WPA3 wurde bereits angenommen und ist seit Juli 2020 für Geräte, die eine Zertifizierung durch die WiFi-Allianz durchlaufen, verpflichtend. WPA2 wurde jedoch nicht abgeschafft und wird auch nicht abgeschafft. Sowohl WPA2 als auch WPA3 ermöglichen den Betrieb im PSK- und Enterprise-Modus, aber wir möchten in unserem Artikel die Technologie Private PSK sowie die Vorteile, die damit erzielt werden können, näher beleuchten.
Die Probleme mit WPA2-Personal sind seit langem bekannt und wurden größtenteils bereits behoben (Priority Management Frames, Korrekturen für die KRACK-Schwachstelle u.a.). Der Hauptnachteil von WPA2 bei Verwendung von PSK besteht darin, dass schwache Passwörter relativ leicht durch Wörterbuchangriffe kompromittiert werden können. Bei einer Kompromittierung und der Änderung des Passworts auf ein neues muss zudem allen verbundenen Geräten (und Access Points) neu konfiguriert werden, was ein zeitaufwändiger Prozess sein kann (um das Problem des „schwachen Passworts“ zu lösen, empfiehlt die WiFi-Allianz, Passwörter mit einer Länge von mindestens 20 Zeichen zu verwenden).
Ein weiteres Problem, das manchmal mit WPA2-Personal nicht gelöst werden kann, ist die Zuweisung verschiedener Profile (vlan, QoS, Firewall...) an Gruppen von Geräten, die mit demselben SSID verbunden sind.
Mit WPA2-Enterprise können alle oben genannten Probleme gelöst werden, jedoch ist dies mit folgenden Nachteilen verbunden:
- Die Notwendigkeit, eine PKI (Public Key Infrastructure) und Sicherheitszertifikate zu haben oder bereitzustellen;
- Es kann zu Schwierigkeiten bei der Installation kommen;
- Es können Schwierigkeiten bei der Fehlersuche auftreten;
- Es ist keine optimale Lösung für IoT-Geräte oder Gastzugänge.
Eine radikalere Lösung für die Probleme von WPA2-Personal ist der Wechsel zu WPA3, dessen Hauptverbesserung die Verwendung von SAE (Simultaneous Authentication of Equals) und statischen PSK ist. WPA3-Personal löst das Problem des „Wörterbuchangriffs“, bietet jedoch keine individuelle Identifizierung bei der Authentifizierung und damit auch keine Möglichkeit zur Zuweisung von Profilen (da weiterhin ein gemeinsames statisches Passwort verwendet wird).
Dabei ist es auch zu berücksichtigen, dass über 95 % der bestehenden Clients derzeit WPA3 und SAE nicht unterstützen, während WPA2 weiterhin erfolgreich auf Milliarden bereits veröffentlichter Geräte funktioniert.
Um die oben beschriebenen bestehenden oder potenziell möglichen Probleme zu lösen, wurde von der Firma Extreme Networks die Technologie Private Pre-Shared Key (PPSK) entwickelt. PPSK ist mit jedem Wi-Fi-Client kompatibel, der WPA2-PSK unterstützt, und ermöglicht ein Sicherheitsniveau, das mit dem Niveau vergleichbar ist, das durch die Verwendung von WPA2-Enterprise erreicht wird, ohne dass eine Infrastruktur 802.1X/EAP aufgebaut werden muss. Private PSK ist im Grunde genommen WPA2-PSK, aber jeder Benutzer (oder Benutzergruppe) kann ein eigenes dynamisch generiertes Passwort haben. Das Management von PPSK unterscheidet sich nicht vom Management von PSK, da der gesamte Prozess automatisiert ist. Die Schlüssel-Datenbank kann lokal auf den Access Points oder in der Cloud gespeichert werden.
Passwörter können automatisch generiert werden, es gibt die Möglichkeit, ihre Länge/Widerstand, den Zeitraum oder die Gültigkeitsdauer sowie die Art der Zustellung an den Benutzer (per E-Mail oder SMS) flexibel festzulegen:
Es kann auch die maximale Anzahl von Clients konfiguriert werden, die sich mit einem PPSK verbinden können, oder sogar “MAC-Bindung” für die angeschlossenen Geräte eingerichtet werden. Auf Befehl des Netzwerkadministrators kann jeder Schlüssel einfach widerrufen werden, und der Zugriff auf das Netzwerk wird verweigert, ohne dass eine Neukonfiguration aller anderen Geräte erforderlich ist. Wenn der Schlüssel zum Zeitpunkt des Widerrufs aktiv ist, wird der Client automatisch von der Zugangspunkt vom Netzwerk getrennt.
Zu den Hauptvorteilen von PPSK gehören:
- Benutzerfreundlichkeit bei hohem Sicherheitsniveau;
- Der Schutz vor Wörterbuchangriffen wird durch lange und robuste Passwörter gelöst, die ExtremeCloudIQ automatisch generieren und verteilen kann;
- Möglichkeit, verschiedene Sicherheitsprofile für verschiedene Geräte, die mit demselben SSID verbunden sind, zuzuweisen;
- Ideal für sicheren Gästezugang;
- Ideal für sicheren Zugriff, wenn Geräte 802.1X / EAP nicht unterstützen (manuelle Scanner oder IoT-/VoWiFi-Geräte);
- Erfolgreiche Nutzung und Weiterentwicklung über mehr als 10 Jahre.
Bei Fragen, die aufgetreten sind oder noch bestehen, stehen Ihnen gerne die Mitarbeiter unseres Büros zur Verfügung – .
Quelle: habr.com
