IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

Standards 55
2. Der Client antwortet mit einer Identifikation.
3. Die Identifikation des Clients wird vom Accesspoint über RADIUS an den Authentifizierer
weitergeleitet.
4. Anhand der Identifikation kontrolliert der RADIUS-Server das spezifizierte Konto und
ermittelt die notwendigen Anmeldeinformationen. Mit dieser Information wird eine
Anmeldeinformations-Anfrage an den Client geschickt.
5. Der Client sendet über den unkontrollierten Port die Anmeldeinformation an den Accesspoint.
6. Die Anmeldeinformationen werden von dem RADIUS-Server ausgewertet. Sind die Anmeldeinformationen
richtig, so wird ein verschlüsselter Authentifizierungsschlüssel an
den Accesspoint gesendet, den nur der Accesspoint entschlüsseln kann.
7. Der Schlüssel wird vom Accesspoint entschlüsselt und verwendet, um einen neuen
Schlüssel für den Client zu erzeugen. Anschließend wird der neue Schlüssel an den
Client gesendet und dort zur Verschlüsselung des globalen Authentifizierungsschlüssels
benutzt.
In regelmäßigen Abständen wird ein neuer globaler Authentifizierungsschlüssel vom Accesspoint
generiert und an den Client gesendet, um das Problem der langlebigen festen Schlüssel
vom 802.11-Standard zu beseitigen.
4.6 802.11i
Bei WEP (Wired Equivalent Privacy) war der Secret Key mit 40 Bit zu kurz, die Keys
mussten manuell an jeder Station eingetragen werden, boten keine Schlüsselverwaltung und
es gab keine Benutzerauthentifizierung. Zur Verbesserung der WLAN Sicherheit wurde der
802.11i-Standard entwickelt. Beim Datentransport findet eine Erkennung von Wiederholungen
der Pakete, Authentisierung der Nachrichtenquelle, Vermeidung von Schlüsselwiederholung
und starke Verschlüsselungstechnik statt. Mit dem Robust Security Network (RSN) sollen
die bisherigen Funktionen verbessert werden. Vorraussetzungen für ein solches RSN sind eine
bessere Datenverschlüsselung durch TKIP (Temporal Key Integrity Protocol) um mit RC4
basierter Hardware höhere Sicherheitsanforderungen zu erfüllen und WRAP (Wireless Robust
Authenticated Protocol) das auf AES und CCMP (CounterMode with CBC-MAC Protocol)
basiert. Ein besseres Management von gesicherten Verbindungen wird mit 802.1x (siehe 4.5)
basierte Authentisierung, Schlüsselverwaltung und durch RSN bei der Verhandlungen zur
Errichtung des Sicherheits-Kontexts erreicht. TKIP maskiert die Schwächen von WEP und
ist als ” Hülle“ für den WEP entwickelt worden. CCMP wurde extra für 802.11i entworfen und
benötigt einen 128 Bit Schlüssel. Für die Schlüsselkonfiguration ist 802.1x zuständig.
Die Kommunikation wird in 3. Phasen unterteilt:
1. Phase: Discovery
• Erkennen von Kommunikationspartnern
• Accesspoint informiert die Station
2. Phase: Authentification basierend auf 802.1x
• Zugangskontrolle und zentrale Verwaltung im AS
• Entscheidung der Station über den Verbindungsaufbau
Seminar – IT-Management in der Praxis