DOS/V Power Report 2004 March/VPR0403.ISO/talks/203/paper.dkb

Extensible Markup Language | 2003-09-18 | 36.6 KB | 1,000 lines

<?xml version="1.0" encoding="ISO-8859-1"?>

<article id="paper">
<articleinfo>
  <title>Intrusion Detection in 802.11 Wireless Networks</title>
  <author>
    <firstname>Andreas</firstname>
    <surname>Grosse</surname>
  </author>
  <copyright>
    <year>2003</year>
    <holder>Andreas Grosse</holder>
  </copyright>
</articleinfo>

<!-- sect: intro -->

<section>
<title>Einfhrung / Momentane Situation</title>

<para>
So wie sich das Mobiltelefon im Kommunikationsmarkt in den letzten
Jahren durch seine Flexibilit舩 und den daraus resultierenden Komfortgewinn
etabliert hat, finden im Netzwerkbereich kabellose Netzwerke
immer greren Zuspruch. Trotz verschiedener physikalischer
ﾜbertragungstechniken haben sich mittlerweile einige Schnittstellen
etabliert. Schon l舅gere Zeit werden Infrarotschnittstellen (IrDA) zur
Kommunikation zwischen Mobiltelefonen, PDAs und PCs eingesetzt.
Fr Personal Area Networks (PAN), ein Netzwerk zur Verbindung direkt
am Kper getragener Ger舩e, ist der Funkstandard Bluetooth auf
dem Vormarsch.

Fr grere Entfernungen und here Bandbreiten sind die erw臧nten
Medien nicht geeignet und andere ﾜbertragungstechniken notwendig.
Besonders interessant ist die Entwicklung im Wireless LAN
Bereich. Die erzielten Reichweiten ermlichen
eine raumbergreifende Mobilit舩 mit einer ﾜbertragungsgeschwindigkeit,
welche einem Vielfachen von ISDN entspricht und damit fr viele
Anwendungsf舁le wie beispielsweise Informationsbeschaffung im Internet
und das ﾜberprfen von E-Mail-Konten ausreicht.
W臧rend Technologien wie Infrarot und Bluetooth aufgrund ihrer
vorrangigen Verwendung in Freizeitger舩en noch selten Bedeutung fr
Gesch臟tsprozesse haben, sind Wireless LANs in vielen Firmen bereits
fest integriert.

Besonders interessant fr Firmen sind Infrastruktur-Netzwerke, da
sie zentral verwaltet, administriert und vergleichsweise einfach im
kompletten Geb舫de verfgbar gemacht werden knen. Fr Intrusion
Detection Systeme sind Infrastruktur-Netzwerke vorteilhaft, da sich
an den Access Points der Netzwerkverkehr konzentriert. Damit bieten
sie die Mlichkeit, 臧nlich wie bei Switches und Routern in kabelgebundenen
LANs, eine maximale Anzahl an Datenpaketen untersuchen
zu knen.
</para>
</section>

<!-- sect: security -->

<section>
<title>Sicherheit in 802.11 Netzwerken</title>

<para>
Das grundlegende Sicherheitsproblem bei drahtlosen Netzwerken ergibt
sich aus den physikalischen Eigenschaften des Mediums. Wie eingangs
genannt, bringen drahtlose Netzwerke viele Vorteile mit sich,
darunter natrlich vor allem die Mobilit舩 und Flexibilit舩. Als groﾟen
Nachteil hat die Verwendung dieses Mediums allerdings zur Folge,
dass die Grenzen zwischen dem internen Netzwerk, welches nur ber
fest definierte Verbindungen erreicht werden kann, und dem externen
Netzwerk, bei dem jedes Element von auﾟen erreichbar ist, verschwinden.
W臧rend bei einem klassischen, kabelgebundenen Netzwerk zuerst
physikalische Sicherheitsvorkehrungen, Gateways und Firewalls
berwunden werden mssen, um Zugriff auf ein Netzwerk zu erlangen,
sind Elemente des drahtlosen Netzwerks Angriffen direkt ausgesetzt.
Jedes Ger舩 muss auf einen Angriff direkter oder indirekter Art
vorbereitet sein.

Obwohl dieses Problem schon bei der Konzeption des 802.11-
Standards bekannt war, ist dieser fr einen kooperativen Betrieb konzipiert.
W臧rend bei klassischen Netzwerken ein Angriff auf die OSI-Schichten
1 und 2 sehr schwierig durchzufhren ist, da sie durch Firewalls
und Gateways auf heren Schichten von der Auﾟenwelt abgetrennt
sind, kann jedes Ger舩 im drahtlosen Netzwerk auf diese Art
angegriffen werden.
</para>

  <section>
  <title>Angriffsmlichkeiten auf ein Wireless-Netzwerk</title>
  <para>
Man kann die Angriffsmlichkeiten in folgende Kategorien zusammenfassen:
  </para>

