Implementierung von WPA3-Enterprise für verbesserte Wireless-Sicherheit

Implementierung von WPA3-Enterprise für verbesserte drahtlose Sicherheit. Ein Purple WiFi Intelligence Briefing. Willkommen zur technischen Briefing-Reihe von Purple. Heute konzentrieren wir uns direkt auf das Wesentliche: WPA3-Enterprise - was es tatsächlich für Ihr Netzwerk bedeutet, warum das Timing genau jetzt so wichtig ist und wie Sie von Ihrem aktuellen Stand zu einer vollständig konformen, zukunftssicheren WiFi-Infrastruktur gelangen. Wenn Sie eine Hotelgruppe, ein Einzelhandelsunternehmen, ein Konferenzzentrum oder eine Einrichtung des öffentlichen Sektors leiten, ist dieses Briefing für Sie gedacht. Wir werden uns nicht mit akademischer Theorie aufhalten. Wir sprechen über echte Entscheidungen, echte Konfigurationen und echte Ergebnisse. WPA3-Enterprise wurde 2020 für Wi-Fi CERTIFIED-Geräte zur Pflicht, und dennoch läuft in der Mehrheit der Unternehmensumgebungen immer noch WPA2. Diese Lücke ist Ihr Sicherheitsrisiko. PCI-DSS 4.0, das im März 2024 vollständig in Kraft getreten ist, verweist explizit auf stärkere Authentifizierungsstandards. Die DSGVO-Verpflichtungen zum Datenschutz durch Technikgestaltung werden zunehmend so ausgelegt, dass sie die Sicherheit auf Netzwerkebene einschließen. Das Zeitfenster, in dem WPA3 als "nice to have" betrachtet werden konnte, ist geschlossen. Lassen Sie uns ins Detail gehen. Was ändert sich also tatsächlich mit WPA3-Enterprise? Fangen wir mit der Authentifizierungsebene an. WPA2-Enterprise setzt auf IEEE 802.1X mit EAP - Extensible Authentication Protocol - und dieser Teil ändert sich mit WPA3 nicht. Was sich ändert, ist alles drum herum. Der Handshake, die Verschlüsselung und der Schutz der Management-Frames. Unter WPA2 ist der Vier-Wege-Handshake, der zur Ableitung von Sitzungsschlüsseln verwendet wird, anfällig für Offline-Wörterbuchangriffe. Ein Angreifer fängt den Handshake ab, nimmt ihn offline und gleicht ihn mit einer Wortliste ab. Dies ist die Grundlage des KRACK-Angriffs - Key Reinstallation Attack - der 2017 bekannt wurde. WPA3 ersetzt dies durch SAE - Simultaneous Authentication of Equals - einen auf Diffie-Hellman basierenden Schlüsselaustausch. Der entscheidende Unterschied besteht darin, dass SAE Perfect Forward Secrecy bietet. Selbst wenn ein Angreifer jedes Paket einer Sitzung abfängt und später einen langfristigen Schlüssel kompromittiert, kann er diese Sitzung nicht nachträglich entschlüsseln. Jede Sitzung hat ihre eigenen kurzlebigen Schlüssel. Auf der Verschlüsselungsseite verwendet WPA2 CCMP-128 - Counter Mode with Cipher Block Chaining Message Authentication Code Protocol - basierend auf AES-128. WPA3-Enterprise schreibt GCMP-256 - Galois Counter Mode Protocol mit 256-Bit-Schlüsseln - für seinen 192-Bit-Sicherheitsmodus vor. Dies ist der Modus, den Sie für jede Umgebung wünschen, in der sensible Daten verarbeitet werden: Gesundheitsakten, Zahlungskartendaten, Regierungsinformationen. Dann gibt es noch die Protected Management Frames - PMF - definiert unter IEEE 802.11w. Unter WPA2 ist PMF optional. Unter WPA3 ist es obligatorisch. Management-Frames sind die Steuersignale, die die Zuordnung, Trennung und Authentifizierung zwischen Clients und Access Points verwalten. Ohne PMF kann ein Angreifer Deauthentifizierungs-Frames fälschen - und so Clients aus dem Netzwerk zwingen - als Denial-of-Service-Angriff oder als Vorstufe zu einem Man-in-the-Middle-Angriff. Das obligatorische PMF schließt diesen Vektor vollständig.Nun zur Konfiguration des RADIUS-Servers. Hier entscheiden sich die meisten Implementierungen - entweder sie gelingen oder sie geraten ins Stocken. Ihr RADIUS-Server - sei es Microsoft NPS, FreeRADIUS, Cisco ISE oder Aruba ClearPass - muss so konfiguriert werden, dass er EAP-TLS als primäre Authentifizierungsmethode für WPA3-Enterprise unterstützt. EAP-TLS nutzt eine gegenseitige, auf Zertifikaten basierende Authentifizierung. Der Client präsentiert ein Zertifikat, der Server präsentiert ein Zertifikat und beide validieren sich gegenseitig. Bei diesem Austausch gibt es keine Passwörter. Dadurch werden angriffsbasierte Anmeldeversuche vollständig eliminiert. Die Zertifikatsinfrastruktur - Ihre PKI - ist das Rückgrat dieses Prozesses. Sie benötigen eine Zertifizierungsstelle (Certificate Authority), entweder intern über Microsoft Active Directory Certificate Services oder über einen cloudbasierten PKI-Dienst. Auf jedem Client-Gerät muss ein Zertifikat registriert werden, in der Regel über Ihre MDM-Plattform - Intune, Jamf oder ähnliche. Der RADIUS-Server benötigt ein eigenes Serverzertifikat von einer Zertifizierungsstelle, der Ihre Clients vertrauen. Zudem benötigen Sie einen OCSP- oder CRL-Endpunkt, damit Clients die Zertifikatssperrung in Echtzeit überprüfen können. Für Umgebungen, in denen ein vollständiges EAP-TLS nicht sofort realisierbar ist - vielleicht weil Sie eine Mischung aus verwalteten und nicht verwalteten Geräten haben -, bleibt EAP-TTLS oder PEAP mit MSCHAPv2 als Übergangsmaßnahme eine Option. Aber ich möchte ganz direkt sein: Anmeldedatenbasierte EAP-Methoden sind nur ein Zwischenschritt, kein Endziel. Das Sicherheitsniveau von EAP-TLS ist kategorisch überlegen und Ihre Roadmap sollte darauf ausgerichtet sein. Noch eine weitere technische Sache: der Übergangsmodus. Die meisten modernen Wireless-Controller unterstützen den WPA3 Transition Mode, der es WPA2- und WPA3-Clients ermöglicht, sich gleichzeitig mit derselben SSID zu verbinden. Dies ist Ihr Migrationspfad. Sie aktivieren den Übergangsmodus, überprüfen, ob sich die WPA3-Clients korrekt authentifizieren, überwachen Ihre Protokolle und wechseln dann - sobald Sie Vertrauen in den Gerätebestand haben - auf reines WPA3. Versuchen Sie nicht, am ersten Tag eine harte Umstellung vorzunehmen. Der Übergangsmodus existiert genau dafür, um dieses Risiko zu vermeiden. Lassen Sie mich Ihnen nun die drei häufigsten Fehlerszenarien nennen, die ich bei WPA3-Enterprise-Bereitstellungen sehe, und wie Sie diese vermeiden können. Erstens: Das Lifecycle-Management von Zertifikaten. Unternehmen richten eine PKI ein, stellen Zertifikate aus und vergessen dann, dass Zertifikate ablaufen. Ein Ablauf des Zertifikats auf Ihrem RADIUS-Server legt die Authentifizierung für jeden einzelnen Client in Ihrem Netzwerk gleichzeitig lahm. Sie benötigen eine automatische Verlängerung, Überwachungswarnungen 90 Tage, 60 Tage und 30 Tage vor dem Ablauf sowie ein getestetes Handbuch für die Verlängerung. Dies ist nicht optional. Ich habe erlebt, dass große Hotelgruppen an einem Feiertagswochenende den gesamten drahtlosen Zugriff für Unternehmen verloren haben, weil ein RADIUS-Zertifikat abgelaufen war. Zweitens: Annahmen zur Client-Kompatibilität. Nicht jedes Gerät in Ihrer Umgebung wird WPA3 unterstützen. Ältere IoT-Geräte - Gebäudemanagementsysteme, ältere Point-of-Sale-Terminals, einige Videoüberwachungssysteme - unterstützen möglicherweise nur WPA2 oder sogar WPA. Die Lösung ist die Netzwerksegmentierung. Bringen Sie Ihre WPA3-fähigen Unternehmensgeräte in eine reine WPA3-SSID. Bringen Sie Ihre älteren IoT-Geräte in ein separates, isoliertes VLAN mit WPA2, mit strengen Firewall-Regeln, die eine laterale Bewegung verhindern. Gehen Sie keine Kompromisse bei der Sicherheit Ihres Hauptnetzwerks ein, um ältere Geräte zu unterstützen. Drittens: Redundanz des RADIUS-Servers. Ein einzelner RADIUS-Server ist ein Single Point of Failure. In einer Bereitstellung mit mehreren Standorten - beispielsweise einer Einzelhandelskette mit 200 Filialen - benötigen Sie mindestens einen primären und einen sekundären RADIUS-Server mit einem auf Ebene des Wireless-Controllers konfigurierten Failover. Testen Sie Ihr Failover. Testen Sie es aktiv. Simulieren Sie während eines Wartungsfensters den Ausfall des primären RADIUS und bestätigen Sie, dass sich Clients innerhalb Ihres akzeptablen Timeout-Schwellenwerts am sekundären authentifizieren. Speziell für das Gastgewerbe - also für alle, die eine Plattform für Gäste-WiFi betreiben - haben Sie eine doppelte Netzwerk-Herausforderung. Ihr Unternehmensnetzwerk überträgt die Geräte der Mitarbeiter und Backoffice-Systeme und sollte WPA3-Enterprise mit EAP-TLS nutzen. Ihr Gästenetzwerk ist ein völlig anderes Problem, das in der Regel über ein Captive Portal mit Social-Media- oder E-Mail-Authentifizierung abgewickelt wird. Dies sind separate SSIDs, separate VLANs und separate Sicherheitsrichtlinien. Vermischen Sie diese nicht. Ein paar Fragen, die mir regelmäßig gestellt werden: Benötige ich neue Access Points? Wahrscheinlich nicht. Die meisten nach 2019 hergestellten Access Points unterstützen WPA3 über ein Firmware-Update. Prüfen Sie die Release Notes Ihres Herstellers. Ruckus, Cisco Meraki, Aruba und Ubiquiti bieten alle WPA3-Unterstützung in der aktuellen Firmware. Wie lange dauert eine vollständige Bereitstellung? Planen Sie für ein Einzelhandelsunternehmen mit 50 Standorten und vorhandenem MDM sowie Active Directory 12 bis 16 Wochen ein. Der PKI-Aufbau und die Zertifikatsverteilung nehmen dabei die meiste Zeit in Anspruch. Was kostet das? Die Infrastrukturkomponenten - RADIUS, PKI, MDM - sind bei Ihnen wahrscheinlich schon vorhanden. Die zusätzlichen Kosten entstehen durch professionelle Dienstleistungen für die Konfiguration und das Testen sowie durch eventuelle Firmware-Updates oder den Austausch von Access Points. Für die meisten Unternehmen rechtfertigt allein die Reduzierung von Compliance-Risiken die Investition. Beeinflusst WPA3 den Durchsatz? Geringfügig. GCMP-256 ist rechnerisch effizient. In der Praxis werden Sie auf moderner Hardware keinen Unterschied im Durchsatz feststellen. Zusammenfassend lässt sich sagen: WPA3-Enterprise ist kein Thema für die Zukunft. Es ist eine aktuelle Anforderung für jedes Unternehmen, das Netzwerksicherheit, die Einhaltung gesetzlicher Vorschriften und den Schutz der Daten von Personen, die Ihre Standorte nutzen, ernst nimmt. Ihre unmittelbaren nächsten Schritte: Überprüfen Sie Ihre aktuellen Firmware-Versionen der Access Points und bestätigen Sie die WPA3-Unterstützung. Bewerten Sie Ihre PKI-Bereitschaft - verfügen Sie über eine interne CA oder müssen Sie eine aufbauen? Überprüfen Sie die Konfiguration und Redundanz Ihres RADIUS-Servers. Und erfassen Sie Ihre Client-Geräte, um ältere Geräte zu identifizieren, die segmentiert werden müssen. Die Plattform von Purple integriert sich direkt in Ihre drahtlose Infrastruktur, um die Analyse- und Verwaltungsebene auf der Grundlage Ihres sicheren Netzwerks bereitzustellen. Egal, ob Sie eine Hotelgruppe, eine Einzelhandelskette oder einen öffentlichen Veranstaltungsort betreiben - die Kombination aus WPA3-Enterprise für Ihr Unternehmensnetzwerk und einer ordnungsgemäß gesicherten Gast-WiFi-Ebene bietet Ihnen sowohl das Sicherheitsniveau als auch die Datenerkenntnisse, die Ihr Unternehmen benötigt. Vielen Dank fürs Zuhören. Wenn Sie tiefer in eines dieser Themen einsteigen möchten - Zertifikatsauthentifizierung, RADIUS-Konfiguration oder Gastnetzwerkarchitektur - steht Ihnen der vollständige schriftliche Leitfaden auf der Purple-Website zusammen mit unserer umfassenden Bibliothek an technischen Referenzmaterialien zur Verfügung. Bis zum nächsten Mal.