WPA – Wi-Fi Protected Access

Abkürzung: WPA

Die drei Generationen

WPA, 2003. Eingeführt als Zwischenlösung, nachdem WEP als gebrochen galt. Verwendet TKIP, das auf vorhandener Hardware nachgerüstet werden konnte. Gilt heute als unsicher und sollte nicht mehr verwendet werden.

WPA2, 2004. Setzt IEEE 802.11i vollständig um und verwendet CCMP auf Grundlage von AES. Bis heute weit verbreitet und bei sorgfältiger Konfiguration weiterhin brauchbar.

WPA3, 2018. Ersetzt das Anmeldeverfahren durch SAE, schreibt den Schutz der Management-Frames vor und bietet vorwärtsgerichtete Geheimhaltung. Der aktuelle Stand.

Personal und Enterprise

Personal, auch PSK genannt. Alle Teilnehmer verwenden dasselbe Passwort. Der Regelfall im Heimnetz.

Enterprise. Jeder Nutzer meldet sich mit eigenen Zugangsdaten an, geprüft über einen RADIUS-Server nach IEEE 802.1X. Aufwendiger einzurichten, dafür lassen sich einzelne Zugänge sperren, ohne das Netz neu einzurichten. Welches Verfahren dabei tatsächlich die Prüfung übernimmt, legt EAP fest — und dort liegt auch die praktisch wichtigste Fehlerquelle, nämlich eine Client-Einrichtung, die das Serverzertifikat nicht prüft.

WPA3-Enterprise sieht zusätzlich einen Modus mit erhöhter Schlüssellänge für Umgebungen mit besonderen Anforderungen vor.

Der Vier-Wege-Handshake

Unabhängig von der Variante läuft nach der Anmeldung immer dasselbe ab: Aus dem gemeinsamen Geheimnis — bei Personal aus dem Passwort, bei Enterprise aus dem Ergebnis der 802.1X-Prüfung — leiten Gerät und Access Point in vier Nachrichten den eigentlichen Sitzungsschlüssel ab.

Dieser Austausch ist der Grund, warum bei WPA2-Personal ein Offline-Angriff überhaupt möglich ist: Er enthält einen Wert, der sich gegen Passwortkandidaten nachrechnen lässt. Wer ihn mitschneidet, kann beliebig lange und ohne Kontakt zum Netz Passwörter durchprobieren.

KRACK

2017 wurde gezeigt, dass nicht nur das Passwort, sondern der Handshake selbst angreifbar war. Der als KRACK bekannte Angriff bringt ein Gerät dazu, eine Nachricht des Austauschs erneut zu verarbeiten und dabei den Zählerstand der Verschlüsselung zurückzusetzen. Derselbe Zähler unter demselben Schlüssel bedeutet, dass sich Teile des Verkehrs entschlüsseln lassen.

Betroffen war die Umsetzung in nahezu allen Betriebssystemen, nicht das Verfahren an sich — behoben wurde es durch Aktualisierungen, die eine Wiederholung erkennen. Bemerkenswert bleibt die Lehre: Der Angriff richtete sich gegen den Zustandsautomaten, nicht gegen die Kryptografie, und traf deshalb auch Netze mit einwandfreiem Passwort.

Was WPA3 besser macht

SAE statt Vier-Wege-Handshake mit PSK. Bei WPA2-Personal lässt sich der Anmeldevorgang mitschneiden und anschließend offline gegen eine Passwortliste prüfen. Ein schwaches Passwort fällt dabei schnell. SAE macht diesen Angriff unbrauchbar, weil sich aus dem Mitschnitt kein prüfbares Merkmal gewinnen lässt.

Vorwärtsgerichtete Geheimhaltung. Wer später das Passwort erfährt, kann damit früher aufgezeichneten Verkehr nicht entschlüsseln. Bei WPA2 ist das möglich.

Geschützte Verwaltungsrahmen. Bei WPA2 optional, bei WPA3 vorgeschrieben. Sie verhindern, dass Dritte Geräte mit gefälschten Abmeldenachrichten aus dem Netz werfen.

Verschlüsselte offene Netze. Für Netze ohne Passwort gibt es ein Verfahren, das den Verkehr trotzdem verschlüsselt. Es schützt nicht vor einem böswilligen Betreiber, wohl aber vor dem Mitlesen durch andere Teilnehmer.

Übergangsbetrieb

Viele Access Points bieten einen gemischten Modus an, der WPA2 und WPA3 gleichzeitig zulässt. Ältere Geräte bleiben dadurch nutzbar.

Der Preis ist, dass die Vorteile von WPA3 in dieser Betriebsart nur für Geräte gelten, die es beherrschen. Ein Angreifer kann zudem versuchen, eine Anmeldung auf das schwächere Verfahren zu drängen.

Einzelne ältere Geräte kommen mit dem gemischten Modus nicht zurecht und verweigern die Anmeldung. Bei unerklärlichen Anmeldeproblemen einzelner Geräte lohnt der Versuch, testweise auf reines WPA2 zu schalten.

Was das Passwort leisten muss

Bei WPA2-Personal hängt die Sicherheit fast vollständig am Passwort, weil der Offline-Angriff möglich ist. Kurze oder in Wörterbüchern enthaltene Passwörter fallen in kurzer Zeit.

Bei WPA3 entfällt dieser Angriffsweg, ein gutes Passwort bleibt aber sinnvoll.

Nebenschauplatz WPS

WPS erleichtert die Anmeldung per Knopfdruck oder achtstelliger PIN. Das PIN-Verfahren ist angreifbar, weil sich die PIN in zwei Hälften erraten lässt. Es sollte abgeschaltet werden, unabhängig davon, welches WPA-Verfahren eingesetzt wird.

Abgrenzung

WEP ist der Vorgänger und gilt seit Anfang der 2000er-Jahre als gebrochen.

IEEE 802.11i ist die zugrunde liegende Norm. WPA2 setzt sie vollständig um, WPA war eine Vorabfassung.

WPA verschlüsselt die Funkstrecke zwischen Gerät und Access Point. Was dahinter geschieht, ist nicht geschützt. Transportverschlüsselung auf Anwendungsebene ersetzt es nicht — siehe TLS. Wer auch den Abschnitt hinter dem Access Point absichern will, braucht dafür eigene Mittel.