<itemizedlist>
  <listitem>
   <para>
Passive Angriffe
   </para>
   <para>
Ein passiver Angriff ist das Belauschen eines Netzwerks nach
interessanten Paketen. Darunter f舁lt jeglicher unverschlsselte
Traffic sowie 802.11 Management- und Control-Frames, die weitere
Informationen ber das Netzwerk enthalten knen. Interessante
Informationen sind hierbei beispielsweise die verwendeten
SSIDs oder Hinweise auf die Pr舖enz von Access Points und
anderen Stationen. Bei einem passiven Angriff werden keine eigenen
Pakete verschickt, so dass die Gegenwart eines Angreifers
nicht unmittelbar festzustellen ist. Passive Angriffe dienen der Aufkl舐ung und
gehen oft aktiven Angriffen voraus.
   </para>
  </listitem>
  <listitem>
   <para>
Probing und Scanning
   </para>
   <para>
Hierbei wird das Netzwerk aktiv erforscht. Es werden beispielsweise
Probe Requests verschickt, um die Gegenwart von Access
Points festzustellen; normalerweise werden hierbei eine leere
SSID, die SSID <emphasis>any</emphasis> und von den Herstellern werkseitig eingestellte
Standard-SSIDs getestet, was bei nicht abgesicherten Netzen
zu einem Erfolg fhren kann.
Der bekannteste Vertreter der aktiven Scan-Technik ist das Programm
NetStumbler [NSTR]. Mittlerweile gibt es Software, die
durch charakteristische Merkmale einen Angriff von NetStumbler
und anderen bekannten Programmen erkennen kann.
   </para>
  </listitem>
  <listitem>
   <para>
Vorspielen einer falschen Identit舩
   </para>
   <para>
Da bei 802.11-Netzwerken keine ﾜberprfung der Authentizit舩
und Integrit舩 von Datenpaketen stattfindet, sind sie anf舁lig fr
so genannte Identity Theft-Angriffe. Die Authentifizierung eines
Clients erfolgt meist nur mittels der Netzwerk-SSID oder mittels
SSID und MAC-Adresse. Die MAC-Adresse eines Clients kann jedem
von dem Client stammenden oder an den Client gerichteten
Frame entnommen werden, und die SSID kann von einem Angreifer
sp舩estens bei der Assoziation eines berechtigten Clients mitgeht
werden. Da sich eine Assoziation aufgrund der Anf舁ligkeit
des Mediums fr Packet Injection und DoS-Angriffe erzwingen
l舖st und das Einstellen einer anderen MAC-Adresse auch
keine Schwierigkeiten bereitet, kann sich ein Angreifer schon nach
kurzer Zeit als berechtigter Client ausgeben.

Ein Angreifer kann auch die Identit舩 eines APs annehmen, indem
er Beacons aussendet und auf Probe Requests antwortet; damit
ergeben sich ideale Voraussetzungen fr einen <emphasis>Man in the
Middle</emphasis>-Angriff. Da das Protokoll keine gegenseitige
Authentifizierung vorsieht, kann der Client nicht feststellen, ob ein Access
Point zur Firma geht oder sich mlicherweise sogar auﾟerhalb
des Geb舫des befindet.

   </para>
  </listitem>
  <listitem>
   <para>
Denial of Service
   </para>
   <para>
Prinzipbedingt ist es bei Funknetzwerken einfach, die Funktion
durch Stsignale zu beeintr臘htigen. Aufgrund der Verwendung
des ISM-Frequenzbereichs gibt es eine Vielzahl von Ger舩en,
die auf demselben Frequenzband operieren, beispielsweise Funktelefone
und Mikrowellenherde. Auch mit konventioneller Hardware
fr 802.11b-Netzwerke kann man den Betrieb sten, indem
man den Kanal einfach mit Paketen flutet, welche mit den Paketen
anderer Teilnehmer kollidieren und eine Neubertragung verursachen.
Durch das Versenden spezieller Management-Frames mit
der Absenderadresse des Access Points knen Stationen wiederholt
deassoziiert werden. Wenn der Angreifer es schafft, sich als
Access Point auszugeben und Stationen an sich zu binden, kann
er den Datenverkehr komplett unterbinden.
Durch das vergleichsweise geringe Alter der Technik und des Protokolls
ist mit einer sehr unterschiedlichen Reaktion der Implementierungen
verschiedener Hersteller auf Management-Frames
zu rechnen, welche sich nicht an die Spezifikationen halten. Bisher
haben sich die Angriffe grtenteils auf das Ausnutzen der
vorhandenen Lcken und Schw臘hen bei 802.11b und WEP beschr舅kt.
Zunehmend werden aber auch Berichte ber Probleme
bei Access Points bekannt (siehe [BTRAQ]), meist in Form
von fehlerhaften Implementierungen, unsicheren Voreinstellungen
oder Schwachstellen, die fr DoS-Angriffe genutzt werden
knen.
   </para>
  </listitem>
  <listitem>
   <para>
Ungenehmigte Hardware
   </para>
   <para>
Weiteres Gefahrenpotenzial birgt ungenehmigte Hardware, welche
ohne das Wissen und die Genehmigung der IT-Abteilung
mitgebracht und eingesetzt wird. Dies kann ohne be Absicht
geschehen: Privat wird ein Funknetzwerk eingesetzt, die IT-Abteilung
der Firma hat sich aber gegen den Einsatz von Wireless-
Netzwerken entschieden oder ber舩 noch ber den Einsatz. Um
die t臠liche Arbeit zu erleichtern, wird privat angeschaffte Hardware
in der Firma verwendet und damit die Sicherheitsmechanismen
des Firmennetzwerks ausgehebelt. Laut einer Analyse der Gartner-Group [GRTNR]
sind bei 20% aller Firmen ungenehmigte Access Points an die Firmennetzwerke
angeschlossen. Dabei ist davon auszugehen, dass die
meisten dieser APs ohne Firewall direkt an das Firmennetzwerk
angeschlossen sind und damit einem Angreifer den vollen Zugriff
auf das interne LAN ber das drahtlose Netz ermlichen.
   </para>
  </listitem>
</itemizedlist>

