WPA3 Sicherheitsleitfaden: SAE, OWE, Enterprise 192-Bit-Modus & PMF erklärt

WPA3: Die nächste Generation der WiFi Sicherheit erklärt. Ein technisches Briefing von Purple. Willkommen. Wenn Sie für ein Netzwerk verantwortlich sind, das Gästen, Kunden oder der Öffentlichkeit dient, ist dieses Briefing für Sie gedacht. In den nächsten zehn Minuten werde ich Sie durch WPA3 führen - was sich tatsächlich ändert, warum es für Ihre Organisation jetzt wichtig ist und wie Sie eine praktische Migration planen können, ohne Ihre Abläufe zu stören. Beginnen wir mit dem Kontext. Die WiFi Sicherheit wurde seit 2004 von WPA2 dominiert. Das sind über zwanzig Jahre. In technologischen Begriffen ist das eine Ewigkeit. WPA2 war für seine Zeit solide, aber es wurde entwickelt, bevor Smartphones allgegenwärtig wurden, vor der Explosion von IoT-Geräten und bevor sich die Bedrohungslandschaft so entwickelte, dass sie die Art von hochentwickelten, passiven Abhöreingriffen umfasst, die wir heute sehen. Die Wi-Fi Alliance hat WPA3 im Jahr 2018 ratifiziert, und seitdem hat sich die Akzeptanz beschleunigt - insbesondere in Unternehmen und öffentlichen Veranstaltungsorten, wo am meisten auf dem Spiel steht. Was ist also tatsächlich neu? Es gibt vier Hauptveränderungen, die Sie verstehen müssen. Erstens: Simultaneous Authentication of Equals, oder SAE. Dies ersetzt den Pre-Shared Key Handshake, den WPA2 verwendet. Das Problem mit PSK ist gut dokumentiert - wenn ein Angreifer den Vier-Wege-Handshake zwischen einem Client und Ihrem Access Point abfängt, kann er diesen offline nehmen und unbegrenzt Wörterbuchangriffe dagegen ausführen. SAE eliminiert diesen Angriffsvektor vollständig. Es verwendet einen Schlüsselaustausch im Diffie-Hellman-Stil, bei dem beide Parteien das Wissen über das Passwort nachweisen, ohne es jemals zu übertragen. Selbst wenn jemand jedes Paket Ihres Authentifizierungsaustauschs abfängt, kann er den Sitzungsschlüssel nicht daraus ableiten. Dies ist eine grundlegende architektonische Verbesserung, nicht nur ein inkrementeller Patch. Zweitens: Forward Secrecy. Dies ist wohl der wichtigste betriebliche Vorteil für Betreiber von Veranstaltungsorten. Wenn ein Angreifer unter WPA2 heute verschlüsselten Datenverkehr aufzeichnet und später Ihr Netzwerkpasswort erhält - durch einen unzufriedenen Mitarbeiter, einen Phishing-Angriff oder eine Datenpanne - kann er rückwirkend alles entschlüsseln, was er aufgezeichnet hat. Mit dem SAE von WPA3 generiert jede Sitzung einen eindeutigen flüchtigen Schlüssel. Wird das Passwort morgen kompromittiert, bleibt der Datenverkehr von gestern verschlüsselt. Für Hotel- und Gastronomieumgebungen, die Zahlungsdaten von Gästen verarbeiten, oder Einzelhandelsnetzwerke, die Treueaktionen abwickeln, ist dies eine erhebliche Risikominderung.Drittens: Opportunistic Wireless Encryption, oder OWE. Dies ist der entscheidende Wendepunkt für öffentliches WiFi. Wenn sich ein Gast heute mit Ihrem offenen Netzwerk verbindet - also dem ohne Passwort - wird sein Datenverkehr im Klartext übertragen. Jeder mit einem Packet Sniffer im selben Netzwerk kann diesen mitlesen. OWE ändert das, indem es automatisch eine verschlüsselte Verbindung zwischen jedem Client und dem Access Point aushandelt, ohne dass ein Passwort erforderlich ist oder sich das Benutzererlebnis ändert. Der Gast klickt immer noch einfach auf "Verbinden" - aber seine Sitzung ist jetzt verschlüsselt. Dies ist das, was die Wi-Fi Alliance als Enhanced Open bezeichnet, und es ist direkt relevant für die GDPR Compliance-Verpflichtungen