Sie überprüfen spät am Freitagnachmittag eine WLAN-Änderung. Der Controller bietet Ihnen drei Einstellungen für geschützte Management-Frames: deaktiviert, optional und erforderlich. Jedes Gerät an dieser SSID wird diese Entscheidung am Montagmorgen zu spüren bekommen. Wenn Sie die Einstellung zu locker wählen, funktionieren gefälschte Verbindungsabbrüche weiterhin. Wenn Sie sie zu streng ansetzen, können sich Drucker, Scanner und ältere Laptops im Gebäude überhaupt nicht mehr verbinden. Dieser Leitfaden behandelt diese Wahl als das, was sie wirklich ist: eine Durchsetzungsentscheidung pro SSID mit entsprechenden Kompatibilitätsauswirkungen, die Sie einplanen können.
Was Protected Management Frames bewirken
In einem stark ausgelasteten WLAN kann ein Gerät seine Verbindung verlieren, ohne dass jemand sein Passwort geändert oder seine Verschlüsselung geknackt hat. Die Ursache kann ein gefälschter Management-Frame sein, eine Funknachricht, die dem Gerät mitteilt, die Verbindung zu trennen. Protected Management Frames (PMF) helfen zu verhindern, dass eine solche Nachricht als authentisch akzeptiert wird.
Die Schwachstelle, die PMF schließen soll
Management Frames enthalten die Anweisungen, die eine WLAN-Verbindung herstellen, aufrechterhalten und beenden. Sie übertragen nicht die E-Mail, die Patientenakte oder den Videoanruf selbst. Vor PMF konnte ein Angreifer innerhalb der Funkreichweite eine Deauthentifizierungs- oder Disassoziierungsnachricht fälschen. Ein Gerät, das diese empfing, trennte möglicherweise die Verbindung zum Netzwerk, obwohl sein verschlüsselter Benutzer-Datenverkehr nicht kompromittiert war.
PMF entstammt der IEEE 802.11w-Ergänzung aus dem Jahr 2009, die sich mit gefälschten Management-Frames befasste - insbesondere mit Nachrichten, die legitime Benutzer zwangsweise trennen, wie in der Wi-Fi Alliance Übersicht zu Protected Management Frames beschrieben. Es fügt dem geschützten Steuerungsverkehr Integritätsprüfungen und Herkunftsauthentifizierung hinzu. Der Access Point oder Client kann prüfen, wer eine geschützte Nachricht gesendet hat, und eine Nachricht ablehnen, die die Prüfung nicht besteht, anstatt blind darauf zu reagieren.
Geschützte Unicast-Management-Frames können ebenfalls verschlüsselt werden, wodurch Eins-zu-eins-Anweisungen sowohl privat als auch verifiziert bleiben. PMF deckt Deauthentifizierungs- und Disassoziierungs-Frames sowie Action-Frames ab, die für Funkmessung, Block Acknowledgement, Fast BSS Transition, Spektrumsmanagement und Quality of Service verwendet werden. Diese Nachrichten können eine Sitzung beenden, Funkbedingungen melden, Datenblöcke bestätigen, den Wechsel zu einem anderen Access Point unterstützen oder Sprach- und Videoverkehr steuern.
Was PMF nicht ist
PMF schützt den Steuerungsverkehr, nicht die Benutzerdaten. Es arbeitet zusammen mit WPA2 oder WPA3, anstatt die Authentifizierung, Verschlüsselung oder Autorisierung zu ersetzen. Die Wi-Fi Alliance beschreibt PMF als eine Möglichkeit, Angriffe wie Verbindungsabbrüche, Honeypots und Evil-Twins abzuwehren. Es stellt weder die Identität eines Benutzers fest, noch entscheidet es, wer auf das Netzwerk zugreifen darf.
PMF ist eine ergänzende Maßnahme. Ihre Authentifizierung entscheidet, wer zugelassen wird, Ihre Verschlüsselung schützt die Daten und PMF schützt die Anweisungen, die die Sitzung aufrechterhalten.