   <para>
Die integrierten Sicherheitsmechanismen der 802.11-Standards sind
momentan nicht ausreichend. Durch zus舩zlichen Einsatz von Programmen
auf heren Protokollschichten knen die grten Schw臘hen
und Probleme bei Integrit舩, Authentizit舩 und Datensicherheit
kompensiert werden. Dennoch bleiben Stationen im Funknetz anf舁lig
fr DoS-Angriffe und passives Mithen. Durch die fehlende Standardisierung
wirksamer Sicherheitsmaﾟnahmen auf niederen Protokollschichten
sind die Hardware-Hersteller gezwungen, eigene Sicherheitslungen
einzubringen, wodurch eine Interoperabilit舩 mit Produkten
anderer Hersteller nicht durchg舅gig mlich ist.
Eine Verbesserung versprechen die Standardisierungsbemhungen
um 802.1x und 802.11i. Leider knen auch diese Standards die vielf舁tigen
Angriffsmlichkeiten auf Wireless-Netzwerke nur teilweise
kompensieren. Die Sicherheitsprobleme werden auch in der Zukunft
bei der Entscheidung ber den Einsatz von Wireless-Netzwerken in Firmen
eine gewichtige Rolle spielen. Fr Firmen mit hohem Sicherheitsbedarf
ist der Einsatz von Funknetzwerken zur Zeit nicht ratsam.
  </para>
  </section>

</section>

<!-- sect: concept -->

<section>
<title>Konzeption eines Wireless-Sensors</title>
  <para>
  Augrund der bestehenden Sicherheitslcken und Schw臘hen ist es offensichtlich,
  dass ein Sicherheitsbedarf, wie er fr Firmen und Privatanwender notwendig ist,
  nur ber zus舩zliche Absicherung erfllt werden kann. Neben dem Einsatz starker
  Verschlsselung auf heren Protokollschichten ist es fr die Administratoren
  von Netzwerken unumg舅glich, sich einen Einblick in ihr Netzwerk zu verschaffen.
  Dabei werden sie durch Intrusion Detection Systeme untersttzt. Um gezielt auf die Besonderheiten
  eines Wireless-Netzwerks eingehen zu knen, ist ein spezieller Wireless-Sensor zur
  Integration in Intrusion Detection Systeme notwendig.
  </para>

  <section>
  <title>Was kann ein Wireless-Sensor erkennen?</title>
  <para>

  Anhand der Pakettypen, der in den Headern gesetzten Flags und Werte
sowie des Inhalts der empfangenen Pakete lassen sich Rckschlsse
ziehen, die eine Kategorisierung und Priorisierung ermlichen. In der
Analysis Engine muss die Logik integriert werden, die aufgrund von
Hinweisen auf das Ereignis schlieﾟen kann, welches diese Pakete verursacht
hat. Diese Ereignisse lassen sich in Kategorien einteilen:
  </para>

   <!-- list 1 -->
<itemizedlist>
  <listitem>
   <para>
   Fremde Ger舩e
   </para>
   <para>
Offensichtlich ist die Einteilung der Ger舩e in fremde und bekannte Stationen.
Dies kann beispielsweise anhand der MAC-Adresse der Station
erfolgen, die in den 802.11-Frames bertragen wird. Aufgrund weiterer
Daten kann dann eine genauere Einteilung erfolgen:
   </para>
  </listitem>
  <listitem>
    <!-- list 1.1 -->
    <itemizedlist>
     <listitem>
      <para>
  Fremder Access Point
     </para>
   <para>
Ein fremder Access Point kann aufgrund von Frames erkannt
werden, die ausschlieﾟlich von Access Points versandt werden,
beispielsweise Beacon Frames, Probe Responses, Association Responses
und IAPP-Traffic, der zwischen zwei Access Points erfolgt
und Roaming und Handover von Clients ermlicht. Zum
Aufbau siehe auch die folgende Abbildung:
  </para>

  <para>
  <inlinemediaobject>
    <imageobject>
      <imagedata fileref="picture-203-01.jpg" format="JPG"/>
    </imageobject>
  </inlinemediaobject>

      </para>
     </listitem>
     <listitem>
      <para>
  Fremder Client
     </para>
   <para>
Fremde Clients knen unter anderem anhand von Requests,
wie beispielsweise Probe Requests und Association Requests, erkannt
werden. Bei Verwendung von Programmen wie NetStumbler
oder Kismet kann ein Angreifer an speziellen Flags, bestimmten
SSIDs oder einer eindeutigen Signatur in den Nutzdaten der
Pakete identifiziert werden. Die folgende Abbildung zeigt ein grafisches
Modell hierzu:
  </para>
  <para>
  <inlinemediaobject>
    <imageobject>
      <imagedata fileref="picture-203-02.jpg" format="JPG"/>
    </imageobject>
  </inlinemediaobject>

      </para>
     </listitem>
     <listitem>
      <para>
Da bei 802.11-Frames weder Integrit舩 noch Authentizit舩 der bertragenen
Pakete sichergestellt werden knen, muss wie auch im konventionellen
Ethernet damit gerechnet werden, dass die MAC-Adresse
von Angreifern gef舁scht wird. Hier ist beispielsweise der Fall denkbar,
dass ein Access Point mittels einer positiven Ausschlussliste nur Clients
mit bestimmter MAC-Adresse zul舖st. Der Angreifer nimmt daher die
MAC-Adresse eines berechtigten Clients an, um Zugriff auf das Netzwerk
zu erhalten. In diesem Fall kann der Angriff beispielsweise daran
erkannt werden, dass Pakete mit derselben MAC-Adresse ungewnlich
stark in der Signalst舐ke variieren, wiederholt eine Bindung an den
AP mit falschen SSIDs oder WEP-Schlsseln versuchen oder durch anderweitig
nicht zusammenpassende Parameter auffallen.

