Allgemeine Problemfragen zu WLAN

Kurz gesagt, es ist ein neueres Zugangsprotokoll, das im WLAN sowohl auf dem Router als auch auf den Clients aktiviert sein muss, damit es funktioniert. Der Router sendet dann in bestimmten Zeitabständen neue Schlüssel an alle Clients. Ich vermute mal: Da bei mir nur ein Client aktiviert war, hat der Router diesen immer dann, wenn der Schlüssel ausgetauscht werden sollte, als nicht authentifiziert betrachtet.

Folgendes habe ich dazu auf anderen Seiten gefunden:

Das WLAN-Protokoll 802.11 ist nicht sehr sicher. Durch die Kooperation mit Microsoft, Cisco und anderen Herstellern hat das IEEE diese Mängel der 802.11-Protokoll-Implementierungen erkannt und stellt mit dem IEEE-802.1x-Standard jetzt deutlich robustere WLAN- und LAN-Authentifizierungs- und Sicherheitsmechanismen zur Verfügung.

(Hintergrundinfo: Das IEEE (Institute of Electrical and Electronics Engineers, meist als ei trippel i gesprochen) ist ein weltweiter Berufsverband von Ingenieuren aus den Bereichen Elektrotechnik und Informatik. Es ist Veranstalter von Fachtagungen, Herausgeber diverser Fachzeitschriften und bildet Gremien für die Standardisierung von Technologien, Hardware und Software. Wissenschaftlichen Beiträgen in Zeitschriften oder zu Konferenzen des IEEE wird im Allgemeinen eine besonders hohe fachliche Güte unterstellt. Das IEEE ist mit mehr als 360.000 Mitgliedern in 175 Ländern (2005) der größte technische Berufsverband der Welt.)

Um das 802.1x-Protokoll zu nutzen, müssen Sie Domänencontroller unter Windows 2000 oder Windows 2003 Server zusammen mit Windows XP-Clients einsetzen.

Wie das 802.1x-Protokoll arbeitet

Das 802.1x-Protokoll implementiert Zugangskontrollen über Ports. Im einem WLAN ist ein Port eine Verbindung zwischen einem Access Point (AP) und einem Client. Es sind zwei Arten von Ports im 802.1x-Protokoll definiert: kontrollierte und unkontrollierte Ports. Ein kontrollierter Port erlaubt es den angeschlossenen Geräten, mit allen anderer Netzwerkgeräten zu kommunizieren. Ein unkontrollierter Port beschränkt die angeschlossenen Geräte auf bestimmte Netzwerkadressen (zum Beispiel nur den Verkehr zu Authentifizierungsservern). Nachdem der Client authentifiziert worden ist, ist kann er die kontrollierten Ports verwenden. Im 802.1x-Protokoll sind unkontrollierte und kontrollierte Ports logische Einheiten, die unter demselben physikalischen Netzwerkanschluss existieren.

Im Hinblick auf die Authentifizierung definiert das 802.1x-Protokoll für Netzwerkgeräte zwei Rollen: Ein Bittsteller ist ein Gerät, das um Zugriff bittet. Ein Authentifizierer ist ein Gerät, das Clients authentifiziert, und überprüft, ob Zugriff erteilt wird oder nicht. Ein drahtloser AP könnte ein Authentifizierer sein. Der Industriestandard RADIUS eignet sich jedoch besser zur Authentifizierung (Windows 2000 stellt Ihnen den RADIUS-Dienst zur Verfügung). Mit RADIUS akzeptiert der AP die Authentifizierungsanfrage und vermittelt sie weiter zu einem RADIUS-Server. Dieser überprüft den Benutzer mit Hilfe von Active Directory.

Das 802.1x-Protokoll verwendet keine WEP-Authentifizierung (Wired Equivalent Privacy), sondern den Industriestandard EAP (Extensible Authentication Protocol) oder die neuere Variante PEAP (Protected-EAP). Der Hauptvorteil von EAP/PEAP ist, dass Sie eine Auswahl von Authentifizierungsmethoden ermöglichen. Standardmäßig verwendet 802.1x EAP-TLS (EAP-Transport Layer Security), mit dem jeder EAP-gesicherte Austausch vom TLS Protokoll (einem nahen Verwandten von SSL) verschlüsselt wird. Der Ablauf des Authentifizierungsprozesses sieht wie folgt aus:

1. Die drahtlose Station beginnt den Verbindungsaufbau mit dem AP über einen unkontrollierten Port (weil der Client noch nicht authentifiziert ist, und somit keinen kontrollierten Port verwenden kann). Der AP übergibt eine Challenge (Herausforderung) in Form einer Zeichenkette an die Station.

2. Die Station antwortet mit einer Identifikation.

3. Die AP leitet die Identitätsmeldung der Station über RADIUS an den Authentifizierer weiter.

4. Der RADIUS-Server überprüft das spezifizierte Konto und bestimmt, welche Anmeldeinformationen erforderlich sind (Sie könnten Ihren RADIUS Server zum Beispiel so konfiguriert haben, dass er nur digitale Zertifikate akzeptiert). Diese Information wird in eine Anmeldeinformations-Anfrage umgewandelt und an die Station zurückgegeben.

5. Die Station sendet ihre Anmeldeinformationen über den unkontrollierten Port an den AP.

6. Der RADIUS-Server wertet die Anmeldeinformationen aus. Wenn sie korrekt sind, wird ein Authentifizierungsschlüssel an den AP geschickt. Dieser ist verschlüsselt, so dass nur der AP ihn entschlüsseln kann.

7. Der AP entschlüsselt den Schlüssel, und verwendet ihn, um einen neuen Schlüssel für die Station zu erstellen. Dieser Schlüssel wird an die Station geschickt und dort zur Verschlüsselung des globalen Authentifizierungsschlüssels benutzt.

Der AP generiert regelmäßig einen neuen globalen Authentifizierungsschlüssel und schickt diesen zum Client. So wird das Problem langlebiger und leicht angreifbarer fester Schlüssel von 802.11 beseitigt.