Das Österreichische Informationssicherheitshandbuch umfaßt 708 Seiten.
Dieses Werk komplett durchzuarbeiten bedeutet einiges an Arbeitsaufwand.
Aus diesem Grunde habe ich hier einige Passagen herausgearbeitet um einen raschen und niederschwelligen Einstieg in IT-Security-Themen zu ermöglichen.

  • sicheres Paßwort
  • Virenschutz
  • Datensicherung
  • Update von Software
  • Stromversorgung, USV
  • Firewall
  • E-Mail-Nutzung
  • Absicherung W-Lan

 

Erste Maßnahmen:

 

sicheres Paßwort

Im Folgenden werden einige Grundregeln gegeben, die eine Art Mindeststandard für die Wahl und die Handhabung von Passwörtern darstellen.
Für BenutzerInnen mit umfangreichen Rechten, wie etwa AdministratorInnen, bzw. in Bereichen, in denen mit streng vertraulichen Informationen gearbeitet wird, werden die Anforderungen i. Allg. höher liegen.
• Das Passwort sollte mindestens 6 Zeichen lang sein.
• Es ist zu prüfen, ob das Berechtigungssystem alle Stellen des Passwortes oder nur Teile davon überprüft.
• Innerhalb des Passwortes sollte mindestens ein Zeichen verwendet werden, das kein Buchstabe ist (Sonderzeichen oder Zahl).
• Passwörter mit spezieller, von Außenstehenden leicht zu erratender Bedeutung, wie Namen, Geburtsdaten, Firmen- oder Abteilungsbezeichnungen, Kfz-Kennzeichen etc. sind ebenso zu vermeiden wie Standardausdrücke wie TEST, SYSTEM und Tastatur- und Zeichenmuster, wie ABCDEF, QWERTZ, 123456 etc.
• Voreingestellte Passwörter (z. B. des Herstellers bei Auslieferung von Systemen) müssen umgehend durch individuelle Passwörter ersetzt werden. Der Hersteller bzw. Lieferant sollte dazu nach allen voreingestellten Benutzerkennungen und Passwörtern befragt werden.
• Passwörter dürfen nicht auf programmierbaren Funktionstasten gespeichert werden.
• Die Eingabe des Passwortes sollte unbeobachtet stattfinden.
• Bei der Eingabe darf das Passwort nicht auf dem Bildschirm angezeigt werden.
• Das Passwort muss geheim gehalten werden und sollte nur den jeweiligen BenutzerInnen persönlich bekannt sein.
• Das Passwort sollte nach Möglichkeit nicht schriftlich fixiert werden. Wird es doch aufgeschrieben, so ist für die Sicherheit dieser Aufzeichnungen besonders Sorge zu tragen.
• Das Passwort muss regelmäßig gewechselt werden, z. B. alle 90 Tage.
• Ist das Passwort unautorisierten Personen bekannt geworden, so ist ein sofortiger Passwortwechsel durchzuführen.

 

Virenschutz

Um für ein komplexes IT-System oder eine gesamte Organisation einen effektiven Virenschutz zu erreichen, ist ein mehrstufiges Schutzkonzept erforderlich, bei dem in jeder Stufe angemessene und aufeinander abgestimmte Schutzmaßnahmen realisiert werden.
Schutzmaßnahmen sind zu treffen:
• auf Ebene der Firewall
• auf Server-Ebene
• auf Client-Ebene
Neben den technischen Schutzmaßnahmen sind auch organisatorische und personelle Maßnahmen erforderlich, um einem Virenbefall so weit wie möglich vorzubeugen, bzw. im Falle eines Virenbefalls den Schaden möglichst zu begrenzen.

weitere Überlegungen:
Vermeidung bzw. Erkennung von Viren durch die BenutzerInnen
Erstellung von Notfallplänen im Fall von Vireninfektionen
Auswahl und Einsatz von Virenschutzprogrammen
Verhaltensregeln bei Auftreten eines Virus
Warnsystem für Computerviren z.B. zentrale Verwaltung
Aktualisierung von Virenschutzprogrammen