     </para>
    </listitem>
    </itemizedlist>
  </listitem>

  <!-- list 2 -->
  <listitem>
   <para>
  Fremde Netzwerke
     </para>
   <para>
Fremde Netzwerke lassen sich beispielsweise daran erkennen, dass
der Absender von Datenpaketen zwar bekannt ist, diese aber nicht an
einen bekannten Access Point gerichtet sind. Da in einem Infrastruktur-
Netzwerk der gesamte Datenverkehr ber einen Access Point laufen
muss, sind alle anders gerichteten Pakete nicht Teil des Netzwerks. Hier
existieren folgende Spezialf舁le:
   </para>
  </listitem>
  <listitem>
    <!-- list 2.1 -->
    <itemizedlist>
     <listitem>
      <para>
    Kommunikationspartner bekannt, aber nicht AP
       </para>
   <para>
In diesem Fall haben die Pakete als Ziel eine bekannte MACAdresse,
welche aber nicht als Adresse eines genehmigten Access
Points hinterlegt ist. Auch hier gibt es mehrere Mlichkeiten,
Schlussfolgerungen zu ziehen. Falls die MAC-Adresse nicht
von einem Angreifer bernommen wurde, weist diese Kombination
auf ein Ad-Hoc-Netzwerk hin, was meist einen Verstoﾟ gegen
die Security Policy darstellt. Mlicherweise ist das Ziel der Kommunikation
aber ein Angreifer, welcher die Identit舩 einer autorisierten
Station annimmt und deren MAC-Adresse f舁scht, um dadurch
Zugang zum Netzwerk zu erhalten. Dies wird auf folgender Abbildung deutlich:
   </para>
   <para>
  <inlinemediaobject>
    <imageobject>
      <imagedata fileref="picture-203-03.jpg" format="JPG"/>
    </imageobject>
  </inlinemediaobject>

    </para>
       </listitem>
       <listitem>
        <para>
       Kommunikationspartner unbekannt
          </para>
   <para>
Ein unbekannter Kommunikationspartner ist eine Station, deren
MAC-Adresse nicht bekannt ist, an die aber dennoch Pakete von
einer bekannten Station gerichtet sind. Dies kann auf ein Ad-Hoc-Netzwerk
hinweisen, bei dem eine bekannte Station mit einem
fremden Client kommuniziert. Es kann aber auch auf ein
Infrastruktur-Netzwerk deuten, bei dem sich ein Angreifer als Access
Point ausgibt, um autorisierte Clients an sich zu binden. Wie
bereits genannt, w臧len einige Client-Implementierungen
automatisch den signalst舐ksten Access Point zur Assoziation.
Daher droht hier die Gefahr eines Man In The Middle-Angriffs.
Ein unbekannter Kommunikationspartner kann auch aus dem
Einsatz ungenehmigter, privat angeschaffter Hardware resultieren.
Die Abbildung zeigt diesen Fall:
   </para>
  <para>
  <inlinemediaobject>
    <imageobject>
      <imagedata fileref="picture-203-04.jpg" format="JPG"/>
    </imageobject>
  </inlinemediaobject>
  </para>

       </listitem>
       </itemizedlist>
     </listitem>

    <!-- list 3 -->
    <listitem>
        <para>
    Auff舁liger Traffic
       </para>
   <para>
Ungewnlicher Netzwerkverkehr kann auf Konfigurationsfehler oder
Angriffe hinweisen. Bei den bertragenen Paketen werden die Paket-
Header und die Nutzdaten nach ungltigen oder ungewnlichen
Kombinationen sowie nach kritischen Inhalten untersucht. Im folgenden
werden einige h舫figer auftretende F舁le genannt:
    </para>
    </listitem>

    <listitem>
     <itemizedlist>

      <listitem>
       <para>
  Unverschlsselter Datenverkehr
   </para>
   <para>
Von besonderem Interesse fr den Netzwerkadministrator ist unverschlsselter
Datenverkehr, da dieser einen Verstoﾟ gegen die
Security Policy darstellt. Er versetzt jeden Passanten mit der entsprechenden
technischen Ausrstung in die Lage, den Netzwerkverkehr
im Wireless LAN mitzulesen. In einem typischen Firmennetzwerk
beinhaltet dies den Austausch von Dokumenten und EMails,
die mlicherweise vertrauliche Daten enthalten.
       </para>
      </listitem>


      <listitem>
       <para>
       Anmeldeversuche
          </para>
   <para>
Anmeldeversuche liefern Informationen ber einen versuchten
beziehungsweise erfolgreichen Zugang zum drahtlosen Netzwerk.
Dazu dienen vor allem Probe Request- und Response-
Pakete sowie Association Request und Response-Pakete. In diese
Kategorie f舁lt auch eine aktive Suche nach Wireless-Netzwerken,
wie sie beispielsweise von Tools wie NetStumbler oder dem Windows
XP Scanning Service durchgefhrt wird, da hierbei ebenfalls
Probe Requests zum Einsatz kommen.