zum Schutz personenbezogener Daten bei der Übertragung. Viertens: WPA3-Enterprise mit 192-Bit-Sicherheit. Für Organisationen in regulierten Branchen - Finanzdienstleistungen, Gesundheitswesen, Behörden - führt WPA3-Enterprise einen Sicherheitsmodus mit einer Mindestverschlüsselung von 192 Bit ein, der auf die Commercial National Security Algorithm-Suite abgestimmt ist. Dieser verwendet GCMP-256 für die Verschlüsselung und HMAC-SHA-384 für die Integritätsprüfung, verglichen mit dem in WPA2-Enterprise verwendeten 128-Bit-CCMP. Wenn Sie unter PCI-DSS, HIPAA oder ähnlichen Frameworks arbeiten, erfüllt dies direkt die Anforderungen an die Verschlüsselung drahtloser Netzwerke. Lassen Sie uns nun über die Architektur sprechen. Wie sieht eine WPA3-Bereitstellung in der Praxis tatsächlich aus? Für ein Hotel oder ein Konferenzzentrum verwenden Sie in der Regel eine geteilte Bereitstellung. Ihr internes Unternehmensnetzwerk läuft mit WPA3-Enterprise mit IEEE 802.1X-Authentifizierung gegenüber einem RADIUS-Server - Active Directory-Integration, zertifikatsbasiertes EAP, der gesamte Stack. Ihr kundenorientiertes Netzwerk läuft mit WPA3-Personal mit SAE oder Enhanced Open mit OWE, je nachdem, ob Sie ein Captive Portal für die Datenerfassung verwenden. Hier werden Plattformen wie die Guest WiFi-Lösung von Purple relevant. Purple befindet sich zwischen dem Access Point und dem Internet und übernimmt das Captive Portal, den Zustimmungsfluss für die GDPR-Compliance und die Analyseebene. Wenn Sie WPA3's OWE unter das Portal von Purple legen, erhalten Sie einen verschlüsselten Transport vom Gerät zum Access Point sowie einen konformen Datenerfassungsmechanismus darüber. Beide arbeiten parallel - OWE kümmert sich um die Sicherheit der Funkschicht, Purple um die Identitäts- und Zustimmungsebene. Das ist eine saubere Trennung der Zuständigkeiten. Für Einzelhandelsumgebungen sieht die Rechnung etwas anders aus. Sie haben es oft mit einer Mischung aus Unternehmensgeräten - Kassensystemen, Inventarscannern - und Gastgeräten zu tun. WPA3-Enterprise auf einer dedizierten SSID für Unternehmensgeräte, WPA3-Personal oder OWE für das Kundennetzwerk. Die wichtigste betriebliche Überlegung ist die VLAN-Segmentierung - stellen Sie sicher, dass Ihr Gastdatenverkehr niemals dasselbe Netzwerksegment berührt wie Ihre Zahlungsinfrastruktur. Dies ist eine PCI-DSS-Anforderung, unabhängig von der WPA-Version, aber WPA3 macht die drahtlose Ebene dieser Segmentierung erheblich robuster. Lassen Sie mich ein konkretes Implementierungsszenario durchspielen. Eine Hotelgruppe mit 500 Zimmern und zwölf Standorten möchte von WPA2 auf WPA3 migrieren. So würde ich vorgehen. Phase eins ist die Bewertung. Überprüfen Sie Ihre Access-Point-Firmware-Versionen an allen zwölf Standorten. Die meisten Enterprise-Grade APs der großen Hersteller - Cisco, Aruba, Ruckus, Ubiquiti - unterstützen WPA3 seit 2019 oder 2020 über Firmware-Updates. Möglicherweise benötigen Sie keine neue Hardware. Überprüfen Sie gleichzeitig Ihren Bestand an Client-Geräten. WPA3 erfordert clientseitige Unterstützung. Moderne iOS und Android Geräte unterstützen es seit 2019. Windows 10 Version 1903 und höher unterstützt es ebenfalls. Die Herausforderung liegt bei veralteten IoT-Geräten - Smart-TVs, ältere Raumsteuerungssysteme, ältere Laptops. Diese müssen über den WPA2-Übergangsmodus verbunden werden. Phase zwei ist die Bereitstellung des Übergangsmodus. Der WPA3-Übergangsmodus ermöglicht es einer SSID, gleichzeitig sowohl WPA2- als auch WPA3-Clients zu