Dynamic Pre-Shared Keys (DPSK) für Multi-Tenant-Sicherheit

PODCAST-SKRIPT: "Dynamic Pre-Shared Keys (DPSK) für Multi-Tenant-Security" Ein Purple WiFi Intelligence Technical Briefing Ungefähre Laufzeit: 10 Minuten Stimme: Britisches Englisch, Tonfall eines Senior Consultants - selbstbewusst, locker, autoritativ. [INTRO & KONTEXT - ca. 1 Minute] Willkommen beim Purple WiFi Intelligence Podcast. Ich bin Ihr Gastgeber, und heute behandeln wir ein Thema, das zu den häufigsten Gesprächen gehört, die ich mit IT-Managern und Netzwerkarchitekten in Hotels, Einzelhandelsketten, Stadien und Konferenzzentren führe. Das Thema lautet Dynamic Pre-Shared Keys - DPSK. Und wenn Sie derzeit ein einziges gemeinsames WiFi-Passwort in einem Multi-Tenant-Standort betreiben oder versuchen herauszufinden, ob Sie wirklich die volle Komplexität der 802.1X-Enterprise-Authentifizierung benötigen, wird Ihnen diese Episode eine klare, praktische Antwort geben. Wir werden uns ansehen, was DPSK unter der Haube eigentlich ist, wie es im Vergleich zu den Alternativen abschneidet, warum es zur bevorzugten Architektur für Standortbetreiber geworden ist und wie man es ohne die Fallstricke bereitstellt, die die meisten Teams ausbremsen. Am Ende werden wir außerdem eine kurze Fragerunde durchführen. Legen wir los. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Beginnen wir mit dem Problem, das DPSK löst, denn das Problem zu verstehen, ist die halbe Miete. In einer standardmäßigen WPA2-Personal-Bereitstellung - also dem, was die meisten Menschen unter einem normalen WiFi-Netzwerk verstehen - verwendet jedes Gerät, das sich mit dieser SSID verbindet, denselben Pre-Shared Key. Ein Passwort, das von allen geteilt wird. In einem Hotel mit 300 Zimmern bedeutet das, dass sich jeder Gast, jeder Mitarbeiter, jedes IoT-Gerät im Gebäude und jeder Auftragnehmer, der jemals vor Ort war, mit denselben Anmeldedaten authentifiziert. Die Sicherheitsauswirkungen sind erheblich. Wenn ein Gast dieses Passwort extern weitergibt oder es in einer WiFi-Sharing-App landet, haben Sie die Kontrolle über Ihre Netzwerkgrenzen verloren. Und wenn Sie den Zugriff entziehen müssen - beispielsweise weil ein Gast auscheckt oder der Vertrag eines Dienstleisters endet -, müssen Sie das Passwort für alle ändern. Das ist kein Netzwerkmanagement, das ist ein Sicherheitsrisiko. Am anderen Ende des Spektrums steht 802.1X - der IEEE-Standard für portbasierte Netzwerkzugangskontrolle. 802.1X ist hervorragend. Er bietet Authentifizierung pro Benutzer, zertifikatsbasierte Identität und granulare Richtliniendurchsetzung. Aber er erfordert eine RADIUS-Server-Infrastruktur, erfordert eine Supplicant-Konfiguration auf jedem Gerät, und in einer Standortumgebung, in der Gäste persönliche Laptops, Telefone, Smart-TVs, Spielekonsolen und Streaming-Sticks mitbringen - von denen viele nur eingeschränkte oder gar keine 802.1X-Supplicant-Unterstützung haben -, ist der Onboarding-Prozess wirklich mühsam. Sie können von einem Hotelgast schlichtweg nicht verlangen, dass er ein Zertifikat auf seinem persönlichen Gerät installiert, bevor er eine Verbindung zum WiFi herstellen kann. DPSK liegt genau in der Mitte zwischen diesen beiden Ansätzen. Und so funktioniert es technisch. Mit DPSK betreiben Sie weiterhin