       </para>
      </listitem>
      <listitem>
       <para>

      Unbekannte SSID/ESSID
         </para>
   <para>
Anhand der bertragenen SSID beziehungsweise ESSID kann
man den Ursprung der Pakete schlussfolgern. Unbekannte SSIDs
deuten auf Clients hin, die fr andere Netze konfiguriert sind, also
beispielsweise Besucher oder Passanten; ein typischer Angreifer
testet bekannte Hersteller-SSIDs, um sich Zugang zum Netzwerk
zu verschaffen. Bei einem Brogeb舫de mit mehreren Firmen,
die eigeneWireless LANs besitzen, kann man beispielsweise
anhand bestimmter SSIDs auf Clients einer anderen Firma schlieﾟen.
Anmeldeversuche mit deren SSID weisen nicht zwangsl舫fig
auf einen Angriff hin, sind aber dennoch von Interesse.
       </para>
      </listitem>
      <listitem>
       <para>
       Beacon propagating SSID
          </para>
   <para>
Um den Zugriff fr nicht autorisierte Stationen zu erschweren,
wurden Access Points um die Funktion erweitert, das Broadcasting
der SSID zu unterdrcken. Als Folge davon muss ein Client
die richtige SSID fr eine erfolgreiche Authentifizierung kennen;
eine Anmeldung mit leerer SSID oder der SSID <emphasis>any</emphasis> wird nicht
mehr akzeptiert. Diese Option wird von den meisten Herstellern
als <emphasis>Closed Network</emphasis> bezeichnet.
       </para>
      </listitem>
      <listitem>
       <para>
    Bekannte Tools
       </para>
   <para>
Anhand bestimmer Signaturen kann man verschiedeneWerkzeuge
zum Scannen und Angreifen von Wireless-Netzwerken erkennen.
So besitzen einige Programme bestimmte Zeichenketten in
den Nutzdaten der Pakete oder eine eindeutige Kombination von
gesetzten Flags in den Headern der Pakete. Mittels dieser Signaturen
lassen sich beispielsweise wavemon, NetStumbler, DStumbler,
Wellenreiter und der XP Network Scanning Service erkennen.
       </para>
      </listitem>
      <listitem>
       <para>
    Unexpected Frame Type / Bits set
       </para>
   <para>
Fr die Header-Felder <emphasis>Control Type</emphasis> und
<emphasis>Subtype</emphasis> werden bei
802.11 zwei Bytes verwendet, mit denen die Frames in Management,
Daten- und Kontrollframes eingeteilt werden. Die meisten
Frames haben die Byte-Kombination 00/0100 (Probe Request),
00/0101 (Probe Response), 00/1000 (Beacon) und 10/0000 (Data).
Da viele der mlichen Kombination noch fr zuknftige Verwendung
reserviert sind, ist es sehr wahrscheinlich, dass bisher
ungenutzte Kombinationen verwendet werden, um Reaktionen
auf undefinierte Frames zu provozieren, mit denen Access Points
verschiedener Hersteller identifiziert werden knen.
       </para>
      </listitem>
      <listitem>
       <para>
       Unzul舖siger Frame Type
       </para>
   <para>
Eine Station in einem drahtlosen Netzwerk kann sich in drei Phasen
befinden. Zu Anfang befindet sich eine Station, die in die
Reichweite eines Access Points betritt, in Phase 1: Sie ist nicht
authentifiziert und nicht assoziiert. Nach einer erfolgreichen Authentifizierung
befindet die Station sich in Phase 2; sie ist authentifiziert, aber nicht
assoziiert. Daraufhin kann die Station eine Assoziation
beginnen; im Erfolgsfall befindet sie sich dann in Phase 3,
sie ist authentifiziert und assoziiert.
  </para>
  <para>
  <inlinemediaobject>
    <imageobject>
      <imagedata fileref="picture-203-05.jpg" format="JPG"/>
    </imageobject>
  </inlinemediaobject>
  </para>

  <para>
In Abh舅gigkeit der Phase, in dem sich eine Station befindet, sind
nur bestimmte Frames zul舖sig. Zu den erlaubten Frames fr eine
Station in Phase 1 z臧len beispielsweise die Management-Frames
Beacon, Probe Request/Response, Authentication und Deauthentication.
In Phase 1 knen die meisten Control-Frames versandt
werden, da diese fr die Funktion des Netzwerkes notwendig
sind. Data-Frames sind in dieser Phase nur in einem IBSS zul舖sig,
da in Infrastruktur-Netzwerken jedes Datenpaket ber einen Access
Point gesendet werden muss. Dies ist einer Station aber erst
nach der Assoziation mit einem Access Point erlaubt. In Phase
2 stehen einer Station zus舩zlich die Management-Frames Association
Request/Response, Reassociation Request/Response und
Disassociation zur Verfgung. Nach einer erfolgreichen Assoziation
befindet sich eine Station in Phase 3 und kann jegliche Data-
Frames, Power-Save Control-Frames und Management-Frames
zur Deauthentifizierung von Stationen versenden. Ein Wireless-
Sensor, der eine interne Tabelle ber die Phase von Stationen des
Wireless-Netzwerkes fhrt, kann anhand dieser Tabelle erkennen,
ob die versandten Pakete in der jeweiligen Phase zul舖sig sind.

       </para>
      </listitem>
      <listitem>
        <para>
    MAC Address Spoofing
       </para>
   <para>
Viele Access Points bieten als zus舩zliche Sicherheitsfunktion Zugriffskontrolle
anhand der MAC-Adressen der Clients. Da diese
Adressen in den meisten F舁len problemlos manuell eingestellt
werden knen, besteht die Gefahr einer ﾜbernahme einer zul舖sigen
Adresse durch einen Angreifer. Durch einfaches Mithen
auf dem Funknetz lassen sich die MAC-Adresse und die verwendete
SSID feststellen. Ein autorisierter Client kann beispielsweise
durch DoS-Angriffe tempor舐 behindert werden, worauf der Angreifer
die Chance hat, seine Identit舩 zu bernehmen.
Eine Erkennung dieses Angriffs ist beispielsweise durch die Sequenznummern
der Wireless-Frames mlich. Die Sequenznummern
werden fr das Zusammensetzen fragmentierter Frames benigt.
Laut 802.11-Spezifikation wird die Sequenznummer fortlaufend
inkrementiert. Sprnge innerhalb dieser Sequenz knen
daher auf eine ﾜbernahme der MAC-Adresse hindeuten. Weitere
Informationen zur Erkennung von MAC-Spoofing finden sich
unter [JHWT].
       </para>
      </listitem>
     </itemizedlist>
    </listitem>



  </itemizedlist>


   </section>

   <section>
  <title>Erkennung passiven Monitorings</title>
   <para>

   Bei der Konzeption eines Wireless-Sensors stt man zwangsl舫fig
auf einen Sonderfall: Was passiert, wenn ein Angreifer sich wie der
Wireless-Sensor im Monitor Mode befindet? Aufgrund der besonderen
Problemstellung wird nachfolgend speziell auf dieses Thema eingegangen.

