher, wenn es mit sicheren Passphrasen oder einem vollständigen 64-stelligen Hexadezimalschlüssel verwendet wird.

Es gab jedoch Informationen, dass Erik Tews (der Entwickler des Fragmentierungsangriffs gegen WEP) auf der Sicherheitskonferenz PacSec in Tokio im November 2008 eine Methode zur Entschlüsselung der WPA-TKIP-Implementierung vorstellen würde, mit der die Verschlüsselung eines Datenpakets in 12 bis 15 Minuten geknackt werden könnte. ^{[ 28 ]} Die Ankündigung dieses „Cracks“ wurde von den Medien jedoch etwas übertrieben dargestellt, da der beste Angriff auf WPA (der Beck-Tews-Angriff) im August 2009 nur teilweise erfolgreich war: Er funktionierte nur bei kurzen Datenpaketen, konnte den WPA-Schlüssel nicht entschlüsseln und benötigte sehr spezifische WPA-Implementierungen. ^{[ 29 ]}

Neben WPAv1 können auch TKIP, WIDS und EAP hinzugefügt werden. Zudem lassen sich VPN -Netzwerke (nicht-kontinuierliche sichere Netzwerkverbindungen) gemäß dem 802.11-Standard einrichten. Zu den VPN-Implementierungen gehören PPTP , L2TP , IPsec und SSH . Diese zusätzliche Sicherheitsebene kann jedoch mit Tools wie Anger, Deceit und Ettercap für PPTP ^{[ 30 ]} sowie ike-scan, IKEProbe, ipsectrace und IKEcrack für IPsec-Verbindungen geknackt werden.

TKIP steht für Temporal Key Integrity Protocol und wird „Tee-Kip“ ausgesprochen. Es ist Teil des IEEE-802.11i-Standards. TKIP implementiert die Schlüsselmischung pro Paket mit einem Rekeying-System und bietet zudem eine Integritätsprüfung der Nachrichten. Dadurch werden die Probleme von WEP vermieden.

Die WPA-Verbesserung gegenüber dem IEEE 802.1X-Standard verbesserte bereits die Authentifizierung und Autorisierung für den Zugriff auf drahtlose und kabelgebundene LANs . Zusätzlich dazu haben weitere Maßnahmen wie das Extensible Authentication Protocol (EAP) die Sicherheit nochmals erhöht, da EAP einen zentralen Authentifizierungsserver verwendet. Im Jahr 2002 entdeckte ein Professor der Universität Maryland jedoch einige Schwachstellen. In den folgenden Jahren wurden diese durch den Einsatz von TLS und weiteren Verbesserungen behoben. ^{[ 31 ]} Diese neue Version von EAP heißt nun Extended EAP und ist in verschiedenen Varianten verfügbar, darunter: EAP-MD5, PEAPv0, PEAPv1, EAP-MSCHAPv2, LEAP, EAP-FAST, EAP-TLS, EAP-TTLS, MSCHAPv2 und EAP-SIM.

Zu den EAP-Versionen gehören LEAP, PEAP und andere EAPs.

SPRUNG

Dies steht für Lightweight Extensible Authentication Protocol. Dieses Protokoll basiert auf 802.1X und minimiert die ursprünglichen Sicherheitslücken durch die Verwendung von WEP und eines ausgeklügelten Schlüsselverwaltungssystems . Diese EAP-Version ist sicherer als EAP-MD5. Sie verwendet außerdem die MAC-Adressen-Authentifizierung. LEAP ist unsicher; THC-LeapCracker kann verwendet werden, um Ciscos Version von LEAP zu knacken und im Rahmen eines Wörterbuchangriffs gegen Computer eingesetzt zu werden, die mit einem Access Point verbunden sind . Anwrap und asleap sind weitere Cracker, die LEAP knacken können. ^{[ 27 ]}

PEAP

Dies steht für Protected Extensible Authentication Protocol (geschütztes, erweiterbares Authentifizierungsprotokoll). Dieses Protokoll ermöglicht die sichere Übertragung von Daten, Passwörtern und Verschlüsselungsschlüsseln ohne die Notwendigkeit eines Zertifikatservers. Es wurde von Cisco, Microsoft und RSA Security entwickelt .

