Störfunk

Inhaltsverzeichnis

Die brutale Methode, ein Funknetz lahm zu legen, ist ein Störsender, der im Frequenzbereich sendet, den die WLAN-Standards definieren (2.4 GHz für 802.11b/g oder 5 GHz für 802.11a/h). Doch in Foren und Mailinglisten werden auch systematische Angriffe gegen Funknetze diskutiert, die sich Eigenheiten der WLAN-Protokolle zu Nutze machen und sich via Software ausführen lassen.

Die gängigen Angriffsmethoden beruhen auf dem Fluten des Funknetzes mit speziellen Paketen, die das An- oder von Systemen an der Basisstation vortäuschen. Da die Verwaltungsinformationen dabei auch bei eingeschalteter WEP-Verschlüsslung unverschlüsselt übertragen werden, kann ein Angreifer diese Pakete ohne großen Aufwand fälschen.

Der Anmeldevorgang besteht aus zwei Schritten: der Authentifizierung und dem Assoziieren. Zum eines Clients vom Netz genügt ein einziges De-Authentication Paket. Wir haben die Anfälligkeit verschiedener Basisstationen gegen Angriffe mit Association, Authentication und De-Authentication Flooding untersucht.

Association Flooding simuliert den parallelen Zugriff mehrerer WLAN-Clients. Vor allem ältere Access Points können nur circa 255 parallele Association-Anfragen von WLAN-Clients parallel bearbeiten. Dabei erhält jeder WLAN-Client eine eigene ID (AID). Aufgrund der gefälschten Anfragen stehen dem Access Point keine freien AIDs für legitime Clients mehr zur Verfügung; diese können keine Verbindung mehr aufbauen.

Die Authentication-Flooding-Attacke ähnelt dem Association Flooding, es wird jedoch eine große Anzahl von Authentication Frames gesendet, über die sich Clients beim Access Point . Einige Access Points verweigern daraufhin komplett ihren Dienst da sie nur eine begrenzte Anzahl von Anfragen pro Zeiteinheit bearbeiten können. Sie sind dann oft erst nach einer bis zu 15-minütigen Erholungsphase wieder erreichbar.

Deauthentication Flooding

Beim Deauthentication Flooding schickt der Angreifer einem Access Point ein Deauthentication-Paket mit der MAC-Adresse eines bereits authentifizierten WLAN-Clients. Daraufhin beendet der Access Point die Verbindung zum authentifizierten WLAN-Client, indem er ihm ebenfalls ein derartiges Paket sendet. Alternativ kann der Angreifer die gefälschten Pakete auch an den Client schicken -- dann eben mit der Abenderadresse der Basisstation. Und schließlich kann er mit gefälschten Broadcasts des Access Points sogar alle Clients im WLAN auf einmal .

Auch diese Attacke ist bei WLANs mit aktivierter WEP-Verschlüsselung möglich, da diese nicht zur Verifizierung von Deauthentication Management Frames herangezogen wird. Der Angreifer benötigt lediglich die SSID des WLAN, die BSSID des Access Point und die MAC-Adresse des vorgetäuschten Absenders. Diese Daten lassen sich jedoch mit herkömmlichen Sniffer-Tools einfach ermitteln, da sie auch bei aktivierter WEP-Verschlüsselung im Klartext übermittelt werden.

In einschlägigen Mailinglisten werden darüber hinaus bereits weitere DoS-Attacken diskutiert, die zum Beispiel verschiedene Management Frames des Extensible Authentification Protocol (RCF 2284, Bestandteil von WPA) missbrauchen. Demnächst ist also auch mit Angriffen via EAPoL ID-Flood, EAPoL Logoff-Flood und EAPoL Start-Flood zu rechnen.

Zum Angriff!

Zum Angriff!

Die drei Angriffe gegen herkömmliche WLANs lassen sich mit dem im Internet verfügbaren Tool void11 durchführen, das auf dem Host-AP-Treiber für Linux aufsetzt. In einem Test untersuchten wir das Verhalten aktueller 802.11b/g-Access Points der Hersteller USR, Belkin, Trust, Intel, 3COM, Lancom, T-Sinus und Apple.

Dabei stellte sich heraus, dass aktuelle Systeme gegen Association und Authentication Flooding weit gehend immun sind. Negativ fiel lediglich die Apple Basisstation AirPort Extreme auf. Sie war direkt nach Beginn der Attacken nicht mehr erreichbar.

Das Deauthentication Flooding funktionierte hingegen mit allen Basisstationen und Clients, da die momentan verwendeten IEEE-802.11-Standards keine Absicherungsmethoden vorsehen, die eine sichere Verifizierung der erhaltenen Meldungen ermöglichten. Wir konnten sowohl einzelne Clients gezielt oder durch Broadcasts alle Verbindungen kappen.So konnte ein einfaches Notebook mit WLAN-Karte beliebige Funknetze innerhalb der eigenen Reichweite außer Betrieb setzen.

Theoretisch lassen sich solche Angriffe durchaus auch automatisieren. Laut IDC werden 2004 etwa 50 Millionen Notebooks mit fest eingebauten WLAN-Chips verkauft. Sie stellen damit schon ein lohnendes Ziel für einen Wurm mit WLAN-Störfunktion dar. Bei nennenswerter Verbreitung könnte ein solcher WLAN-Störwurm gerade in Gebieten mit hoher Funknetzdichte beträchtlichen Schaden anrichten. Unabhängig von solch spekulativen Würmern zeigen unsere Tests: Garantierte Verfügbarkeit und WLAN schließen sich aus; wo es darauf ankommt, dass die Netzinfrastruktur auch tatsächlich verfügbar ist, sollte man eine Abhängigkeit von WLAN vermeiden.

Pierre Kroma und Sebastian Schreiber arbeiten als Security Consultants bei der Firma SySS, die sich auf die Durchführung von Penetrationstests spezialisiert hat. (ju)