Ein Angreifer, der sich wie ein Wireless-Sensor im passiven RFMON-Modus
befindet, versendet keine Pakete. Aus diesem Grund ist es mit
konventionellen Sensoren nicht mlich, die Gegenwart eines solchen
Angreifers festzustellen, da diese auf dem Empfangen und Analysieren
von 802.11-Frames basieren. Es gibt momentan zwei Alternativen, die
jedoch nicht unter Intrusion Detection im klassischen Sinne fallen:

   </para>
  <itemizedlist>
   <listitem>
    <para>
    Physikalische Ortung von Empf舅gern
       </para>
   <para>
Unter Verwendung einer Antenne mit einer entsprechend hohen
Verst舐kung ist es mlich, einen Empf舅ger zu orten. Diese Technik
wurde bereits zur Ortung unlizensierter Kurzwellenempf舅ger
angewandt; eine Portierung auf Wireless-Netzwerke ist technisch
machbar. Problematisch ist hierbei haupts臘hlich, dass keine
omnidirektionalen Antennen mit entsprechender Verst舐kungsleistung
verfgbar sind. Aus diesem Grund muss eine solche Lung
aus einer Anordnung mehrerer gerichteter Antennen bestehen.
Da der Betriebsaufwand einer solchen Anlage den Aufwand
fr eine Absicherung des Wireless LANs bersteigt, wird dieses
Verfahren kaum zum Einsatz kommen.

    </para>
   </listitem>
   <listitem>
    <para>
    Honeypot-Ansatz
       </para>
   <para>
Da der Sensor nur passiv ist, kann er nicht berprfen, ob der
Datenverkehr, den er empf舅gt, reeller Datenverkehr ist. Aus diesem
Grund kann man den Angreifer mit zus舩zlich eingefgten
Datenpaketen in die Irre fhren. Bei einem Angriff basierend auf
solchen Fehlinformationen ist eine Erkennung mlich.
In diesem Zusammenhang interessant ist die Software [FKAP],
die das Vorhandensein nicht existenter Access Points vorgibt. Jede
Antwort an einen dieser APs deutet auf ein vorheriges Mithen
im Funknetz hin. Eine weitere Alternative ist, dem Angreifer Informationen
zu geben, die auf die Verfgbarkeit eines bestimmten
Dienstes schlieﾟen lassen. Dazu pr臈estiniert sind beispielsweise
gef舁schte DHCP- oder SNMP-Pakete. Bei dem Versuch einer
Nutzung eines dieser Dienste wird der Angriff erkannt, da diese
Dienste von regul舐en Benutzern nicht in Anspruch genommen
werden.
Dieser Ansatz zur Erkennung eines Angreifers im Monitor Mode
臧nelt dem eines Honeypots und f舁lt daher nicht in den Themenbereich.
Weitere Informationen zu Honeypots
finden sich unter [HYNT].
    </para>
   </listitem>

  <listitem>
   <para>
   Das Problem, einen passiven Angreifer erkennen zu knen, ist nicht
nur fr Wireless-Netzwerke charakteristisch. Auch im konventionellen
LAN ist es technisch komplex, dies zu erkennen, und die wenigen existierenden
Ans舩ze befinden sich noch in einem frhen Stadium.
   </para>
  </listitem>
  </itemizedlist>
  </section>

  <section>
  <title>Fazit</title>
  <para>
  Sicherheit in 802.11-Netzwerken ist ein Problem - ein Problem, fr das
es in absehbarer Zeit keine Patentlungen geben wird. Bestehende
Standards sind nicht ausgereift, propriet舐e Implementierungen erzielen
nicht die gewnschte Sicherheit, und die Vielfalt der Angriffe ist
immens.