Datensicherung

Zur Vermeidung von Datenverlusten müssen regelmäßige Datensicherungen durchgeführt werden. In den meisten Rechnersystemen können diese weitgehend automatisiert erfolgen. Es sind Regelungen zu treffen, welche Daten von wem wann gesichert werden. Empfehlenswert ist die Erstellung eines Datensicherungskonzeptes.
Abhängig von der Menge und Wichtigkeit der laufend neu gespeicherten Daten und vom möglichen Schaden bei Verlust dieser Daten ist Folgendes festzulegen:
• Umfang der zu sichernden Daten. Am einfachsten ist es, Partitionen bzw. Verzeichnisse festzulegen, die bei der regelmäßigen Datensicherung berücksichtigt werden. Eine geeignete Differenzierung kann die Übersichtlichkeit vergrößern sowie Aufwand und Kosten sparen helfen. Z. B.: Sicherung der selbsterstellten Dateien und der individuellen Konfigurationsdateien.
• Zeitintervall: z. B. täglich, wöchentlich, monatlich
• Zeitpunkt: z. B. nachts, freitags abends
• Anzahl der aufzubewahrenden Generationen: bei täglicher Komplettsicherung werden z. B. die letzten sieben Sicherungen aufbewahrt, außerdem die Freitagabendsicherungen der letzten zwei Monate.
• Speichermedien (abhängig von der Datenmenge): z. B. Bänder, DVDs, Wechselplatten etc.
• Wiederaufbereitung der Datenträger (Löschung vor Wiederverwendung)
• Zuständigkeit für die Durchführung (Systemadministration, BenutzerIn)
• Zuständigkeit für die Überwachung der Sicherung, insbesondere bei automatischer Durchführung (Fehlermeldungen, verbleibender Platz auf den Speichermedien)
• Dokumentation der erstellten Sicherungen (Datum, Art der Durchführung der Sicherung, gewählte Parameter, Beschriftung der Datenträger)

weitere Überlegungen:
Entwicklung eines Datensicherungskonzeptes
Festlegung des Minimaldatensicherungskonzeptes
Datensicherung bei Einsatz kryptographischer Verfahren
Geeignete Aufbewahrung der Backup-Datenträger
Sicherungskopie der eingesetzten Software
Beschaffung eines geeigneten Datensicherungssystems
Datensicherung bei mobiler Nutzung eines IT-Systems
Verpflichtung der MitarbeiterInnen zur Datensicherung
Recovery-Szenarien testen

 

Update von Software

Durch ein Update von Software können Schwachstellen beseitigt oder Funktionen erweitert werden.
Ein Update ist insbesondere dann erforderlich, wenn Schwachstellen bekannt werden, die Auswirkungen auf den sicheren Betrieb des Systems haben, wenn Fehlfunktionen wiederholt auftauchen oder eine funktionale Erweiterung aus sicherheitstechnischen oder fachlichen Erfordernissen notwendig wird.
Vor einem Update sind die Funktionalität, die Interoperabilität und die Zuverlässigkeit der neuen Komponenten genau zu prüfen. Dies geschieht am sinnvollsten auf einem eigenen Testsystem, bevor das Update in den produktiven Einsatz übernommen wird.
Insbesondere ist darauf Bedacht zu nehmen, dass in der Vorgängerversion explizit behobene Sicherheitsmängel nicht wieder neu auftauchen, bzw. getroffene Parametrisierungen nachgezogen werden. Updates und sicherheitsrelevante Patches werden in der Regel durch den Hersteller bei Bedarf zur Verfügung gestellt. Es ist dabei zu beachten, dass derartige Updates und Patches unbedingt nur aus vertrauenswürdigen Quellen bezogen werden dürfen.
Die Authentizität der Quelle ist nach Möglichkeit zu prüfen (beispielsweise anhand vorhandener Serverzertifikate).

 

Stromversorgung, USV

Zentrale Notstromversorgung
In Bereichen, in denen die Stromversorgung bei Ausfällen des öffentlichen Netzes über einen längeren Zeitraum aufrechtzuerhalten ist - dies kann sowohl für die Versorgung von IT-Anlagen als auch der Infrastruktur gelten - ist eine zentrale Notstromversorgung vorzusehen.
Diese wird in der Regel als Diesel-Notstrom-Aggregat realisiert. In einzelnen Fällen, wo die Verfügbarkeitsanforderungen es zulassen, kann die Notstromversorgung auch in Form einer zweiten Energieeinspeisung aus dem Netz eines zweiten Energieversorgungsunternehmens (EVU) realisiert werden.

Lokale unterbrechungsfreie Stromversorgung
Mit einer unterbrechungsfreien Stromversorgung (USV) kann ein kurzzeitiger Stromausfall überbrückt werden oder die Stromversorgung solange aufrechterhalten werden, dass ein geordnetes Herunterfahren angeschlossener Rechner möglich ist.
Dies ist insbesondere dann sinnvoll, wenn
• im Rechner umfangreiche Daten zwischengespeichert werden (z. B. Cache- Speicher im Netz-Server), bevor sie auf nichtflüchtige Speicher ausgelagert werden,
• beim Stromausfall ein großes Datenvolumen verloren gehen würde und nachträglich nochmals erfasst werden müsste,
• die Stabilität der Stromversorgung nicht ausreichend gewährleistet ist.
Drei Arten der USV sind zu unterscheiden:
• Off-line-USV: Hierbei werden die angeschlossenen Verbraucher im Normalfall direkt aus dem Stromversorgungsnetz gespeist. Erst wenn dieses ausfällt, schaltet sich die USV selbsttätig zu und übernimmt die Versorgung.
• Netzinteraktive USV: Eine Weiterentwicklung der off-line-USV, bei der die eingehende Netzspannung über einen automatischen Spannungsregelkreis (AVR) direkt an den Verbraucher weitergeleitet wird. Wird von der USVElektronik ein Netzausfall erkannt, schaltet sie den bereits netzsynchron mitlaufenden Wechselrichter von Netzversorgung auf Batterieeinspeisung um.
• On-line-USV: Hier ist die USV ständig zwischen Netz und Verbraucher geschaltet. Die gesamte Stromversorgung läuft immer über die USV.
Alle 3 USV-Arten können neben der Überbrückung von Totalausfällen der Stromversorgung und Unterspannungen auch (mehr oder weniger gut) dazu dienen, Überspannungen zu glätten.
Bei der Dimensionierung einer USV kann man i. d. R. von einer üblichen Überbrückungszeit von ca. 10 bis 15 Minuten ausgehen. Die Mehrzahl aller Stromausfälle ist innerhalb von 5 bis 10 Minuten behoben, so dass nach Abwarten dieser Zeitspanne noch 5 Minuten übrig bleiben, um die angeschlossene IT geordnet herunterfahren zu können, sollte der Stromausfall länger andauern. Die meisten modernen USV-Geräte bieten Rechnerschnittstellen an, die nach einer vorher festgelegten Zeit, entsprechend dem Zeitbedarf der IT und der Kapazität der USV, ein rechtzeitiges automatisches Herunterfahren (Shut-down) einleiten können. Für spezielle Anwendungsfälle (z. B. TK-Anlagen) kann die erforderliche Überbrückungszeit auch mehrere Stunden betragen.
Um die Schutzwirkung aufrechtzuerhalten, ist eine regelmäßige Wartung der USV vorzusehen.
Falls die Möglichkeit besteht, die Stromversorgung unterbrechungsfrei aus einer anderen Quelle zu beziehen (z. B. durch Anschluss an eine zentrale USV), so stellt dies eine Alternative zur lokalen USV dar.
Weiters ist zu beachten:
• Die USV ist regelmäßig - entsprechend den Angaben des Herstellers - zu warten.
• Die Wirksamkeit der USV ist regelmäßig zu testen.
• Im Falle von Veränderungen ist zu überprüfen, ob die vorgehaltene Kapazität der USV noch ausreichend ist.


Firewall

Um die Sicherheit des zu schützenden Netzes zu gewährleisten, muss eine geeignete Firewall eingesetzt werden. Damit eine Firewall effektiven Schutz bieten kann, müssen folgende grundlegende Bedingungen erfüllt sein.
Die Firewall muss
• auf einer umfassenden Sicherheitspolitik aufsetzen,
• in der IT-Sicherheitspolitik und dem IT-Sicherheitskonzept der Organisation eingebettet sein,
• korrekt installiert und
• korrekt administriert werden.
Der Anschluss an ein Fremdnetz darf erst dann erfolgen, wenn überprüft worden ist, dass mit dem gewählten Firewallkonzept sowie den personellen und organisatorischen Randbedingungen alle Risiken beherrscht werden können.
Die Aufgaben und Anforderungen an die Firewall müssen in der Internetsicherheitspolitik festgelegt werden.
Damit eine Firewall einen wirkungsvollen Schutz eines Netzes gegen Angriffe von außen bietet, müssen einige grundlegende Voraussetzungen erfüllt sein:
• Jede Kommunikation zwischen den beiden Netzen muss ausnahmslos über die Firewall geführt werden. Dafür muss sichergestellt sein, dass die Firewall die einzige Schnittstelle zwischen den beiden Netzen darstellt. Es müssen Regelungen getroffen werden, dass keine weiteren externen Verbindungen unter Umgehung der Firewall geschaffen werden dürfen.
• Eine Firewall darf ausschließlich als schützender Übergang zum internen Netz eingesetzt werden, daher dürfen auf einer Firewall nur die dafür erforderlichen Dienste verfügbar sein und keine weiteren Dienste wie z. B. ein Webserver, angeboten werden.
• Ein administrativer Zugang zur Firewall darf nur über einen gesicherten Weg möglich sein, also z. B. über eine gesicherte Konsole, eine verschlüsselte Verbindung oder ein separates Netz. Eine Konsole sollte in einem Serverraum aufgestellt sein.
• Eine Firewall baut auf einer für das zu schützende Netz definierten Sicherheitspolitik auf und gestattet nur die dort festgelegten Verbindungen. Diese Verbindungen müssen gegebenenfalls sehr detailliert (bis hin zu einer individuellen Angabe von IP-Adresse, Dienst, Zeit, Richtung und BenutzerIn getrennt) festgelegt werden können.
• Jede Sicherheitspolitik muss konzeptionell auf bestmögliche Reduktion des eventuellen Schadensfalles ausgelegt sein (Betrieb von Teilnetzen, frühzeitiger Einsatz von Routern, …). In diesem Zusammenhang ist auch der Raum, in dem die Firewall betrieben wird, zusammen mit den Netzwerkeinrichtungen (wie z. B. Routern) einer besonderen Zugangskontrolle zu unterwerfen.
• Es ist zu entscheiden, ob besonders sensible Daten im Netz besser und kostengünstiger durch organisatorische als durch technische Maßnahmen geschützt werden sollen.
• Für die Konzeption und den Betrieb einer Firewall muss geeignetes Personal zur Verfügung stehen. Der zeitliche Aufwand für den Betrieb einer Firewall darf nicht unterschätzt werden. Alleine die Auswertung der angefallenen Protokolldaten nimmt erfahrungsgemäß viel Zeit in Anspruch. Firewall-AdministratorInnen müssen fundierte Kenntnisse über die eingesetzten IT-Komponenten besitzen und auch entsprechend geschult werden.
• Das Firewallkonzept muss sich permanent an Betriebserfahrungen der Firewall sowie aktuellen Entwicklungen orientieren und bei Bedarf unverzüglich angepasst werden.
• Die BenutzerInnen des lokalen Netzes sollten durch den Einsatz einer Firewall möglichst wenig Einschränkungen hinnehmen müssen. Eine Firewall kann das interne Netz vor vielen Gefahren beim Anschluss an das Internet schützen, aber nicht vor allen. Beim Aufbau einer Firewall und der Erarbeitung einer Firewall-Sicherheitspolitik sollte man sich daher die Grenzen einer
Firewall verdeutlichen:
• Es werden Protokolle überprüft, nicht die Inhalte. Eine Protokollprüfung bestätigt beispielsweise, dass eine E-Mail mit ordnungsgemäßen Befehlen zugestellt wurde, kann aber keine Aussagen zum eigentlichen Inhalt der E-Mail machen.
• Die Filterung von aktiven Inhalten ist unter Umständen nur teilweise erfolgreich.
• Sobald BenutzerInnen eine Kommunikation über eine Firewall herstellen dürfen, können sie über das verwendete Kommunikationsprotokoll beliebige andere Protokolle tunneln. Damit könnten InnentäterInnen Externen den Zugriff auf interne Rechner ermöglichen.
• Eine Einschränkung der Internetzugriffe auf festgelegte Webserver ist in der Realität unmöglich, da zu viele Webserver auch als Proxies nutzbar sind, so dass eine Sperrung bestimmter IP-Adressen leicht umgangen werden kann.
• Die Filtersoftware ist häufig noch unausgereift. Beispielsweise ist es möglich, dass nicht alle Arten der Adressierung erfasst werden. Zudem können URL-Filter durch Nutzung von „Anonymizern“ umgangen werden.
• Die Filterung von Spam-E-Mails ist noch nicht 100 % ausgereift. Keine Firewall kann zweifelsfrei feststellen, ob eine E-Mail vom Empfänger erwünscht ist oder nicht. Spam-E-Mails dürften erst dann verschwinden, wenn die Absender zweifelsfrei nachweisbar sind. Dies ist aber mit dem herkömmlichen Protokoll SMTP alleine nicht realisierbar.
• Firewalls schützen nicht vor allen Denial-of-Service-Attacken. Wenn AngreiferInnen z. B. die Anbindung zum Provider lahm legt, kann auch die beste Firewall nicht helfen. Außerdem gibt es immer wieder Implementationsfehler von Protokollen auf Endgeräten, die eine Firewall nicht abfangen kann.
• Leider ermöglichen viele Firewalls es nicht, durch Hintereinanderschaltung von verschiedenen Firewalls eine erhöhte Sicherheit zu erlangen. Gerade in größeren Firmen ist dies problematisch, wenn innerhalb der Firma Firewalls z. B. auch zur Bildung von abgesicherten Teilnetzen eingesetzt werden.
• Eine Firewall kann zwar einen Netzübergang sichern, sie hat aber keinen Einfluss auf die Sicherheit der Kommunikation innerhalb dieser Netze!
• Auch die speziell unter Sicherheitsaspekten entwickelten Komponenten von Firewalls können trotz großer Sorgfalt Programmierfehler enthalten.
• Firewalls können nur begrenzt gegen eine absichtliche oder versehentliche Fehlkonfiguration der zu schützenden Clients und Server schützen.
• Eingebaute Hintertüren in der verwendeten Software können eventuell auch durch eine Firewall hindurch ausgenutzt werden. Im Extremfall kann die Software der Firewall selbst Hintertüren enthalten.
• Die korrekte Konfiguration der Komponenten der Firewall ist oft sehr anspruchsvoll. Fehler in der Konfiguration können zu Sicherheitslücken oder Ausfällen führen.
• Ist die Dokumentation der technischen Ausstattung der Firewall durch den Hersteller mangelhaft, so begünstigt dies Fehler bei Konfiguration und Administration.
• Wenn die Komponenten der Firewall falsch dimensioniert sind, kann dieVerfügbarkeit beeinträchtigt werden. Wird beispielsweise der Rechner, auf dem ein HTTP-Sicherheitsproxy läuft, zu schwach dimensioniert (zu wenig Arbeitsspeicher, zu langsamer Prozessor), so kann dies die Geschwindigkeit des Internetzugriffes stark beeinträchtigen.
• Es kann nicht verhindert werden, dass Angreifer die Komponenten der Firewall mit Hilfe von Schwachstellenscannern analysieren.
• Eine Firewall kann nicht gegen die bewusste oder unbewusste Missachtung von Sicherheitsrichtlinien und -konzepten durch die Anwender schützen.
• Eine Firewall schützt nicht vor dem Missbrauch freigegebener Kommunikation durch Innentäter („Insider-Angriffe“).
• Eine Firewall schützt nicht vor Social Engineering.
• Werden mobile Endgeräte (Notebook, PDA etc.), die von Mitarbeitern auch extern benutzt werden, an das interne Netz angeschlossen, so kann auf diese Weise Schadsoftware (Viren, Würmer, Trojanische Pferde) in das vertrauenswürdige Netz eingeschleppt werden.
• Eine Firewall schützt auch nicht davor, dass Schadprogramme auf Austauschmedien, z. B. externe Festplatten, CD-ROM, USB-Stick, …, in das vertrauenswürdige Netz eingeschleppt werden.

weitere mögliche weiterführende Themen
Installation einer Firewall
Sicherer Betrieb einer Firewall
Firewalls und aktive Inhalte
Firewalls und Verschlüsselung


Festlegung einer Sicherheitspolitik für E-Mail-Nutzung

Vor der Freigabe von E-Mail-Systemen sollte festgelegt werden, für welchen Einsatz E-Mail vorgesehen ist. Abhängig davon differieren auch die Ansprüche an Vertraulichkeit, Verfügbarkeit, Integrität und Verbindlichkeit der zu übertragenden Daten sowie des eingesetzten E-Mail-Programms. Es muss geklärt werden, ob über E-Mail ausschließlich unverbindliche oder informelle Informationen weitergegeben werden sollen oder ob einige oder sogar alle der bisher schriftlich bearbeiteten Geschäftsvorfälle nun per E-Mail durchgeführt werden sollen.
Bei letzterem ist zu klären, wie Anmerkungen an Vorgängen wie Verfügungen, Abzeichnungen oder Schlusszeichnungen, die bisher handschriftlich angebracht wurden, elektronisch abgebildet werden sollen. Weiters ist festzulegen, ob und in welchem Rahmen eine private Nutzung von E-Mail erlaubt ist.

Regelung für den Einsatz von E-Mail und anderen Kommunikationsdiensten
Für den Einsatz von E-Mails sind u. a. folgende Punkte zu beachten:
• Die Adressierung von E-Mails muss eindeutig erfolgen, um eine fehlerhafte Zustellung zu vermeiden. Innerhalb einer Organisation sollten Adressbücher und Verteilerlisten gepflegt werden, um die Korrektheit der gebräuchlichsten Adressen sicherzustellen. Durch den Versand von Testnachrichten an neue EMail-Adressen ist die korrekte Zustellung von Nachrichten zu prüfen.
• Für alle nach außen gehenden E-Mails ist eine Signatur (Absenderangabe am Ende der E-Mail) zu verwenden.
• Ausgehende E-Mails sollten protokolliert werden, da E-Mails auch „verschwinden“ können.
• Die Betreffangabe (Subject) des Kommunikationssystems sollte immer ausgefüllt werden, z. B. entsprechend der Betreffangabe in einem Anschreiben.
• Die Korrektheit der durchgeführten Datenübertragung sollte überprüft werden. Die Empfängerseite sollte den korrekten Empfang überprüfen und der Senderseite bestätigen.
• Verwendung residenter Virenscanner für ein- bzw. ausgehende Dateien: Vor dem Absenden bzw. vor der Dateiübermittlung sind die ausgehenden Dateien explizit auf Viren zu überprüfen.
• Erfolgt über die E-Mail auch eine Dateiübertragung, so sollten die folgenden Informationen an die EmpfängerInnen zusätzlich übermittelt werden:
• Art der Datei (z. B. MS Word),
• Kurzbeschreibung über den Inhalt der Datei,
• Hinweis, dass Dateien auf Viren überprüft sind,
• ggf. Art des verwendeten Packprogramms (z. B. PKZIP)
• ggf. Art der eingesetzten Software für Verschlüsselung bzw. elektronische Signatur.
Jedoch sollte nicht vermerkt werden:
• welches Passwort für die eventuell geschützten Informationen vergeben wurde,
• welche Schlüssel ggf. für eine Verschlüsselung der Informationen verwendet wurde.
• Regelmäßiges Löschen von E-Mails: E-Mails sollten nicht unnötig lange im Posteingang gespeichert werden. Sie sollten entweder nach dem Lesen gelöscht werden oder in Benutzerverzeichnissen gespeichert werden, wenn sie erhalten bleiben sollen. Viele E-Mail-Programme löschen E-Mails nicht sofort, sondern transferieren sie in spezielle Ordner. BenutzerInnen müssen darauf hingewiesen werden, wie sie E-Mails (sowohl auf ihren Clients als auch am Server) vollständig löschen können.

weitere mögliche weiterführende Themen
Regelung für den Einsatz von E-Mail und anderen Kommunikationsdiensten
Sicherer Betrieb eines E-Mail-Servers
Einrichtung eines Postmasters
Geeignete Auswahl eines E-Mail-Clients/-Servers
Sichere Konfiguration der E-Mail-Clients
Verwendung von „Webmail“ externer Anbietern

 

Absicherung W-Lan

Die steigende Zahl von portablen Computern (Notebooks, PDAs, Smartphones etc.) unterstreicht die Forderung nach einem WLAN.Sicherheitstechnisch entstehen neue Gefährdungen und es sind einige Maßnahmen zu beachten, um nicht durch die Einführung von WLANs die Sicherheit des gesamten lokalen Netzwerkes zu kompromittieren. Folgende Maßnahmen sind zu beachten, wenn es um die Installation und Konfiguration eines WLANs geht:
• Geeignete Positionierung und Ausrichtung der Zugriffspunkte und Antennen: Die Ausstrahlung über die Organisationsgrenzen hinweg soll weitgehend verhindert werden. Der Einsatz von Richtantennen hilft dabei die unbeabsichtigte räumliche Ausstrahlung zu unterbinden.
• Testen des Umkreises: Der mögliche Empfang im Umkreis der Organisation muss überprüft werden. Bei unerwünschten Reichweiten müssen entsprechende Gegenmaßnahmen ergriffen werden.
• Deaktivieren des Sendens der Service Set ID: Die Service Set ID (SSID) ist der Name des WLANs, über den Clients ein bestimmtes Netz erkennen. Die Bekanntgabe an Knoten, die diese eindeutige SSID nicht kennen, ist zu verhindern, d. h. das Senden der SSID ist zu deaktivieren (auch wenn das eigentlich keine echte Erhöhung der Sicherheit bedeutet).
• Geeignete Verschlüsselungsoptionen aktivieren: Verschlüsselungsoptionen wie WiFi Protected Access 2 (WPA2) bieten Schutz vor Zugriffen durch Dritte. Bei WEP (Wired Equivalent Privacy) wird nur ein einziger, statischer Schlüssel verwendet, d. h. in jeder WLAN-Komponente in einem Netz muss derselbe WEP-Schlüssel eingetragen sein. Weiters sieht WEP kein dynamisches Schlüsselmanagement vor, so dass die Schlüssel manuell administriert werden müssen. Da WEP-Schlüssel in kürzester Zeit kompromittiert werden können, sollte WEP nicht mehr eingesetzt werden. Bei der Schlüssellänge ist es sinnvoll den Schlüssel mit der größten Länge zu wählen, sofern die verwendeten Endgeräte dies zulassen. Die verwendbaren Schlüssellängen sollten demnach bei der Anschaffung der WLAN-Komponenten bereits berücksichtigt werden. Bei WPA wird TKIP (Temporal Key Integrity Protocol) eingesetzt, das die Nutzung dynamischer kryptographischer Schlüssel statt ausschließlich statischer bei WEP erlaubt. Bei IEEE (Institute of Electrical and Electronics Engineers) 802.11i (WPA2) kommt zusätzlich CCMP (Counter-Mode/CBC-Mac Protocol) als kryptographisches Verfahren zur Integritätssicherung und zur Verschlüsselung der Nutzdaten hinzu. TKIP und CCMP sind symmetrische Verfahren, alle Kommunikationspartner müssen daher einen gemeinsamen Schlüssel konfiguriert haben. Dieser Schlüssel wird als Pairwise Master Key (PMK) bezeichnet. Der PMK kann über zwei verschiedene Wege auf die beteiligten WLAN-Komponenten gelangen:
• Statische Schlüssel: Der PMK kann (analog zu WEP) manuell als ein statischer Schlüssel, als Pre-Shared Key (PSK) bezeichnet, auf Access Points und Clients konfiguriert werden. Es besteht meist die Möglichkeit den gemeinsamen geheimen Schlüssel auch über Passwörter festzulegen. Diese Passwörter werden über Hash-Funktionen in den PMK umgerechnet. Hat ein solcher PSK eine zu geringe Komplexität (im Sinne der Länge des Schlüssels und der Zufälligkeit der Zeichen), ist er anfällig gegenüber Wörterbuch- bzw. Dictionary-Attacken. Daher sollten diese Passwörter eine hohe Komplexität und eine Länge von mindestens 20 Stellen besitzen. Ab einer gewissen Größe eines WLANs ist das Ausrollen eines neuen Schlüssels mit erheblichen Problemen verbunden. Die Nutzung der PSK ist in der Kombination mit WPA bzw. WPA2 möglich. Sollte WPA-PSK bzw. WPA2-PSK verwendet werden, ist zu empfehlen, die Schlüssel zum Schutz der Kommunikation oder zur Authentisierung mindestens alle drei bis sechs Monate zu wechseln.
