M 2.388 Geeignetes WLAN-Schlüsselmanagement

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Die Verwendung kryptographischer Sicherheitsmechanismen setzt die vertrauliche, integere und authentische Erzeugung, Verteilung und Installation von geeigneten Schlüsseln voraus (siehe auch M 2.46 Geeignetes Schlüsselmanagement). Bei der Verwendung von WEP bzw. WPA-PSK oder WPA2-PSK hängt die Sicherheit des WLANs wesentlich davon ab, dass die verwendeten WLAN-Schlüssel geeignet ausgewählt und nicht kompromittiert wurden. Daher muss ein geeignetes Verfahren zum Schlüsselmanagement ausgewählt werden, passend zu den vorhandenen Kryptomechanismen. Hierbei muss zunächst unterschieden werden zwischen statischem (manuellen) und dynamischem Schlüsselmanagement.

WEP

Bei WEP wird nur ein einziger, statischer Schlüssel verwendet, d. h. in jeder WLAN-Komponente in einem Netz muss derselbe WEP-Schlüssel eingetragen sein. Weiterhin sieht WEP kein dynamisches Schlüsselmanagement vor, so dass die Schlüssel manuell administriert werden müssen. Da WEP-Schlüssel in kürzester Zeit kompromittiert werden können, sollte WEP nicht mehr eingesetzt werden. Falls es aus irgendwelchen Gründen doch eingesetzt wird, müssen die Schlüssel regelmäßig manuell gewechselt werden (mindestens einmal täglich).

WPA / WPA2 mit TKIP oder CCMP

Bei WPA wird TKIP eingesetzt, das die Nutzung dynamischer kryptographischer Schlüssel statt ausschließlich statischer bei WEP erlaubt. Bei IEEE 802.11i (WPA2) kommt CCMP als kryptographisches Verfahren zur Integritätssicherung und zur Verschlüsselung der Nutzdaten hinzu.

TKIP und CCMP sind symmetrische Verfahren, alle Kommunikationspartner müssen daher einen gemeinsamen Schlüssel konfiguriert haben. Dieser Schlüssel wird als Pairwise Master Key (PMK) bezeichnet. Der Pairwise Master Key (PMK) kann über zwei verschiedene Wege auf die beteiligten WLAN-Komponenten gelangen:

Generell sollten in regelmäßigen Abständen, mindestens jedoch vierteljährlich, die Schlüsselinformationen bei allen WLAN-Komponenten ausgetauscht werden. Bei größeren Installationen sollte hierfür eine geeignete Funktion in der zentralen WLAN-Management-Lösung enthalten sein, um den Arbeitsaufwand gering zu halten.

Der Wechsel der Schlüsselinformationen an allen WLAN-Komponenten sollte bereits während der Planungsphase genau getestet werden, um dadurch eventuell auftretende Schwierigkeiten zu erkennen.

Prüffragen: