Dammbruch bei WEP

[02.05.2005 13:00]

Michael Schmidt

Der WEP-Wall bricht

Moderne Tools knacken WLANs in Minuten

Noch immer bieten viele aktuelle WLAN-Komponenten nur den seit längerem geknackten Verschlüsselungsstandard WEP zum Schutz der Funkverbindung an. Neue Tools knacken ihn mittlerweile in wenigen Minuten.

Eigentlich sollte das WLAN-Verschlüsselungssystem Wired Equivalent Privacy (WEP) aus Sicherheitsgründen längst durch die als sicher erachteten Nachfolgestandards WPA und WPA2 (auch bekannt als IEEE 802.11i) ersetzt worden sein [1]. Doch viele auf dem Markt angebotene WLAN-Adapter bieten immer noch nur WEP zum Schutz der Funkverbindung an. Als Begründung hört man oft, dass es doch für geringere Sicherheitsanforderungen -- etwa das heimische WLAN -- ausreichend sei. Für einen erfolgreichen Angriff zum Knacken des Schlüssels müsse man mehrere hundert Megabyte, wenn nicht gar einige Gigabyte an Daten mitschneiden -- so was könne Wochen dauern. Doch diese Ansicht ist längst veraltet, eine neue Generation von Tools nutzt verfeinerte Ansätze und Methoden, um erheblich schneller zum Ziel zu kommen.

Statistik

Eines der populärsten Tools zum passiven Angriff auf WEP ist Airsnort (http://airsnort.shmoo.com). Es beruht auf der bahnbrechenden Attacke von Fluhrer, Mantin und Shamir und erfordert das Abhören von fünf bis zehn Millionen Datenpaketen, um den geheimen WEP-Schlüssel in rund einer Sekunde zu brechen [2]. Da sich die FMS-Attacke die Verwendung schwacher RC4-Schlüssel in WEP zu Nutze macht, sind die Hersteller von WLAN-Komponenten dazu übergegangen, diese Schlüssel soweit wie möglich zu vermeiden, etwa bei WEPplus [3]. Für einen erfolgreichen Angriff auf WEPplus-Systeme stellt die Zahl von zehn Millionen abgehörten Paketen sicherlich das Minimum dar.

Im August letzten Jahres kam es jedoch zu einem Quantensprung in der Effizienz der Werkzeuge zum Cracken von WEP. Ein Programmierer mit dem Pseudonym KoreK veröffentlichte im Netstumbler-Forum ein Code-Beispiel, das als Grundlage für eine neue Art von Attacken dient [4]. Diese so genannte Korek-Attacke ist nicht mehr auf eine ausreichenden Anzahl von schwachen RC4-Schlüsseln angewiesen, sondern konsumiert dankbar jedes Datenpaket mit eindeutigem RC4-Initialisierungsvektor (IV). Der Angriff basiert auf statistischer Kryptanalyse: Je mehr Pakete mit einmaligen IVs man auffängt, desto wahrscheinlicher kann der Schlüssel gebrochen werden.

Das zu aircrack gehörende airodump schreibt alle abgehörten Pakete zum späteren Knacken in eine Datei

Kurz nach der Veröffentlichung erschienen erste Implementierungen der Korek-Attacke in Tools wie aircrack, WepLab und schließlich auch in Airsnort [5,6]. Der US-Sicherheitsanalyst Michael Ossmann hat eine Übersicht über die Anzahl abgehörter Pakete und Zeiten veröffentlicht, die gemäß seinen Tests erforderlich sind, um einen 104-Bit-WEP-Schlüssel mit diesen Tools zu brechen [7]. Demzufolge erlauben die KoreK-basierten Tools, den Schlüssel ab 500.000 aufgefangenen Paketen mit einem 1,6-GHz-Pentium in einer Rechenzeit von 5 bis 25 Sekunden mit einer Erfolgswahrscheinlichkeit von über achtzig Prozent zu knacken. Ab fünf Millionen Paketen nähert man sich an hundert Prozent an -- die Rechenzeit stieg bei Ossmann auf 50 Sekunden und mehr an. Die klassische AirSnort-Variante erreicht eine Erfolgswahrscheinlichkeit von 100 Prozent erst ab rund 15 Millionen Paketen. Um rund 800.000 Pakete zu sammeln, benötigt ein Angreifer in einem halbwegs ausgelasteten 11MBit/S-WLAN unter zwei Stunden.

Für Ungeduldige

Nun ist selbst das Einsammeln von nur 500.000 geeigneten Datenpaketen nicht immer trivial, wenn im angegriffenen Funknetz einfach zu wenig über den Äther geht. Um solche Systeme zu brechen, erzeugt der Angreifer selbst den erforderlichen Verkehr. Dabei kommt eine neuartige, aktive Attacke zum Einsatz: Der Angreifer schleust ein abgefangenes, korrekt verschlüsseltes Datenpaket in das WLAN ein, um ein Antwortpaket zu provozieren. WEP ist nämlich nicht gegen Replay-Attacken, also das Wiedereinspielen abgefangener Pakete, immun und stört sich auch nicht am immer gleichen IV dieser Pakete.

Damit ist man sogar in der Lage, in neuere WLAN-Systeme einzubrechen, die den WEP-Schlüssel periodisch oder pro Sitzung wechseln, sodass möglicherweise keine 500.000 Pakete mit demselben Schlüssel und eindeutigen IVs zu Stande kommen.

Bei zu wenigen eindeutigen IVs beißt sich auch aircrack die Zähne aus

Der Eindringling versucht dazu einen verschlüsselten ARP-Request abzufangen und mit dem in aircrack enthaltenen Werkzeug aireplay tausendfach wieder einzuschleusen [5]. Üblicherweise erkennt man ein solches Paket an der geringen Größe und der Hardware-Broadcast-Adresse (FF:FF:FF:FF:FF:FF). Die vielen Antworten besitzen alle für eine erfolgreiche Korek-Attacke benötigten eindeutigen IVs. Durch das künstliche Erzeugen von viel Verkehr in einem Funknetzwerk soll es beispielsweise dem US-amerikanischen FBI auf einer Vorführung gelungen sein, den WEP-Schlüssel in einem 54MBit/s schnellen Funknetz in drei Minuten zu knacken.

Allerdings führt der Einsatz des Tools nicht immer zum Ziel. Bei Tests gelang es uns nicht, damit gültige WLAN-Pakete zu erzeugen. Auch mit der neuesten aireplay-Version 2.3, wie sie etwa in der Knoppix-basierenden Tool-Sammlung Auditor Security Collection[1] enthalten ist, registrierten wir kein einziges Paket. Schaut man sich die Mailing-Listen und Foren zu dem Tool an, so berichten viele Anwender ebenfalls von erfolglosen Versuchen. Einige Postings deuten darauf hin, dass der Angriff offenbar nur mit einigen Kombinationen von WLAN-Karten, Treibern und Access Points funktioniert.