eine WPA2-Personal SSID - aus Sicht des Geräts stellt es also eine Verbindung zu einem Standard-WiFi-Netzwerk her und verwendet einen Pre-Shared Key. Keine Zertifikate, kein RADIUS-Supplicant, kein komplexes Onboarding. Der Gast gibt ein Passwort ein und ist verbunden. Doch hinter den Kulissen verwaltet der Wireless-Controller oder die Cloud-Management-Plattform eine Datenbank mit eindeutigen Pre-Shared Keys - einer pro Zimmer, einer pro Benutzer, einer pro Gerätegruppe, ganz wie Sie es strukturieren möchten. Wenn sich ein Gerät verbindet und seinen Schlüssel präsentiert, gleicht der Controller diesen Schlüssel mit einem Identitätsdatensatz ab und wendet die entsprechende Netzwerkrichtlinie an - VLAN-Zuweisung, Bandbreitenbegrenzungen, Zugriffskontrolllisten. Die entscheidende Erkenntnis hierbei ist, dass die Eindeutigkeit der Anmeldedaten auf Controller-Ebene stattfindet, nicht auf Geräteebene. Das Gerät muss nicht wissen, dass es einen eindeutigen Schlüssel hat. Es verbindet sich ganz normal. Aber Ihr Netzwerk weiß genau, wem dieses Gerät gehört, und kann die Richtlinien entsprechend durchsetzen. Die Terminologie kann hier verwirrend sein, da verschiedene Anbieter unterschiedliche Namen für dasselbe Konzept verwenden. Cisco nennt es iPSK - Identity PSK. Aruba nennt es MPSK - Multi-PSK. Ruckus nennt es DPSK - Dynamic PSK. Das zugrunde liegende Prinzip ist bei allen drei identisch. Die Implementierungsdetails unterscheiden sich geringfügig, insbesondere bei der Strukturierung der RADIUS-Attribute, aber die Architektur ist dieselbe. Aus Sicht der Standards arbeitet DPSK innerhalb des WPA2-Personal-Frameworks, das mit IEEE 802.11 kompatibel ist. Einige Anbieter erweitern dies um WPA3-SAE-Funktionen, die Forward Secrecy und Schutz vor Offline-Wörterbuchangriffen bieten. Wenn Sie neue Infrastrukturen bereitstellen, lohnt es sich, WPA3-kompatible Access Points zu spezifizieren - sie machen Ihre DPSK-Bereitstellung zukunftssicher und passen sich der Richtung an, in die sich die Branche bewegt. Lassen Sie mich über VLAN-Steuerung sprechen, denn hier macht sich DPSK in einer Multi-Tenant-Umgebung erst richtig bezahlt. In einem Hotel benötigt man in der Regel mindestens vier Netzwerksegmente: ein Gäste-VLAN für private Geräte, ein Mitarbeiter-VLAN für Betriebssysteme, ein IoT-VLAN für Smart-Room-Technologie, Videoüberwachung und Gebäudemanagementsysteme sowie ein POS- oder Zahlungs-VLAN für alle Point-of-Sale-Infrastrukturen, die PCI-DSS-konform sein müssen. Mit einem einzigen gemeinsam genutzten PSK können Sie diese Gruppen nicht unterscheiden, ohne mehrere SSIDs bereitzustellen - was zu einer Überlastung der Funkfrequenzen und administrativem Aufwand führt. Mit DPSK kann eine einzige SSID jedes sich verbindende Gerät dynamisch in das richtige VLAN steuern, basierend auf dem präsentierten Schlüssel. Sauber, skalierbar und betrieblich unkompliziert. Die Funktionen zur Verwaltung des Lebenszyklus sind ebenso wichtig. Wenn ein Gast auscheckt, widerrufen Sie dessen DPSK. Seine Geräte verlieren den Zugang. Kein anderer Gast ist davon betroffen. Keine Passwortänderung, keine Support-Anrufe, keine Unterbrechung. Für ein Hotel mit 300 Zimmern und einem täglichen Gästewechsel summiert sich diese betriebliche Effizienz im Laufe der Zeit erheblich - und sie kann durch die Integration in Ihr Hotelmanagementsystem vollständig automatisiert werden. Aus Sicht der Compliance - und das ist besonders wichtig für die GDPR, für PCI-DSS und für jeden Betreiber, der personenbezogene Daten über das Netzwerk verarbeitet - bietet Ihnen DPSK den Audit-Trail, den ein gemeinsam genutzter PSK einfach nicht bieten kann. Sie können Netzwerkaktivitäten einer bestimmten Anmeldeinformation und somit einem bestimmten Gästedatensatz oder Gerät zuordnen. Das ist nicht nur eine gute Praxis - in manchen regulatorischen Kontexten ist es eine Voraussetzung. [IMPLEMENTATION RECOMMENDATIONS & PITFALLS - ca. 2 Minuten] Lassen Sie uns über die Implementierung sprechen. Einige Dinge müssen von Anfang an richtig gemacht werden. Erstens: Schlüsselgenerierung und -verteilung. Ihre DPSK-Schlüssel müssen ausreichend lang und zufällig sein - mindestens 20 Zeichen, idealerweise 32. Generieren Sie diese programmatisch mit einem kryptografisch sicheren Zufallszahlengenerator. Auch der Verteilungsmechanismus ist wichtig. In einem Hotel ist es ein bewährter Ansatz, den eindeutigen Schlüssel auf die Schlüsselkartentasche des Gasts zu drucken, ihn beim Check-in per E-Mail zuzustellen oder ihn über eine Integration in Ihr PMS per SMS zu senden. Wichtig ist, dass die Verteilung automatisiert und an Ihren bestehenden Workflow für das Gästemanagement gekoppelt ist. Zweitens: Controller-Unterstützung. Nicht alle Wireless-Controller implementieren DPSK auf dieselbe Weise. Cisco Meraki, Aruba Central, Ruckus SmartZone, Juniper Mist und Extreme Networks bieten alle entsprechende Implementierungen an, aber die Skalierungsgrenzen, API-Funktionen und die Granularität der VLAN-Steuerung variieren. Bevor Sie sich für eine Plattform entscheiden, sollten Sie die maximale Anzahl an eindeutigen Schlüsseln prüfen, die pro SSID unterstützt wird. Einige ältere Plattformen begrenzen dies auf wenige Hundert, was für einen großen Veranstaltungsort unzureichend ist. Drittens - und das ist die häufigste Fehlerquelle, die ich sehe - die Randomisierung von MAC-Adressen. Moderne Betriebssysteme wie iOS 14 und höher, Android 10 und höher sowie Windows 11 verwenden aus Datenschutzgründen standardmäßig die Randomisierung von MAC-Adressen. Wenn Ihre DPSK-Implementierung auf MAC-Adressabfragen im RADIUS-Identitätsspeicher basiert, wird ein Gerät mit einer randomisierten MAC-Adresse nicht gefunden und abgelehnt. Die Lösung besteht darin, Ihre SSID so zu konfigurieren, dass Clients die permanente MAC-Adresse ihres Geräts verwenden müssen, oder einen Vorregistrierungs-Workflow zu implementieren. Dies muss vom ersten Tag an in Ihrem Bereitstellungsplan vorgesehen sein - es ist ein lösbares Problem, aber es überrascht Teams, wenn sie es nicht einplanen. Viertens: Resilienz des RADIUS-Servers. Ihre DPSK-Bereitstellung ist nur so zuverlässig wie Ihre RADIUS-Infrastruktur. Wenn der RADIUS-Server nicht verfügbar ist, können sich keine neuen Geräte authentifizieren. Planen Sie Redundanzen ein - primäre und sekundäre RADIUS-Server mit entsprechender Failover-Konfiguration auf Ihrem Wireless-Controller.Der Fallstrick, den es vor allem zu vermeiden gilt: die Implementierung von DPSK ohne einen dokumentierten Lebenszyklusprozess für Schlüssel. Schlüssel, die niemals widerrufen werden, sammeln sich im Laufe der Zeit an und werden zu einem Sicherheitsrisiko. Erstellen Sie den Widerrufs-Workflow vor der Liveschaltung, nicht danach. [SCHNELLES F&A — ca. 1 Minute] Alles klar, kommen wir zu einigen kurzen Fragen. "Ist DPSK dasselbe wie iPSK und MPSK?" - Funktionell gesehen, ja. DPSK ist die Terminologie von Ruckus, iPSK ist die von Cisco, MPSK die von Aruba. Dasselbe Konzept, nur unterschiedliches Branding der Hersteller. "Funktioniert DPSK mit WPA3?" - Ja, mit Einschränkungen. Die meisten modernen Controller unterstützen DPSK im WPA2- und WPA3-Übergangsmodus. Für eine reine WPA3-Umgebung sollten Sie die spezifischen Implementierungsrichtlinien Ihres Herstellers prüfen, da WPA3-SAE den Handshake-Mechanismus ändert. "Kann DPSK ohne einen RADIUS-Server funktionieren?" - Einige Controller-Plattformen implementieren DPSK nativ ohne einen separaten RADIUS-Server und speichern die Schlüsseldatenbank lokal. Dies vereinfacht die Bereitstellung, schränkt jedoch die Skalierbarkeit und die Integrationsmöglichkeiten ein. "Was ist die maximale Anzahl an eindeutigen Schlüsseln pro SSID?" - Das ist vom Controller abhängig. Enterprise-Plattformen unterstützen in der Regel Tausende. Das praktische Limit liegt meist an der Abfrageleistung Ihres Identitätsspeichers, nicht am Wireless Controller selbst. "Ist DPSK für die PCI-DSS-Compliance geeignet?" - DPSK kann die PCI-DSS-Compliance unterstützen, indem es die kryptografische Isolierung von Zahlungsabwicklungsgeräten in einem dedizierten VLAN ermöglicht. Es sollte jedoch Teil eines umfassenderen Compliance-Frameworks sein und nicht als eigenständige Compliance-Lösung betrachtet werden. [ZUSAMMENFASSUNG & NÄCHSTE SCHRITTE — ca. 1 Minute] Zusammenfassend lässt sich sagen: DPSK ist die richtige Architektur für jede mandantenfähige Bereitstellung an Standorten, bei denen Sie eine Verantwortlichkeit pro Benutzer oder pro Raum benötigen, ohne die Komplexität einer vollständigen 802.1X-Infrastruktur. Es bietet Ihnen eindeutige Anmeldedaten pro Mandant, dynamische VLAN-Steuerung, granulares Lebenszyklusmanagement und einen Compliance-bereiten Audit-Trail - und das alles mit einer Geräte-Onboarding-Erfahrung, die so einfach ist wie die Eingabe eines WiFi-Passworts. Wenn Sie eine neue Bereitstellung planen oder ein bestehendes, gemeinsam genutztes PSK-Netzwerk aktualisieren möchten, sind die praktischen nächsten Schritte: Überprüfen Sie Ihre aktuelle Wireless-Controller-Plattform auf DPSK-Unterstützung, definieren Sie Ihr VLAN-Segmentierungsmodell basierend auf Ihren Mandantentypen, planen Sie Ihren Schlüssel-Lebenszyklus-Workflow von der Bereitstellung bis zum Widerruf und planen Sie die MAC-Adressen-Randomisierung vom ersten Tag an ein. Die Plattform von Purple bietet die Orchestrierungsebene, die zwischen Ihrem Identitätsanbieter und Ihrer Wireless-Infrastruktur liegt, um den gesamten DPSK-Schlüssellebenszyklus zu automatisieren - von der Bereitstellung beim Check-in bis zum Widerruf beim Check-out, abgerundet durch umfassende Analysen und Berichte. Weitere Informationen zur mandantenfähigen WiFi-Architektur und zur Netzwerkzugriffskontrolle finden Sie in den Shownotes. Vielen Dank fürs Zuhören. Bis zum nächsten Mal.