Andere EAPs: Es gibt weitere Implementierungen des Extensible Authentication Protocol (EAP), die auf dem EAP-Framework basieren. Das etablierte Framework unterstützt sowohl bestehende EAP-Typen als auch zukünftige Authentifizierungsmethoden. ^{[ 32 ]} EAP-TLS bietet dank seiner gegenseitigen Authentifizierung einen sehr guten Schutz. Sowohl Client als auch Netzwerk werden mithilfe von Zertifikaten und sitzungsspezifischen WEP-Schlüsseln authentifiziert. ^{[ 33 ]} Auch EAP-FAST bietet einen guten Schutz. EAP-TTLS ist eine weitere Alternative von Certicom und Funk Software. Es ist komfortabler, da keine Zertifikate an die Benutzer verteilt werden müssen, bietet jedoch einen etwas geringeren Schutz als EAP-TLS. ^{[ 34 ]}

Zu den Lösungen gehört das neuere Authentifizierungssystem IEEE 802.1X , das eine höhere Sicherheit in kabelgebundenen und drahtlosen Netzwerken verspricht. Drahtlose Zugangspunkte mit solchen Technologien verfügen oft auch über integrierte Router und fungieren somit als drahtlose Gateways .

Man kann argumentieren, dass weder Layer-2- noch Layer-3- Verschlüsselungsmethoden ausreichend sind, um sensible Daten wie Passwörter und persönliche E-Mails zu schützen. Diese Technologien verschlüsseln lediglich Teile des Kommunikationswegs und ermöglichen es Angreifern weiterhin, den Datenverkehr abzufangen, sofern sie sich Zugang zum kabelgebundenen Netzwerk verschafft haben. Eine mögliche Lösung ist die Verschlüsselung und Autorisierung auf der Anwendungsschicht mithilfe von Technologien wie SSL , SSH , GnuPG , PGP und ähnlichen.

Der Nachteil der Ende-zu-Ende-Verschlüsselung besteht darin, dass sie möglicherweise nicht den gesamten Datenverkehr abdeckt. Bei der Verschlüsselung auf Router-Ebene oder per VPN verschlüsselt ein einzelner Switch den gesamten Datenverkehr, sogar UDP- und DNS-Anfragen. Bei der Ende-zu-Ende-Verschlüsselung hingegen muss die Verschlüsselung für jeden zu sichernden Dienst aktiviert sein, und oft muss auch jede Verbindung separat verschlüsselt werden. Beim E-Mail-Versand muss jeder Empfänger die Verschlüsselungsmethode unterstützen und die Schlüssel korrekt austauschen. Im Web bieten nicht alle Websites HTTPS an, und selbst wenn sie es tun, sendet der Browser IP-Adressen im Klartext.

Die wertvollste Ressource ist oft der Internetzugang. Ein Betreiber eines Büronetzwerks, der diesen Zugang einschränken möchte, steht vor der nicht unerheblichen Aufgabe, die Authentifizierung jedes Benutzers am Router zu erzwingen.

Der neueste und strengste Sicherheitsstandard für WLANs ist derzeit 802.11i RSN. Dieser vollständige 802.11i-Standard (der WPAv2 verwendet) erfordert jedoch – anders als WPAv1 – die neueste Hardware und somit möglicherweise die Anschaffung neuer Geräte. Diese benötigte Hardware kann entweder AES-WRAP (eine frühere Version von 802.11i) oder die neuere und bessere AES-CCMP-Hardware sein. Es ist wichtig, sich vorab zu vergewissern, ob man WRAP- oder CCMP-Hardware benötigt, da die beiden Hardwarestandards nicht kompatibel sind.

WPA2 ist eine von der WiFi Alliance entwickelte Version des finalen 802.11i-Standards. ^{[ 35 ]} Die wichtigste Verbesserung gegenüber WPA ist die obligatorische Integration des AES-CCMP -Algorithmus. Sowohl WPA als auch WPA2 unterstützen EAP-Authentifizierungsverfahren mit RADIUS-Servern und Pre-Shared Key (PSK).