Der Access Point und der Client müssen beide PMF unterstützen, und die Einstellung gilt separat für jede verschlüsselte SSID. Das macht die Durchsetzung zu einer Entscheidung pro Netzwerk und nicht zu einem Schalter für den gesamten Standort. Netzwerke im Übergangsmodus (Transition Mode) erlauben PMF oft, ohne es vorauszusetzen, sodass sich ältere Clients weiterhin verbinden können. Der Nachteil ist, dass Clients, die PMF nicht nutzen können, auf dieser SSID keinen Schutz erhalten. Berücksichtigen Sie den Client-Mix und die Roaming-Anforderungen des Netzwerks, bevor Sie entscheiden, wie streng Sie die Funktion durchsetzen.
Auswahl der Modi Deaktiviert, Optional oder Erforderlich
PMF läuft in einem von drei Modi pro WLAN. Dieser Modus entscheidet darüber, wer verbunden bleibt und wer ungeschützt bleibt. Nutzen Sie diese Tabelle als Referenz, bevor Sie ein Produktionsprofil anpassen.
| Modus | Ablauf | Auswirkung auf Altsysteme | Gefahr durch gefälschte Deauthentifizierungen | Am besten geeignet für |
|---|---|---|---|---|
| Deaktiviert | Kein Schutz für Management-Frames | Verbindet sich überall | Volle Exposition | Isolierte Alt-Netzwerke, die vor der Außerbetriebnahme stehen |
| Optional | PMF wird nur verwendet, wenn Client und WLAN dies unterstützen | Ältere Geräte verbinden sich weiterhin | Exponiert für Clients ohne PMF | WPA2- und WPA3-Übergangs-SSIDs |
| Erforderlich | Zuordnung nur mit PMF-fähigen Clients | Inkompatible Geräte können sich nicht verbinden | Geschützt für jeden zugeordneten Client | Reine WPA3- und SSIDs mit hoher Sicherheitsstufe |
Deaktiviert
Deaktiviert bietet Ihnen keinen Schutz, verursacht aber auch keine Kompatibilitätsprobleme. Jeder Client, der sich zuvor verbinden konnte, kann dies weiterhin tun, und jedes gefälschte Deauthentifizierungs-Frame, das zuvor funktionierte, funktioniert immer noch. Behalten Sie diese Einstellung nur für ein isoliertes Altsystem-Netzwerk bei, das Sie segmentiert, dokumentiert und mit einem Abschaltungsdatum versehen haben. Gibt es kein Datum, wird das Deaktivieren schleichend zum Dauerzustand.
Optional
Im optionalen Modus nutzt ein Client PMF nur dann, wenn sowohl das WLAN als auch der Client es unterstützen. So behalten ältere Geräte ihre Konnektivität, aber Verbindungen ohne PMF bleiben Anfällig für gefälschte Management-Frame-Angriffe. Das ist der ehrliche Kompromiss während der Übergangsphase. Ihre modernen Smartphones und Laptops erhalten Schutz, Ihre älteren Geräte funktionieren weiterhin, und Sie sollten die SSID nicht als geschützt ausweisen, ohne einzuschränken, für welche Clients dies gilt.
Erforderlich
Im Required-Modus (erforderlich) ist eine Assoziation nur zulässig, wenn der Client PMF aushandelt. Das ist die richtige Einstellung für reine WPA3-SSIDs und hochsichere Umgebungen, aber inkompatible Altsysteme können keine Verbindung herstellen. Dies ist kein eingeschränkter Modus. Das Gerät verbindet sich nicht mit einem niedrigeren Sicherheitsniveau, sondern bleibt von der SSID getrennt, bis Sie den Treiber korrigieren, die Firmware aktualisieren oder es anderweitig unterbringen.
Zwei technische Punkte überraschen Administratoren häufig. Erstens schreibt Cisco's 802.11w-Konfigurationsanleitung vor, dass optionales oder obligatorisches PMF WPA mit einer entsprechenden Authentifizierungs- und Schlüsselverwaltungskonfiguration erfordert, wobei das RSN-Informationselement zusammen mit einer AES-Chiffre aktiviert sein muss. Wenn Ihre Chiffre- oder RSN-Einstellungen nicht übereinstimmen, verhält sich der Modus nicht wie angegeben. Zweitens warnt die technische Dokumentation von Xerox, dass eine Fehlanpassung zwischen Netzwerk- und Geräteeinstellungen zu Kommunikationsfehlern führen kann, und weist darauf hin, dass WPA3 Personal und WPA3 Enterprise PMF gewöhnlich als erforderlich verwenden, während Übergangskonfigurationen es optional belassen können.
Standardregel: Erforderlich auf reinen WPA3- und SSIDs mit hoher Sicherheit, optional auf gemischten WPA2- und WPA3-SSIDs während der Übergangsphase, deaktiviert nur in isolierten Altsystem-Netzwerken mit festem Abschaltungsdatum.
Wenn Sie dies gegenüber Ihrem übergeordneten Authentifizierungskonzept abwägen: Die Wahl des Enterprise-Authentifizierungsmodells geht Hand in Hand mit dem PMF-Modus. Es lohnt sich, Ihre WPA Enterprise Konfigurationsoptionen zu überprüfen, bevor Sie eine der Einstellungen festlegen. Behandeln Sie die beiden Entscheidungen zusammen, um zu vermeiden, dass PMF auf einer SSID erzwungen wird, deren Clients nie dafür evaluiert wurden.
Warum PMF für Roaming und Deauthentifizierungsangriffe wichtig ist
Ein gefälschter Deauthentifizierungs-Frame kann dazu führen, dass ein nahe gelegener Client die Verbindung zu einem Access Point trennt. Der Client versucht dann erneut, eine Verbindung herzustellen, und wiederholte gefälschte Frames können ihn daran hindern, sich zu stabilisieren. Benutzer erleben scheinbar zufällige WiFi-Abbrüche, während der Helpdesk ein Verbindungsproblem ohne offensichtlichen Abdeckungsfehler sieht.
Wie sich Störungen im Betrieb äußern
Ein Tablet auf der Krankenstation kann die Verbindung verlieren, wenn sich das medizinische Personal zwischen den Behandlungsräumen bewegt. Studierende können während einer Vorlesung den Zugriff verlieren. In beiden Fällen kann die Verschlüsselung intakt bleiben und Passwörter bleiben geschützt - dennoch ist der Dienst unterbrochen. PMF ermöglicht es einer Station oder einem Access Point, gefälschte Anweisungen abzulehnen, indem überprüft wird, ob geschützte Management-Nachrichten authentisch sind.
Roaming macht diese Frames nicht nur bei Verbindungsabbrüchen wichtig. Wenn sich ein Smartphone zwischen Access Points bewegt, helfen Fast BSS Transition Action Frames bei der Koordinierung der Übergabe. Wenn ein Angreifer diese Nachrichten fälscht oder stört, kann ein Anruf stocken oder abbrechen, während sich der Benutzer durch einen Flur bewegt. PMF schützt relevante Action Frames, einschließlich derer für Funkmessung, Block-Acknowledgement, Spektrum-Management und Quality-of-Service-Abläufe. Das empfangende Gerät kann Übergabeanweisungen überprüfen, anstatt sie blind zu akzeptieren.
Das Standardprofil und seine Grenzen
Die SSID-Einstellung wird pro Netzwerk entschieden. Wägen Sie bei einer für Roaming genutzten SSID den Schutz durch PMF ab gegen die Frage, ob jeder Client mit dieser Einstellung eine Verbindung herstellen und Übergaben abschließen kann. Das ist auch für Passpoint relevant: Die Authentifizierungsmethode entbindet nicht von der Pflicht, die PMF-Kompatibilität der Clients zu prüfen, die sich mit dem Netzwerk verbinden.
Details zum Algorithmus finden Sie in Cisco's 802.11w PMF Konfigurationsanleitung. Die praktische Grenze ist genauso wichtig: Der Schutz von Management-Frames allein verhindert nicht jeden Deauthentifizierungsangriff. Behalten Sie die Funküberwachung und Wireless Intrusion Prevention im Sicherheitskonzept bei und planen Sie PMF zusammen mit Authentifizierung und Überwachung in einer Enterprise WiFi Sicherheitsstrategie.