Laut dem genannten Ansatz <emphasis> Security = Visibility + Control </emphasis>
ergibt sich die Sicherheit
durch die Kombination von Kontrolle und Transparenz. Kann die Zugriffskontrolle
nicht garantiert werden, so erweist sich die Integration
eines Intrusion Detection Systems an dieser Stelle um so wichtiger, um
die Transparenz des Netzwerks und damit die Sicherheit zu erhen.
Trotz des offensichtlichen Bedarfs an Intrusion Detection Systemen
fr Wireless-Netzwerke sind freie Produkte bisher kaum erh舁tlich. Verfgbare
Produkte gehen meist nicht auf die Besonderheiten des Mediums
ein und versuchen, konventionelle Intrusion Detection auf Wireless-
Netzwerke zu bertragen. Dabei werden Angriffe, die in einem kabelgebundenen
Netzwerk nicht anwendbar sind, selten in Betracht gezogen.
Die Konzeption eines Sensors mit dem Fokus auf Ereignisse der
unteren Protokollschichten bildet den zentralen Punkt.
Durch eine ﾜberwachung des Funknetzwerks im Monitor Mode und
eine Analyse der empfangenen 802.11-Frames kann ein Sensor implementiert
werden, welcher die speziellen Anforderungen erfllt.
Um den Bedarf an Integrit舩, Authentizit舩 und Datensicherheit zu
erfllen, ist starke Verschlsselung auf mlichst niedrigen Protokollschichten
notwendig. Ein herkmliches Intrusion Detection System
ist in diesem Fall nicht mehr in der Lage, Datenpakete auszuwerten.
Zuknftige Intrusion Detection Systeme fr Wireless-
Netzwerke mssen die genannten Schw臘hen kompensieren. Dazu wird eine
verst舐kte Fokussierung auf den Layer 2 notwendig, um fr die Betreiber
des Netzwerkes wichtige Daten liefern zu knen.
  </para>
  <para>
Die Positionierung eines Sensors ist in einem Wireless-Netzwerk problematischer
als bei kabelgebundenen Netzwerken. Die optimale Position
fr einen einzelnen Sensor ist mlichst nahe an einem Access
Point, da an dieser Stelle Angriffe auf den AP selbst und jegliche Kommunikationsversuche
in das kabelgebundene Netzwerk entdeckt werden
knen. Damit kann jedoch nicht die Sicherheit jeder Station gew臧rleistet
werden. Alternativ ist auch eine Positionierung mehrerer
Sensoren entlang des Umfangs eines Funknetzwerkes mlich, was eine
komplette Abdeckung aller Stationen des Funknetzwerkes erlaubt.
Wie zu Anfangs genannt, muss der Sensor ber die F臧igkeit
verfgen, Daten im Monitor Mode aufzunehmen. Dies hat zur
Folge, dass nur spezielle Funknetzwerkkarten verwendet werden knen.
Eine Beeintr臘htigung eines Sensors durch
die Menge an Datenpaketen ist aufgrund der Leistungsf臧igkeit heutiger
Hardware in Verbindung mit dem geringen Datenaufkommen in
Wireless-Netzwerken auch in n臧erer Zukunft unwahrscheinlich.
    </para>
    </section>