Die Anzahl der WPA- und WPA2-Netzwerke nimmt zu, während die Anzahl der WEP-Netzwerke aufgrund der Sicherheitslücken in WEP abnimmt ^{[ 36 ] .}

Es wurde festgestellt, dass WPA2 mindestens eine Sicherheitslücke aufweist, die als Hole196 bekannt ist. Diese Schwachstelle nutzt den WPA2 Group Temporal Key (GTK), einen gemeinsamen Schlüssel aller Nutzer desselben BSSID , um Angriffe auf andere Nutzer desselben BSSID durchzuführen . Sie ist nach Seite 196 der IEEE-802.11i-Spezifikation benannt, auf der die Schwachstelle beschrieben wird. Für die erfolgreiche Ausnutzung dieser Schwachstelle muss der GTK dem Angreifer bekannt sein. ^{[ 37 ]}

Im Gegensatz zu 802.1X verfügt 802.11i bereits über die meisten zusätzlichen Sicherheitsdienste wie TKIP. Genau wie WPAv1 kann auch WPAv2 in Zusammenarbeit mit EAP und einem WIDS funktionieren .

Dies steht für WLAN-Authentifizierungs- und Datenschutzinfrastruktur. Es handelt sich um einen von der chinesischen Regierung definierten Standard für drahtlose Sicherheit.

Die Verwendung von Sicherheitstoken ist eine Authentifizierungsmethode, die darauf beruht, dass nur autorisierte Benutzer über das erforderliche Token verfügen. Smartcards sind physische Token in Karten, die einen eingebetteten integrierten Schaltkreis zur Authentifizierung nutzen und ein Kartenlesegerät benötigen. ^{[ 38 ]} USB-Token sind physische Token, die über einen USB-Anschluss verbunden werden, um den Benutzer zu authentifizieren. ^{[ 39 ]}

In manchen Fällen ist es sinnvoll, spezielle Wandfarbe und Fensterfolie an einem Raum oder Gebäude anzubringen, um drahtlose Signale deutlich zu dämpfen und so deren Ausbreitung außerhalb des Gebäudes zu verhindern. Dies kann die drahtlose Sicherheit erheblich verbessern, da es für Hacker schwierig ist, die Signale außerhalb des kontrollierten Bereichs eines Gebäudes, beispielsweise von einem Parkplatz aus, zu empfangen. ^{[ 40 ]}

Die meisten DoS-Angriffe lassen sich leicht erkennen. Viele sind jedoch selbst nach der Erkennung schwer zu stoppen. Hier sind drei der gängigsten Methoden, einen DoS-Angriff zu stoppen.

Blackholing ist eine Möglichkeit, einen DoS-Angriff zu stoppen. Dabei werden alle IP-Pakete eines Angreifers verworfen. Dies ist jedoch keine besonders effektive Langzeitstrategie, da Angreifer ihre Quelladresse sehr schnell ändern können.

Dies könnte negative Folgen haben, wenn es automatisiert erfolgt. Ein Angreifer könnte Angriffspakete gezielt mit der IP-Adresse eines Geschäftspartners fälschen. Automatisierte Abwehrmechanismen könnten legitimen Datenverkehr dieses Partners blockieren und weitere Probleme verursachen.

Die Validierung des Handshakes beinhaltet das Erzeugen von falschen Verbindungsaufbauten und das Warten auf die Zuweisung von Ressourcen, bis der Absender die Anfrage bestätigt hat. Einige Firewalls reagieren auf SYN-Floods, indem sie den TCP-Handshake vorab validieren. Dies geschieht durch das Erzeugen falscher Verbindungsaufbauten. Immer wenn ein SYN-Segment eintrifft, sendet die Firewall ein SYN/ACK-Segment zurück, ohne das SYN-Segment an den Zielserver weiterzuleiten.

Erst wenn die Firewall eine Bestätigung (ACK) empfängt, was nur bei einer legitimen Verbindung der Fall ist, sendet sie das ursprüngliche SYN-Segment an den Server, für den es bestimmt war. Die Firewall reserviert keine Ressourcen für eine Verbindung, wenn ein SYN-Segment eintrifft; daher stellt die Verarbeitung einer großen Anzahl falscher SYN-Segmente nur eine geringe Belastung dar.

Durch Ratenbegrenzung lässt sich der Datenverkehr bestimmter Art auf ein verkraftbares Maß reduzieren. Beispielsweise ist die Übertragung an das interne Netzwerk weiterhin möglich, jedoch nur mit begrenzter Datenrate. Dies dient der Abwehr subtiler DoS-Angriffe. Bei Angriffen auf einzelne Server ist dies vorteilhaft, da die Übertragungsleitungen so zumindest teilweise für andere Kommunikationswege offen bleiben.