PMF schützt den Management-Datenverkehr über die Funkverbindung. Besucherdaten benötigen ebenfalls Schutz, wenn sie über den Access Point hinaus übertragen werden. TLS und IPsec für Besucherdaten erläutert Protokolle, die zur Sicherung dieses Datenverkehrs beitragen.
Kompatibilitätsauswirkungen nach Geräteklasse
Die Frage, die Ihre Benutzer stellen werden, ist einfacher als der Standard. Welche Geräte werden nicht mehr funktionieren? Die Antwort beginnt dort, wo der PMF-Support tatsächlich verankert ist. Er wird zwischen dem Access Point und dem WiFi-Treiber sowie dem Supplicant des Clients ausgehandelt. Ein PMF-fähiger Access Point allein garantiert also gar nichts. Ein Laptop mit einem alten Treiber kann bei einer SSID fehlschlagen, mit der sich ein neueres Smartphone problemlos verbindet.
| Geräteklasse | Typische PMF-Unterstützung | Risiko bei Einstellung auf Erforderlich | Empfohlene Einstellung |
|---|---|---|---|
| Moderne Smartphones und Laptops mit WPA3-Unterstützung | Wird in der Regel unterstützt | Gering | Erforderlich für WPA3 SSIDs |
| WiFi 5 Laptops und Smartphones mit Treibern aus der WPA2-Ära | Oft unterstützt, treiberabhängig | Mittel | Optional für gemischte SSIDs, Treiber aktualisieren |
| Ältere reine WPA2-IoT-Sensoren und Smart Plugs | Häufig nicht unterstützt | Hoch | Separate SSID oder iPSK |
| Ablaufende Drucker und Scanner | Oft nicht unterstützt | Hoch | Kabelgebundene Verbindung oder dedizierte Legacy-SSID |
| Handscanner mit alter Firmware | Firmware-abhängig | Mittel bis hoch | Firmware vor Durchsetzung testen |
Betrachten Sie diese Zeilen als typische Muster, nicht als Garantien. Überprüfen Sie jedes Modell anhand der Herstellerdokumentation und Ihres eigenen Bestands, da sich zwei Geräte derselben Klasse nach einem Treiber-Update unterschiedlich verhalten können. Die Tabelle zeigt Ihnen, wo Sie zuerst suchen müssen. Ihre Testverbindungen liefern Ihnen die tatsächlichen Erkenntnisse.
Die Enterprise-Zuordnungsregel
Bei 802.1X-Netzwerken erfolgt die Aushandlung explizit. Die britische Organisation für Bildungsnetzwerke Jisc stellt fest, dass WPA3-Enterprise PMF im reinen WPA3-Enterprise-Modus erfordert, in dem der Access Point die Funktion "Management Frame Protection Required" signalisiert und eine kompatible Station PMF während der Zuordnung aushandeln muss, wie in den WPA3-, Wi-Fi 6E- und eduroam-Richtlinien von Jisc dargelegt. Kann die Station dies nicht aushandeln, wird die Verbindung nicht hergestellt.
Das ist besonders relevant, wenn Sie eduroam oder ein anderes zertifikatsbasiertes Netzwerk betreiben, da sich WPA3-Enterprise aus WPA2-Enterprise weiterentwickeln kann, während die zertifikatsbasierte Authentifizierung erhalten bleibt. Ihre Zertifikate können perfekt sein, während ein veralteter Supplicant bei PMF dennoch fehlschlägt. Validieren Sie sowohl Access Points als auch Client-Supplicants, bevor Sie die Einstellung durchsetzen, und überwachen Sie nach der Änderung die Verbindungsfehler sowie Ihren Bestand an Altsystemen.
Achten Sie auf das klassische Symptom: Ein Gerät verbindet sich weiterhin problemlos mit der alten SSID, tritt der neuen jedoch nie bei, ohne dass ein offensichtlicher Passwort- oder Zertifikatsfehler vorliegt. Dieses Muster deutet eher auf eine Inkompatibilität der Funktionen als auf ein Problem mit den Anmeldedaten hin.
Wenn ein Gerät dem alten Netzwerk beitritt, das neue jedoch stillschweigend verweigert, prüfen Sie die PMF-Kompatibilität, bevor Sie auch nur ein einziges Zertifikat neu ausstellen.
Dieses Signal ist Ihr Anlass, den Bestand sorgfältig zu inventarisieren, bevor Sie weitere Änderungen vornehmen. Vermutungen in dieser Phase verlagern den Fehler nur von Ihrer Pilotgruppe auf das gesamte Gebäude.
So führen Sie Required PMF Schritt für Schritt ein
Gehen Sie die Schritte der Reihe nach durch, da jeder Schritt den nächsten absichert. Wer die Inventarisierung überspringt, um einen Tag zu sparen, zahlt später meist mit einer Woche unerklärlicher Tickets.
Erfassen Sie jedes Gerät auf der Ziel-SSID. Zeichnen Sie Modell, Betriebssystem, WiFi-Treiberversion und Firmware für jedes einzelne Gerät auf, da die PMF-Unterstützung häufig vom Treiber und nicht von der Hardware-Zertifizierung abhängt. Markieren Sie alles, was Sie nicht identifizieren können, da unbekannte Geräte diejenigen sind, die bei der Durchsetzung für Überraschungen sorgen.
Bestätigen Sie die Controller-Voraussetzungen. Überprüfen Sie, ob das WLAN PMF mit einer AES-Chiffre und aktivierten RSN-Informationselementen unterstützt, da sowohl der optionale als auch der erforderliche Modus von beiden abhängen. Führen Sie dies vor dem Pilotprojekt durch, damit Sie das Client-Verhalten testen und nicht einem Profilfehler hinterherjagen.
Erstellen Sie eine Test-SSID, die auf optional eingestellt ist. Passen Sie die Authentifizierung genau an die Produktion an, sodass die einzige Variable, die Sie testen, PMF ist. Die Benutzer sollten vorerst nichts merken, und das ist der Sinn der Sache. Sie sammeln Nachweise und kündigen keine Änderung an.
Versetzen Sie eine Testgruppe für mindestens eine Arbeitswoche auf die Test-SSID. Wählen Sie Firmen-Laptops und -Smartphones aus, die sich tatsächlich durch das Gebäude bewegen, und protokollieren Sie täglich Zuordnungsfehler und Roaming-Abbrüche. Ein Gerät, das die ganze Woche auf einem Schreibtisch steht, sagt sehr wenig über das Verhalten von Fast BSS Transition aus.
Beheben, Trennen, dann Erzwingen
Beheben Sie, was Sie können, und isolieren Sie, was Sie nicht beheben können. Wenden Sie zuerst Treiber- und Firmware-Updates an, testen Sie jedes Gerät erneut und platzieren Sie wirklich unersetzliche Legacy-Geräte auf einer separaten, segmentierten SSID mit strengeren Netzwerkkontrollen. Schwächen Sie nicht die Haupt-SSID ab, um einen einzelnen Drucker einzubinden.
Stellen Sie die Produktions-SSID auf erforderlich um. Wenden Sie dies auf Ihre WPA3- oder High-Assurance-SSID an, belassen Sie gemischte SSIDs auf optional und überprüfen Sie jede Access-Point-Gruppe mit demselben Profil. Eine Gruppe, die auf der alten Einstellung belassen wird, erzeugt den zermürbenden Fehler, bei dem ein Gerät im Empfangsbereich funktioniert und im Obergeschoss fehlschlägt.
Überwachen Sie das Netzwerk zwei Wochen lang nach der Durchsetzung. Beobachten Sie Zuordnungsfehler sowie Roaming-Abbrüche und vergleichen Sie diese mit Ihren Pilotprotokollen. Wenn eine kritische Gerätegruppe ausfällt, führen Sie ein Rollback durch, indem Sie die einzelne PMF-Einstellung ändern, anstatt das WLAN neu aufzubauen.
Warum einzelne Änderungen wichtig sind: Wenn PMF die einzige Einstellung war, die Sie geändert haben, besteht der Rollback aus einer einzigen Option in einem Profil. Ändern Sie Verschlüsselung, Authentifizierung und PMF gleichzeitig, werden Sie nie erfahren, welche Änderung die Scanner blockiert hat.
Halten Sie die Pilot-SSID auch nach dem Go-Live aktiv. Sie wird zu Ihrem Testfeld für den nächsten Gerätewechsel, das nächste Firmware-Release und die nächste SSID, die Sie von optional auf erforderlich umstellen möchten. Ein Rollout, den Sie in Ruhe wiederholen können, ist weit mehr wert als eine einmalige nächtliche Umstellung am Wochenende, die danach niemand mehr anfassen möchte.
Fehlerbehebung bei fehlgeschlagenen Verbindungen nach der Aktivierung von PMF
Die meisten Fehler nach der Aktivierung von PMF liegen nicht an einer fehlerhaften Sicherheit. Es handelt sich um Abweichungsprobleme: ein Client ohne PMF-Unterstützung, ein WLAN-Profil, das sich zwischen Access-Point-Gruppen unterscheidet, unpassende Roaming-Einstellungen oder ein Firmware-Update, das eine Standardeinstellung ohne Warnung geändert hat. Beginnen Sie mit dem Symptom, das Sie sehen können.
| Symptom | Wahrscheinliche Ursache | Lösung |
|---|---|---|
| Gerät weigert sich, einer erforderlichen SSID beizutreten | Dem Client fehlt die PMF-Unterstützung oder der Treiber hat sie deaktiviert | Aktualisieren Sie den Treiber oder verschieben Sie das Gerät auf eine optionale SSID |
| Gerät verbindet sich mit einem Access Point, aber nicht mit anderen | Unterschiedliche PMF-Einstellungen in Controller-Profilen oder AP-Gruppen | Gleichen Sie das WLAN-Profil für jede AP-Gruppe ab |
| Wiederholte Verbindungsabbrüche beim Roaming | Fast Transition-Einstellungen stimmen zwischen Client und WLAN nicht überein | Prüfen Sie die 802.11r-Einstellungen und überprüfen Sie die Client-Roaming-Protokolle |
| Fehler treten nach einem Firmware-Update auf | Hersteller-Update hat den Standard-PMF-Modus geändert | Überprüfen Sie die WLAN-Sicherheitseinstellung nach jedem Upgrade erneut |
Gehen Sie in dieser Diagnose-Reihenfolge vor
Überprüfen Sie zuerst den Client. Bestätigen Sie die PMF-Kompatibilität des Geräts und die aktuell ausgeführte Treiberversion - nicht die Version, die Sie im letzten Quartal bereitgestellt haben. Ein einziger Laptop, der ein Update verpasst hat, kann Tickets erzeugen, die wie ein Infrastrukturfehler aussehen.
Vergleichen Sie als Nächstes das WLAN-Profil über Controller-Gruppen hinweg. Exportieren Sie das Sicherheitsprofil und überprüfen Sie, ob PMF-Modus, Chiffre und Authentifizierung auf jeder Access-Point-Gruppe, die diese SSID bedient, übereinstimmen. Abweichungen im Profil erklären die meisten ortsabhängigen Fehler, bei denen dasselbe Gerät in einem Teil des Gebäudes funktioniert und in einem anderen fehlschlägt.
Überprüfen Sie die Roaming-Protokolle während der fehlgeschlagenen Übergabe. Wenn sich das Gerät im stationären Zustand problemlos verbindet, aber bei Bewegung die Verbindung trennt, prüfen Sie Ihre Einstellungen für die schnelle Übergabe nach 802.11r und die Roaming-Entscheidungen des Clients im Moment des Fehlers. PMF schützt die Übergabe-Frames. Eine Unstimmigkeit an dieser Stelle zeigt sich als Roaming-Vorgang, der nie abgeschlossen wird.
Zwei weniger offensichtliche Ursachen verdienen einen Blick. Passpoint-Profile, die mit veralteter Sicherheit bereitgestellt wurden, können sich verbinden und dann abbrechen, da das Profil auf dem Gerät nicht mehr mit den aktuellen Erwartungen des WLANs übereinstimmt. Die Controller-Unterstützung für RADIUS Change of Authorization wirkt sich ebenfalls auf die Re-Authentifizierung aus, sodass eine Sitzung, die nach einer Richtlinienänderung fehlschlägt, möglicherweise gar kein PMF-Fehler ist.
