M 4.293 Sicherer Betrieb von Hotspots
Verantwortlich für Initiierung: Behörden-/Unternehmensleitung, Leiter IT
Verantwortlich für Umsetzung: Leiter IT, IT-Sicherheitsmanagement, Administrator
Zweck eines Hotspots ist im Allgemeinen (fremden) Benutzern einen einfachen Zugang zum Internet zu erlauben. Um einen Hotspot dauerhaft und sicher betreiben zu können, ist eine erfolgreiche Authentisierung aller Benutzer am Hotspot erforderlich. Gebräuchliche und ansatzweise sichere Verfahren sind beispielsweise:
-
Webauthentisierung
Hierbei gibt der Benutzer über eine Webschnittstelle seine Zugangsdaten (IP-Adresse, Benutzername, Passwort etc.) ein. Dies sollte natürlich über SSL/TLS verschlüsselt erfolgen. Nach einer erfolgreichen Anmeldung wird der Zugang für den Client freigeschaltet. - PPTP (Point to Point Tunnel Protocol)
PPTP ist ein typisches Tunneling-Protokoll für VPNs, also Protokollen, die verwendet werden, um Daten bei der Übertragung zu verschlüsseln, durch den Tunnel zu übertragen und die Verbindung zu verwalten. Als kryptographische Verfahren stehen bei PPTP RC4 mit 40 oder 128 Bit zur Verschlüsselung sowie PAP oder CHAP zur Authentisierung zur Auswahl. Aufgrund von Sicherheitsproblemen in der ersten Version sollte nur PPTPv2 zum Einsatz kommen sowie ein Verschlüsselungsverfahren mit ausreichender Schlüssellänge. - IPSec
IPSec bietet starke kryptographische Verfahren und eine gegenseitige Authentisierung der Kommunikationspartner. Diese sollte sinnvollerweise auf Zertifikaten basieren. Deren Verwendung ist aber einerseits noch nicht in allen IPsec-Implementationen vorgesehen, zum anderen müssen diese erst geeignet generiert und verteilt werden (typisches PKI-Problem). - WLAN-spezifische Sicherheitsmechanismen wie WEP, IEEE 802.1X, WPA, WPA2, TKIP, IEEE 802.11i
Bei allen WLAN-spezifischen Sicherheitsmechanismen soll für Sicherheit auf der Funkstrecke gesorgt werden. Diese müssen geeignet kombiniert werden. Aufgrund der Entwicklung in diesen Bereichen (siehe oben) sind aufgrund des Verbreitungsgrads bzw. der Sicherheitsmängel dieser Verfahren nicht alle für die Verwendung bei Hotspots geeignet.
Beim Betrieb von Hotspots sollten außerdem folgende Sicherheitsmaßnahmen umgesetzt werden:
- Access Points, die als Hotspot betrieben werden sollen, dürfen nicht direkt mit einem LAN verbunden werden, sondern nur über ein Sicherheitsgateway.
- Die Kommunikation von WLAN-Clients untereinander, die sogenannte Inter-Client-Kommunikation, sollte komplett unterbunden werden.
- Die Funkschnittstelle sollte mit Funk-Analyse-Systemen überwacht werden, um fremde Access Points und Hotspots zu erkennen.
- Die Authentisierungsdaten sollten über die Funkstrecke, also zwischen WLAN-Client und Access Point immer verschlüsselt übertragen werden. Bei der weiteren Übertragung der Daten von einem Hotspot-Access Point zu den Authentisierungssystemen (beispielsweise einem RADIUS-Server) sind geeignete Verschlüsselungsverfahren wie SSL oder IPSec anzuwenden, vor allem bei der Nutzung öffentlicher Netze.
- Falls für die Authentisierung Zertifikate verwendet werden, sollten diese von einer geeigneten Zertifizierungsinstanz signiert sein. Außerdem sollte der Fingerprint des Serverzertifikats veröffentlicht werden, damit Benutzer die Echtheit überprüfen können.
- Jeder Betreiber eines Hotspots sollte mindestens ein geeignetes Verfahren zur Verschlüsselung der Funkstrecke anbieten, damit die Benutzer ihre Daten vor unbefugtem Mitlesen schützen können. Nicht alle Benutzer haben allerdings ein ausgeprägtes Interesse am Schutz ihrer Daten und Systeme. Es können auch die technischen Voraussetzungen für die Nutzung von angebotenen Verschlüsselungsverfahren fehlen. Daher sollte deren Nutzung optional sein. Die Benutzer sollten aber unbedingt auf die Möglichkeit und die Vorteile der verschlüsselten Übertragung hingewiesen werden.
- Viele Benutzer wollen über einen Hotspot per Remote Access auf das Netz der eigenen Institution zugreifen. Hierfür müssen diese die organisationseigenen Sicherheitsvorgaben umsetzen können. Daher sollte die technische Ausgestaltung des Hotspots die Nutzung typischer Sicherheitsmaßnahmen wie IPsec ermöglichen.
Außerdem sollten Hotspot-Betreiber regelmäßig die Protokolle daraufhin überprüfen, ob hier Unregelmäßigkeiten zu erkennen sind, also beispielsweise die Zahl der Benutzer die der angemeldeten Gäste übersteigt.
Anbieter von öffentlichen Hotspots haben darüber hinaus die jeweiligen gesetzlichen und regulatorischen Vorgaben zu beachten. In Deutschland gehören hierzu die Vorgaben der Bundesnetzagentur für die Bereitstellung von Internetzugängen.
Die Sicherheitsrichtlinien, die Hotspot-Benutzer beachten sollten, sind in M 2.389 Sichere Nutzung von Hotspots beschrieben.
Ergänzende Kontrollfragen:
- Sind die Nutzungsbedingung für den Hotspot für jeden Benutzer transparent?
- Wurden ausreichende Maßnahmen getroffen, um die Funkstrecke abzusichern?