Die Begrenzung der Datenrate frustriert sowohl Angreifer als auch legitime Nutzer. Sie hilft zwar, löst das Problem aber nicht vollständig. Sobald DoS-Angriffe die Internetverbindung blockieren, kann eine Firewall nichts mehr ausrichten. Die meisten DoS-Angriffe sind ein Problem der Allgemeinheit und lassen sich nur mit der Hilfe von Internetdienstanbietern und Organisationen stoppen, deren Computer von Bots missbraucht und für Angriffe auf andere Unternehmen eingesetzt werden.

Mit der zunehmenden Anzahl mobiler Geräte mit 802.1X-Schnittstellen gewinnt deren Sicherheit an Bedeutung. Während offene Standards wie Kismet primär auf die Absicherung von Laptops ausgerichtet sind ^{[ 41 ]} , sollten Access-Point-Lösungen auch mobile Geräte abdecken. Hostbasierte Lösungen für Mobiltelefone und PDAs mit 802.1X-Schnittstelle sind hierfür relevant.

Die Sicherheit mobiler Geräte lässt sich in drei Kategorien einteilen:

1. Schutz vor Ad-hoc-Netzwerken
2. Verbindung zu unautorisierten Zugangspunkten
3. Gegenseitige Authentifizierungsverfahren wie WPA2, wie oben beschrieben

Drahtlose IPS- Lösungen bieten jetzt drahtlose Sicherheit für mobile Geräte.

Mobile Patientenüberwachungsgeräte werden zu einem integralen Bestandteil des Gesundheitswesens und werden sich künftig als bevorzugte Methode für den Zugang zu und die Durchführung von Gesundheitschecks bei Patienten in abgelegenen Gebieten etablieren. Für diese Patientenüberwachungssysteme sind Sicherheit und Zuverlässigkeit von entscheidender Bedeutung, da sie den Zustand der Patienten beeinflussen und im Falle einer Kompromittierung die medizinischen Fachkräfte über den Zustand des Patienten im Unklaren lassen können. ^{[ 42 ]}

Um 802.11i zu implementieren, muss zunächst sichergestellt werden, dass sowohl der Router/Access Point als auch alle Client-Geräte die Netzwerkverschlüsselung unterstützen. Ist dies der Fall, muss ein Server wie RADIUS , ADS, NDS oder LDAP integriert werden. Dieser Server kann ein Computer im lokalen Netzwerk, ein Access Point/Router mit integriertem Authentifizierungsserver oder ein Remote-Server sein. Access Points/Router mit integriertem Authentifizierungsserver sind oft sehr teuer und eignen sich daher vor allem für kommerzielle Anwendungen wie Hotspots . Gehostete 802.1X-Server über das Internet sind kostenpflichtig; der Betrieb eines privaten Servers ist zwar kostenlos, hat aber den Nachteil, dass er eingerichtet werden muss und permanent laufen muss. ^{[ 43 ]}

Zur Einrichtung eines Servers müssen Server- und Client-Software installiert werden. Als Server-Software wird ein Enterprise-Authentifizierungsserver wie RADIUS, ADS, NDS oder LDAP benötigt. Die erforderliche Software kann von verschiedenen Anbietern wie Microsoft, Cisco, Funk Software, Meetinghouse Data oder aus Open-Source-Projekten bezogen werden. Die Software umfasst:

• Aradial RADIUS-Server
• Cisco Secure Access Control Software
• freeRADIUS (Open Source)
• Funk Software Steel Belted RADIUS (Odyssey)
• Microsoft Internet-Authentifizierungsdienst
• Meetinghouse Data EAGIS
• SkyFriendz (kostenlose Cloud-Lösung basierend auf freeRADIUS)

Die Client-Software ist in Windows XP integriert und kann mithilfe einer der folgenden Softwarelösungen in andere Betriebssysteme eingebunden werden:

• AEGIS-Client
• Cisco ACU-Client
• Intel PROSet/Wireless-Software
• Odyssey-Kunde
• Xsupplicant (open1X)-Projekt

Der Remote Authentication Dial-In User Service (RADIUS) ist ein AAA-Protokoll (Authentifizierung, Autorisierung und Abrechnung) für den Fernzugriff auf Netzwerke. RADIUS wurde 1991 entwickelt, war ursprünglich proprietär und wurde 1997 in den ISOC-Dokumenten RFC 2138 und RFC 2139 veröffentlicht. ^{[ 44 ] [ 45 ]} Die Idee besteht darin, dass ein interner Server als Gatekeeper fungiert und die Identität der Benutzer anhand eines zuvor festgelegten Benutzernamens und Passworts verifiziert. Ein RADIUS-Server kann zudem so konfiguriert werden, dass er Benutzerrichtlinien und -beschränkungen durchsetzt sowie Abrechnungsinformationen wie die Verbindungszeit für Zwecke wie die Rechnungsstellung erfasst.