Erstellen Sie vor jeder Änderung einen Konfigurationsexport des Ursprungszustands. Ein Rückrollvorgang wird so zu einer einfachen Wiederherstellung, anstatt dass Sie einen Nachmittag lang Einstellungen aus dem Gedächtnis rekonstruieren müssen. Sie wissen, dass Sie das Problem gelöst haben, wenn Ihre Testgruppe einen vollständigen Arbeitstag lang ein sauberes Assoziationsprotokoll erzeugt - einschließlich des morgendlichen Ansturms, wenn alle gleichzeitig eintreffen, roamen und an Anrufen teilnehmen. Erklären Sie den Test nicht an einem ruhigen Sonntag für erfolgreich.
Passpoint, OpenRoaming und Purple Implementierungen
PMF-Einstellungen existieren nicht isoliert. Sie beeinflussen, wie Gäste und Mitarbeiter das Netzwerk erreichen - insbesondere dort, wo die Verbindung jedes Mal automatisch ohne Captive Portal erfolgen soll.
Passpoint, auch Hotspot 2.0 oder IEEE 802.11u genannt, ermöglicht es Geräten, ein Netzwerk mithilfe von ANQP-Abfragen automatisch zu entdecken und sich daran zu authentifizieren. Es läuft auf WPA2 oder WPA3-Enterprise, sodass der PMF-Modus auf diesem WLAN direkt beeinflusst, wie gut der Schutz vor gefälschten Frames auf diese nahtlosen Verbindungen übertragen wird. Eine Passpoint-SSID, die auf optional belassen wird, schützt nur fähige Clients, genau wie eine manuell hinzugefügte SSID. Wenn Sie dieses Vorhaben planen, hilft Ihnen eine Überprüfung der Funktionsweise von Passpoint-Authentifizierung und Roaming zusammen mit Ihrem WLAN-Sicherheitsprofil, Unstimmigkeiten zu erkennen, bevor Gäste es tun.
OpenRoaming baut auf Passpoint-Profilen auf, sodass darüber bereitgestellte Geräte denselben Sicherheitspfad wie jeder andere Passpoint-Client erben. Das Profil auf dem Gerät und die PMF-Einstellung auf Ihrem WLAN müssen übereinstimmen. Wenn dies nicht der Fall ist, sieht der Fehler eher wie ein Roaming-Problem als nach einer Sicherheitseinstellung aus. Deshalb gehört das Profil-Testing in Ihr PMF-Pilotprojekt und nicht erst danach.
Prüfungen vor der Erzwingung auf einem Passpoint-WLAN
Bevor Sie erforderliches PMF auf einem Passpoint-WLAN einrichten, prüfen Sie mehr als nur den PMF-Schalter. Die Kompatibilität hängt von der RADIUS-, Change-of-Authorisation- und Walled-Garden-Unterstützung im Controller des Standorts ab, und eine Lücke in einem dieser Bereiche unterbricht die Guest Journey, egal wie sinnvoll Ihre PMF-Wahl ist. Verifizieren Sie ANQP-Antworten, testen Sie die Re-Authentifizierung nach einer Richtlinienänderung und gehen Sie den Standort mit einem bereitgestellten Gerät ab, um sicherzustellen, dass das Roaming zwischen den Access Points stabil bleibt.
Die Hardwarefrage ist einfacher, als viele Standorte befürchten. Wir betreiben Purple als Cloud-Overlay auf den Access Points, die ein Standort bereits besitzt - ein Austausch der Hardware ist also nicht erforderlich, und die PMF-Änderung erfolgt im WLAN-Profil Ihrer bestehenden Infrastruktur. Das bedeutet, dass Ihr Pilotprojekt, Ihr Rollback und die Durchsetzung auf der Hardware stattfinden, die Sie bereits verwalten, während die Authentifizierungsschicht darüber liegt.