</section>

<section>
 <title>References</title>
 <para>
[8SEC] Borisov, N., Goldberg, I., Wagner, D.:
Intercepting Mobile Communications: The Insecurity of 802.11
Online im Internet (12/02/2003):
http://www.isaac.cs.berkeley.edu/isaac/wep-draft.pdf
 </para>
 <para>
[8KEY] Fluhrer, S., Mantin, I., Shamir, A.:
Weaknesses in Key Scheduling of RC4
Eighth Annual Workshop on Selected Areas in Cryptography, August
2001
Online im Internet (12/02/2003):
http://downloads.securityfocus.com/library/rc4_ksaproc.pdf
 </para>
 <para>
[8WG] IEEE 802.11Working Group
The Working Group for WLAN Standards
Online im Internet (12/02/2003):
http://grouper.ieee.org/groups/802/11/index.html
 </para>
 <para>
[ASVL] AbsoluteValue Systems
The linux-wlan Company
Online im Internet (12/02/2003):
http://www.linux-wlan.com/
 </para>
 <para>
[ACSAC] Annual Computer Security Applications Conference
Application Intrusion Detection using Language Library Calls
Online im Internet (12/02/2003):
http://www.acsac.org/2001/papers/21.pdf
 </para>
 <para>
[ACERT] The CERT Coordination Center
AirCERT Project Homepage
Online im Internet (21/02/2003):
http://www.cert.org/kb/aircert/
 </para>
 <para>
[ARPK] WildPackets Inc.
Airopeek NX
Online im Internet (30/10/2002):
http://www.wildpackets.org/products/airopeek_nx/
 </para>
 <para>
 [ASNORT] AirSnort
AirSnort - WLAN tool to recover encryption keys
Online im Internet (06/02/2003):
http://airsnort.shmoo.com/
 </para>
 <para>
[BTRAQ] Sicherheitslcken in Access Points:
D-Link DWL-900AP+ Security Hole
Online im Internet (12/02/2003):
http://online.securityfocus.com/archive/1/306766
Longshine WLAN Access-Point LCS-883R VU#310201
Online im Internet (12/02/2003):
http://online.securityfocus.com/archive/1/305344
DoS Vulnerability in Linksys Cable/DSL Routers
Online im Internet (12/02/2003):
http://online.securityfocus.com/archive/1/300754
 </para>
 <para>
[CIDF] Stuart Staniford-Chen et. al.:
The Common Intrusion Detection Framework Architecture
Online im Internet (12/02/2003):
http://www.isi.edu/gost/cidf/drafts/architecture.txt
 </para>
 <para>
[CIDS] Cisco Systems, Inc.:
Cisco IDS Host Sensor Data Sheet
Online im Internet (12/02/2003):
http://www.cisco.com/warp/public/cc/pd/sqsw/sqidsz/prodlit/
hid25_ds.htm
 </para>
 <para>
[DSSID] The wi2600 Crew
Liste von Default SSIDs
Online im Internet (31/02/2003):
http://mediawhore.wi2600.org/nf0/wireless/ssid_defaults/
 </para>
 <para>
[ETHRL] The Ethereal Network Analyzer
Online im Internet (12/02/2003):
http://www.ethereal.com/
 </para>
 <para>
[FKAP] Black Alchemy Enterprises
Fake AP
Online im Internet (12/02/2003):
http://www.blackalchemy.to/project/fakeap/
 </para>
 <para>
[GRTNR] The Gartner Group
Gartner Advises on Security, August 2001
Online im Internet (12/02/2003):
http://www.gartner.com/5_about/press_releases/2001/
pr20010809b.html
 </para>
 <para>
[GRPHA] Stuart Staniford-Chen et. al.:
GrIDS - A GraphBased Intrusion Detection System for Large Networks
In The 19th National Information Systems Security Conference, 1996
Online im Internet (18/10/2002):
http://seclab.cs.ucdavis.edu/arpa/grids/welcome.html
 </para>
 <para>
[HSEC] Herwart Holland-Moritz, alias Wau Holland, 1951-2001, Mitbegrnder
des Chaos Computer Clubs
In einem Interview im Zuge des Hamburger Dialog
Online im Internet (13/01/2003):
http://www.heise.de/newsticker/data/jk-10.05.00-000/
 </para>
 <para>
[HSNT] Heise Online
Funknetze: Nachbesserung fr mehr Sicherheit versp舩et sich
Online im Internet (25/02/2003):
http://www.heise.de/newsticker/data/ea-25.02.03-000/
 </para>
 <para>
[HSTP] Jouni Malinen
HostAP-Treiber
Online im Internet (12/02/2003):
http://hostap.epitest.fi/
 </para>
 <para>
[HYNT] The Honeynet Project
To learn the tools, tactics, and motives of the blackhat community
Online im Internet (12/02/2003):
http://project.honeynet.org/
 </para>
 <para>
[IDWG] The Internet Engineering Task Force
Intrusion Detection Working Group
Online im Internet (12/02/2003):
http://www.ietf.org/html.charters/idwg-charter.html
 </para>
 <para>
[ICOM] Intrusion, Inc.
Why Firewalls Arent Enough
Online im Internet (12/02/2003):
https://www.intrusion.com/products/downloads/
WhyFirewallsArentEnough.pdf
 </para>
 <para>
[JHWT] Joshua Wright
Detecting Wireless LAN MAC Address Spoofing
Online im Internet (12/02/2003):
http://home.jwu.edu/jwright/papers/wlan-mac-spoof.pdf
 </para>
 <para>
[LMF] Joe McAlerney, Adam Migus
libidmef - IDMEF Implementation
Online im Internet (12/02/2003):
http://www.silicondefense.com/idwg/libidmef/
 </para>
 <para>
[LXP] Defcom AB, CodeFactory AB
libidxp - An IDXP/BEEP Protocol Implementation
Online im Internet (12/02/2003):
http://idxp.codefactory.se/
 </para>
 <para>
[NSTR] NetStumbler
802.11b based Wireless Network Auditing
Online im Internet (31/01/2003):
http://www.netstumbler.com/
 </para>
 <para>
[ORWN] Gast Matthew S.:
802.11 Wireless Networks: The Definitive Guide
OReilly and Associates, Inc., Sebastopol, CA 2002
 </para>
 <para>
[PRLD] The Prelude Team
Prelude - A Hybrid Intrusion Detection System
Online im Internet (12/02/2003):
http://www.prelude-ids.org/
 </para>
 <para>
[RLSC] Internet Security Systems
RealSecure Network Protection
Online im Internet (24/02/2003):
http://www.iss.net/products_services/enterprise_protection/rsnetwork/
 </para>
 <para>
[RFC1] Point-To-Point Protocol (PPP)
Online im Internet (12/02/2003):
http://www.ietf.org/rfc/rfc1661.txt
 </para>
 <para>
[RFC2] PPP Extensible Authentication Protocol (EAP)
Online im Internet (12/02/2003):
http://www.ietf.org/rfc/rfc2284.txt
 </para>
 <para>
[RFC3] Remote Authentication Dial In User Service (RADIUS)
Online im Internet (12/02/2003):
http://www.faqs.org/rfcs/rfc2865.html
 </para>
 <para>
[SHBID] The SANS Institute
What is host-based intrusion detection?
Online im Internet (12/02/2003):
http://www.sans.org/resources/idfaq/host_based.php
 </para>
 <para>
[SLATS] The SANS (SysAdmin, Audit, Network, Security) Institute
Layered Approach to Security
Online im Internet (13/01/2003):
http://www.sans.org/resources/idfaq/layered_defense.php
 </para>
 <para>
[SCNT] Thomas H. Ptacek, Timothy N. Newsham
Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection
Online im Internet (05/02/2003):
http://www.insecure.org/stf/secnet_ids/secnet_ids.html
 </para>
 <para>
[SNRT] The Snort Team
Snort - The Open Source Network Intrusion Detection System
Online im Internet (12/02/2003):
http://www.snort.org/
 </para>
 <para>
[SNRTX] CERT Knowledgebase
Snort XML Plugin
Online im Internet (12/02/2003):
http://www.cert.org/kb/snortxml/index.html
 </para>
 <para>
[TWRE] Tripwire, Inc.
Tripwire Open Source, Linux Edition
Online im Internet (12/02/2003):
http://www.tripwire.org/
 </para>
 <para>
[VIDR] University of Virginia
Intrusion Detection Research
Online im Internet (30/10/2002):
http://www.cs.virginia.edu/~jones/IDS-research/
 </para>
 <para>
[WSEC] Bernard Aboba
Bernard Aboba's analysis of WEP2 security
Online im Internet (16/01/2003):
http://grouper.ieee.org/groups/802/11/Documents/DocumentHolder/1-253.zip
 </para>
 <para>
[WFAQ] Research Group Internet Security, Applications, Authentication
and Cryptography, Abteilung Computer Science der University
of California, Berkeley
Security of the WEP algorithm
Online im Internet (12/02/2003):
http://www.isaac.cs.berkeley.edu/isaac/wep-faq.html
</para>
</section>

</article>