• Dynamische Schlüssel: Eine höhere Sicherheit bietet ein Mechanismus zur dynamischen Schlüsselverwaltung und -verteilung, der dafür sorgt, dass regelmäßig und insbesondere nach einer erfolgreichen Authentifizierung des WLAN-Clients am Access Point ein neuer Schlüssel (PMK) bereitgestellt wird. Für diese Schlüsselverwaltung und -verteilung greift IEEE 802.11i auf einen anderen Standard zurück und zwar auf IEEE 802.1X. Dieser Standard ist zur portbasierten Netzzugangskontrolle in kabelbasierten Netzen entworfen worden. Grundsätzliche Idee in IEEE 802.1X ist, dass die Freischaltung eines Netzports erst dann erfolgt, wenn der Nutzer sich erfolgreich dem Netz gegenüber authentisiert hat. Die Authentisierung erfolgt also auf Schicht 2. Damit so etwas überhaupt funktioniert, spezifiziert IEEE 802.1X eine Schnittstelle zwischen Client, Netzelement und einem Authentisierungssystem. Diese Schnittstelle basiert auf dem Extensible Authentication Protocol (EAP) und einer Adaptierung dieses Protokolls für die Übertragung auf Layer 2 in LAN (als EAP over LAN, EAPOL bezeichnet). Hand in Hand geht damit die Festlegung einer Funktion zur Schlüsselverwaltung und -verteilung.
Generell sollten in regelmäßigen Abständen, mindestens jedoch vierteljährlich, die Schlüsselinformationen bei allen WLAN-Komponenten ausgetauscht werden. Bei größeren Installationen sollte hierfür eine geeignete Funktion in der zentralen WLAN-Managementlösung enthalten sein, um den Arbeitsaufwand gering zu halten. Der Wechsel der Schlüsselinformationen an allen WLAN-Komponenten sollte bereits während der Planungsphase genau getestet werden, um dadurch eventuell auftretende Schwierigkeiten zu erkennen. Darüber hinaus sind zusätzliche Maßnahmen sinnvoll (z. B. VPN - siehe weiter unten).
• Authentifikation der Knoten: Möglichkeiten der Authentifikation der Knoten sind zu aktivieren, etwa nach IEEE 802.1X.
• Einsatz einer zusätzlichen Firewall: Eine Firewall zwischen dem Zugriffspunkt und dem eigentlichen Netzwerk kann die Sicherheit erhöhen.
• Direkten Zugriff auf das Intranet über das WLAN sperren: Ist der Zugang über WLAN nicht durch starke Methoden der Authentifikation der Knoten und Verschlüsselung gesichert, ist er als RAS (Remote Access Service) anzusehen.
• Ändern von Standardeinstellungen (Passwörtern): Standardeinstellungen der Zugriffspunkte – etwa Service Set ID (SSID), SNMP Community String, Administratorpasswort – sind werksseitig voreingestellt und müssen sofort geändert werden, da die Standardpasswörter AngreiferInnen durchaus bekannt sind.
• MAC-Adressfilterung am Zugriffspunkt: Der Zugang zu Zugriffspunkten kann bei vielen Geräten auch über die MACAdresse (Media Access Control) kontrolliert werden. Dies sollte nach Möglichkeit genutzt werden.
• Nutzung eines Virtual Private Networks (VPN):
Im WLAN sollte möglichst ein VPN etabliert werden, wodurch die vertraulichen Inhalte mittels IPsec oder SSL/TLS geschützt werden. Dies bietet über WEP/ WEP+/WPA/WPA2/o.ä. hinausgehend eine Ende-zu-Ende Verschlüsselung.
• Für den Bereich der öffentlichen Verwaltung sind entsprechende Vorgaben und WLAN-Policies der Stabsstelle IKT-Strategie des Bundes (CIO) zu beachten (z. B.: [IKT-WLAN], [IKT-CLWLAN]).