Heute gibt es in vielen städtischen Gebieten nahezu flächendeckende WLAN-Abdeckung – die Infrastruktur für das drahtlose Gemeinschaftsnetzwerk (das manche als die Zukunft des Internets sehen) ist bereits vorhanden. Man könnte sich frei bewegen und wäre immer mit dem Internet verbunden, wenn die Zugangspunkte öffentlich zugänglich wären. Aus Sicherheitsgründen sind die meisten Zugangspunkte jedoch verschlüsselt, und die Nutzer wissen nicht, wie sie die Verschlüsselung deaktivieren können. Viele halten es für angebracht, Zugangspunkte öffentlich zugänglich zu lassen und so freien Internetzugang zu ermöglichen. Andere wiederum sind der Ansicht, dass die standardmäßige Verschlüsselung trotz geringer Unannehmlichkeiten einen erheblichen Schutz vor den Gefahren des offenen Zugangs bietet, die ihrer Meinung nach selbst bei einem DSL-Router zu Hause beträchtlich sein können.

Die Dichte der Zugangspunkte kann sogar problematisch sein – die Anzahl der verfügbaren Kanäle ist begrenzt und sie überlappen sich teilweise. Jeder Kanal kann zwar mehrere Netzwerke verwalten, aber an Orten mit vielen privaten WLAN-Netzwerken (z. B. in Wohnanlagen) kann die begrenzte Anzahl an WLAN-Kanälen zu Geschwindigkeitsproblemen und anderen Schwierigkeiten führen.

Laut den Befürwortern von offenen Zugangspunkten sollte die Öffnung drahtloser Netzwerke für die Öffentlichkeit keine nennenswerten Risiken bergen:

• Das drahtlose Netzwerk ist schließlich auf einen kleinen geografischen Bereich beschränkt. Ein mit dem Internet verbundener Computer mit fehlerhaften Konfigurationen oder anderen Sicherheitslücken kann von jedem überall auf der Welt ausgenutzt werden, wohingegen ein offener WLAN-Zugangspunkt nur von Nutzern in einem kleinen geografischen Umkreis ausgenutzt werden kann. Daher ist das Risiko bei einem offenen WLAN-Zugangspunkt gering, und auch die Risiken eines offenen WLAN-Netzwerks sind gering. Man sollte sich jedoch bewusst sein, dass ein offener WLAN-Router Zugriff auf das lokale Netzwerk ermöglicht, oft auch auf Dateifreigaben und Drucker.
• Die einzige Möglichkeit, die Kommunikation wirklich sicher zu gestalten, ist die Verwendung von Ende-zu-Ende-Verschlüsselung . Beim Online-Banking beispielsweise nutzt man fast immer eine starke Verschlüsselung vom Webbrowser bis zur Bank – daher sollte das Online-Banking über ein unverschlüsseltes WLAN-Netzwerk kein Risiko darstellen. Das Argument, dass jeder den Datenverkehr abfangen kann, gilt auch für kabelgebundene Netzwerke, wo Systemadministratoren und potenzielle Hacker Zugriff auf die Verbindungen haben und den Datenverkehr lesen können. Ebenso kann jeder, der die Schlüssel für ein verschlüsseltes WLAN-Netzwerk kennt, auf die über das Netzwerk übertragenen Daten zugreifen.
• Wenn Dienste wie Dateifreigaben, Druckerzugriff usw. im lokalen Netzwerk verfügbar sind, empfiehlt sich eine Authentifizierung (z. B. per Passwort) für den Zugriff (man sollte niemals davon ausgehen, dass das private Netzwerk von außen nicht zugänglich ist). Bei korrekter Einrichtung ist der Zugriff auf das lokale Netzwerk für Außenstehende sicher.
• Mit den heutzutage am weitesten verbreiteten Verschlüsselungsalgorithmen kann ein Sniffer den Netzwerkschlüssel in der Regel innerhalb weniger Minuten berechnen.
• Es ist sehr üblich, eine feste monatliche Gebühr für den Internetanschluss zu zahlen und nicht für das Datenvolumen – daher ist zusätzliches Datenvolumen nicht nachteilig.
• Wo Internetanschlüsse reichlich und günstig verfügbar sind, stellen Trittbrettfahrer selten ein nennenswertes Ärgernis dar.

