Großes Kino. Seit Dienstag morgen hört man laufend auf allen Kanälen die BSI-Warnung, Bankgeschäfte über eine WLAN-Verbindung tunlichst zu unterlassen.
Hallo, McFly? Jemand zuhause?!
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät dazu, WLAN-Netzwerke bis zur Verfügbarkeit von Sicherheits-Updates nicht für Online-Transaktionen wie Online Banking und Online Shopping oder zur Übertragung anderer sensitiver Daten zu nutzen.
Das BSI – die Bundesbehörde, die sich schon im Zuge der eGK gerade wieder mit Ruhm bekleckern lies – rät also dazu, »sensitive Daten« nicht über »WLAN-Netzwerke« übertragen. Meine Güte, man sollte sie wegcybern, mit Stumpf und Stiel.
Ersteinmal eine praktische Frage vorab: woran erkennt Frau Dr. Merkel, daß das genutzte WLAN ein »sicherheitsupdated« selbiges ist? An den nun grün leuchtenden WLAN-Wellen? An einem blauen Haken am WLAN-Symbol des Endgerätes, was ja bekanntermaßen für ein 2017 sicherheitsaktualisiertes WLAN steht? Oder ist das vieleicht schlicht gar nicht erkennbar und jedes WPA2-gesicherte WLAN ist und bleibt besser als ein WEP-geschütztes?
Allein, das, was dann endlich unter krackattacks.com zu lesen war, ist dann doch arg ernüchternd:
- WPA2 ist nicht gebrochen
- WPA2-Schlüssel können nicht entschlüsselt oder wiederverwendet werden
- Auf Transportebene verschlüsselter Datenverkehr (SSL/TLS) bleibt sicher
Ja, $Angreifer kann $Schindluder mit einigen Paketen und Verbindungen treiben und ja, Datenverkehr kann im Klartext mitgeschnitten werden — sofern dieser nicht schon auf Transportebene Ende-zu-Ende-verschlüsselt übertragen wurde (HTTPS, LDAPS, SMTPS, …) …
Das eigentlich witzige, aber für das BSI bezeichnend peinliche, ist aber der Fakt, daß jedweder Datenverkehr über ein WPA2-gesichertes WLAN nun ›betroffen‹ sein solle — dabei hat sich eigentlich nicht viel geändert:
- Luft ist und bleibt ein shared medium
- Ersteinmal kann jeder mitlauschen; WPA2 reduziert dies an sich
- Hinter dem vermeintlich gesicherten Übertragungsweg »Luft« kommt das lange, dunkle Kabel — und jenseits des heimischen Routers wird die Datenübertragung nach wie vor nicht besonders gesichert
Kurzum: zur Hysterie besteht kein Anlaß. Ja, unter Umständen können Angreifer Datenpakete mitlesen, abfangen. So-fucking-what?! Online-Banking, eMail, selbst normales Surfen nutzt heute i. d. R. TLS (Transport Layer Security), und jener Standard wurde nicht torpediert.
Verglichen mit dem tatsächlichen, praktischen »Impact«, ist der mediale Rummel um das, natürlich existente, Problem schon fast »fake news« … Wenn man das WLAN als das begreift, was es eben ist – eine räumlich nur schwer eingrenzbare Erweiterung des LANs per Funk – und generell auch im lokalen Netz nur Ende-zu-Ende-verschlüsselte Kommunikation nutzt, hat sich eigentlich nichts geändert. Mit der Bedrohung von Mitlesern mußte man immer leben, und deshalb sind auch alle internen Dienste auf Transportebene schon abgesichert … Und genau dann ist es auch egal, ob einzelne oder alle Pakete mitgelesen werden können — für den Mitleser bleibt es nur Datenmüll ;-)