Für Mitarbeitergeräte gilt dasselbe Prinzip. Mitarbeiter-WiFi bindet Mitarbeitergeräte mit verwalteten EAP-TLS-Zertifikaten ein, sodass nach einer Sicherheitsänderung keine gemeinsame Passphrase geändert werden muss. Zertifikate und PMF lösen unterschiedliche Probleme - Identität und Integrität von Management-Frames - und lassen sich auf einer WPA3-Enterprise-SSID nahtlos kombinieren. Unabhängig von Ihrer Plattform sollten Sie den vorgesehenen PMF-Modus für jede verwaltete SSID mit Ihrem Anbieter abstimmen, bevor Sie ihn auf "erforderlich" stellen, und die vereinbarte Einstellung pro SSID dokumentieren, damit ein zukünftiger Profilneuaufbau diese nicht stillschweigend rückgängig macht.
PMF zuerst auf SSIDs mit hoher Sicherheit erzwingen
PMF ist ein Teil der WLAN-Sicherheit, kein Ersatz für den Rest. Es schützt bestimmte Unicast- und Multicast-Management-Frames, authentifiziert jedoch keine Benutzer, ersetzt nicht die WPA2- oder WPA3-Verschlüsselung, erkennt keine Rogue Access Points und verwandelt ein offenes Gäste-Netzwerk nicht in ein verschlüsseltes Unternehmensnetzwerk. Die britischen Richtlinien identifizieren WPA3 als bevorzugten Standard für neue WLAN-Bereitstellungen und unterscheiden persönliche Passphrase-Netzwerke von Unternehmensnetzwerken auf der Grundlage individueller Authentifizierung. Der Enterprise-Modus ist besonders für größere und regulierte Organisationen relevant, wie im Northern Ireland Business Guide zu Wi-Fi Protected Access zusammengefasst.
Die Ebenen, die verbleibende Lücken schließen
- Zertifikatsbasierter Zugriff überprüft die Geräte- und Benutzeridentität; PMF tut dies nicht.
- Netzwerkisolierung zwischen Gäste-, Mitarbeiter- und Geräte-SSIDs schränkt ein, was ein kompromittierter oder veralteter Client erreichen kann.
- Rogue-AP-Erkennung hilft bei der Identifizierung von Evil-Twin-Access-Points, die PMF nicht aus der Luft entfernen kann.
- Überwachung von Vorfällen bezüglich Zuordnungsfehlern und Deauthentifizierungswellen hilft dabei, Angriffe von Konfigurationsproblemen zu unterscheiden.
Planen Sie PMF pro SSID und wägen Sie die Sicherheitsanforderungen gegen die Geräte ab, die eine Verbindung herstellen müssen. WPA3 wird zum Standard für Geräte im 6-GHz-Band, was Kompatibilitätsprüfungen und Übergangsplanungen immer dringlicher macht. In Mitarbeiter-Netzwerken bieten Passpoint, xPSK, Zertifikats-WiFi und WiFi über MDM unterschiedliche Verbindungsmethoden, sodass Sie die Authentifizierung an die Geräteklasse anpassen können, anstatt jeden Client über denselben Pfad zu zwingen.
Setzen Sie erforderliches PMF (Required) auf WPA3-Enterprise und anderen hochsicheren SSIDs, sobald Ihr Pilotprojekt erfolgreich abgeschlossen ist. Belassen Sie SSIDs im Mixed-Mode auf Optional, während Sie die Außerbetriebnahme älterer Geräte planen, und entfernen Sie Mitarbeiter-Datenverkehr aus offenen SSIDs. Erfassen Sie die Assoziationsergebnisse nach Gerätetyp: Das liefert Ihnen den Nachweis, welche SSIDs auf Required umgestellt werden können und wo ältere Clients noch Kompatibilitätseinbußen verursachen.
Purple bietet verwaltete EAP-TLS-Zertifikate für das Mitarbeiter-WiFi, sodass keine gemeinsame Passphrase erforderlich ist, die regelmäßig geändert werden müsste. Das Gäste-WiFi und der Mitarbeiterzugang laufen über eine Cloud-Plattform auf den bestehenden Access Points des Standorts. Wenn Sie eine Bereitstellung für Ihre Hardware und Ihren Identity Provider planen möchten, besuchen Sie Purple.