Andererseits können in einigen Ländern, darunter Deutschland ^{[ 46 ]} , Personen, die einen offenen Zugangspunkt bereitstellen, (teilweise) für illegale Aktivitäten haftbar gemacht werden, die über diesen Zugangspunkt durchgeführt werden. Zudem legen viele Verträge mit Internetdienstanbietern fest, dass die Verbindung nicht mit anderen Personen geteilt werden darf.

Die Sicherheit drahtloser Netzwerke unterliegt in Branchen, die mit sensiblen Daten arbeiten, regulatorischen Vorgaben, da drahtlose Zugangspunkte die Angriffsfläche geschützter Informationssysteme vergrößern.

Die Sicherheitsrichtlinie des Health Insurance Portability and Accountability Act (HIPAA) verpflichtet betroffene Einrichtungen gemäß 45 CFR 164.312(e)(1) zur Implementierung technischer Sicherheitsmaßnahmen, um unbefugten Zugriff auf geschützte Gesundheitsdaten zu verhindern , die über elektronische Kommunikationsnetze, einschließlich drahtloser Netze, übertragen werden. „Sicherheitsstandards: Technische Schutzmaßnahmen“ . US-Gesundheitsministerium . Abgerufen am 1. April 2026 .Organisationen im Gesundheitswesen müssen gemäß 45 CFR 164.312(a)(1) Zugriffskontrollen und gemäß 45 CFR 164.312(b) Prüfkontrollen für alle über drahtlose Netzwerke zugänglichen Systeme implementieren. Die im Dezember 2024 veröffentlichte Bekanntmachung zur geplanten HIPAA-Sicherheitsregel (90 FR 898) sieht die Verschlüsselung aller elektronisch geschützten Gesundheitsdaten während der Übertragung vor, fordert die Netzwerksegmentierung zur Isolierung von Systemen mit geschützten Gesundheitsdaten und schreibt die Erstellung von Inventarlisten einschließlich drahtloser Zugangspunkte vor. „HIPAA-Sicherheitsregel zur Stärkung der Cybersicherheit elektronischer geschützter Gesundheitsdaten“ . Federal Register. 6. Januar 2025. Abgerufen am 1. April 2026 .

Die Anforderung 4.2 des Payment Card Industry Data Security Standard (PCI DSS) Version 4.0 schreibt eine starke Kryptografie für die Übertragung von Karteninhaberdaten über offene, öffentliche Netzwerke, einschließlich drahtloser Verbindungen, vor. Anforderung 11.2 verlangt die Erkennung unautorisierter drahtloser Zugangspunkte durch vierteljährliche Scans oder kontinuierliche Überwachung. „PCI DSS v4.0“ . PCI Security Standards Council. März 2022. Abgerufen am 1. April 2026 .

• Aircrack-ng
• Elektromagnetische Abschirmung
• Kismet
• KRACK
• Liste der Router-Firmware-Projekte
• Knacken von Netzwerkverschlüsselung
• Mobile Sicherheit
• Zahlungskartenindustrie-Datensicherheitsstandard
• Stealth-Tapete
• Tempest (Codename)
• Drahtloses Einbruchspräventionssystem
• Drahtlose Public-Key-Infrastruktur (WPKI)
• Ausnutzung drahtloser Netzwerke

• Wi-Foo: Die Geheimnisse des drahtlosen Hackings (2004) – ISBN 978-0321202178
• Echte 802.11-Sicherheit: Wi-Fi Protected Access und 802.11i (2003) – ISBN 978-0321136206
• Entwurf und Implementierung von WLAN-Authentifizierung und -Sicherheit (2010) – ISBN 978-3838372266
• „Die Evolution der drahtlosen Sicherheit nach 802.11“ (PDF) . ITFROC. 18.04.2010.
• Boyle, Randall, Panko, Raymond. Unternehmens-Computersicherheit . Upper Saddle River, New Jersey. 2015

• Wie Sie Ihr drahtloses Heimnetzwerk sichern ( wikiHow)