unterstützen. Dies ist Ihre Migrationsplattform. Stellen Sie diesen Modus in allen Objekten bereit, überwachen Sie, welche Geräte sich über WPA3 im Vergleich zu WPA2 verbinden, und nutzen Sie diese Daten, um Ihre veralteten Geräte zu identifizieren. In der Regel verbinden sich innerhalb von sechs bis zwölf Monaten die allermeisten Gastgeräte nativ über WPA3. Phase drei ist die vollständige Durchsetzung von WPA3. Sobald die Anzahl Ihrer Altgeräte unter einen akzeptablen Schwellenwert fällt - und Sie diese Geräte entweder ersetzt oder isoliert haben - können Sie WPA2 auf Gast-SSIDs vollständig deaktivieren. Ab diesem Zeitpunkt ist jede Verbindung durch SAE und Forward Secrecy geschützt. Die Analytics-Ebene ist hierbei entscheidend. Die WiFi Analytics-Plattform von Purple bietet Ihnen Einblicke in Verbindungstypen, Gerätekategorien und Sitzungsdaten, mit denen Sie den Migrationsfortschritt in Ihrem gesamten Bestand verfolgen können. Sie können für jedes Objekt einzeln sehen, wie viel Prozent der Verbindungen WPA3-fähig sind, was Ihre Zeitplanung für Phase drei unterstützt. Nun zu den Fallstricken. Es gibt einige Punkte, die bei WPA3-Bereitstellungen regelmäßig zu Problemen führen. Der erste ist das Fluten von SAE-Bestätigungsframes. Einige frühe WPA3-Implementierungen waren anfällig für Denial-of-Service-Angriffe, die auf den SAE-Handshake-Prozess abzielten. Stellen Sie sicher, dass Ihre AP-Firmware auf dem neuesten Stand ist - die Hersteller haben dies in den Jahren 2019 und 2020 behoben. Dies ist kein Grund, WPA3 zu meiden; es ist ein Grund, die Firmware auf dem neuesten Stand zu halten, was Sie ohnehin tun sollten. Der zweite Punkt ist die Leistung im Mischbetrieb. Im Übergangsmodus muss der Access Point sowohl WPA2- als auch WPA3-Handshakes verarbeiten. Bei hochverdichteten Bereitstellungen - einer Stadionpromenade, einem Konferenzzentrum während einer Großveranstaltung - kann dies zu einem geringfügigen Mehraufwand führen. In der Praxis ist dies auf moderner Hardware vernachlässigbar. Wenn Sie jedoch sehr alte Access Points betreiben, sollten Sie dies in Ihre Kapazitätsplanung einbeziehen. Der dritte Punkt ist die Kompatibilität von Captive Portal mit OWE. Einige ältere Captive Portal-Implementierungen verarbeiten OWE nicht korrekt, da sie unter der Annahme offener Netzwerke entwickelt wurden. Wenn Sie eine Plattform wie Purple nutzen, wird dies für Sie erledigt. Wenn Sie ein benutzerdefiniertes Portal betreiben, testen Sie es explizit mit OWE-fähigen Clients vor der Einführung. Lassen Sie uns eine schnelle Fragerunde zu den Fragen durchgehen, die ich am häufigsten höre. "Verlangsamt WPA3 mein Netzwerk?" Nein. Der SAE-Handshake fügt der ersten Verbindung einige Millisekunden hinzu. Sobald die Verbindung hergestellt ist, ist der Durchsatz identisch. Der Wechsel der Verschlüsselung von CCMP zu GCMP schneidet auf moderner Hardware tatsächlich besser ab. "Benötige ich neue Access Points?" Wahrscheinlich nicht. Die meisten nach 2018 hergestellten Enterprise-APs unterstützen WPA3 per Firmware. Überprüfen Sie die Versionshinweise Ihres Herstellers. "Was ist mit IoT-Geräten, die WPA3 nicht unterstützen?" Platzieren Sie diese auf einer dedizierten SSID mit WPA2, isoliert in einem eigenen VLAN. Dies ist die standardmäßige Netzwerksegmentierungspraxis. "Ist WPA3 obligatorisch?" Noch nicht allgemein, aber die Wi-Fi Alliance verlangt seit Juli 2020 die WPA3-Zertifizierung für alle neuen Geräte. Der regulatorische Druck steigt, insbesondere in der EU im Rahmen des Cyber Resilience Act. Dem jetzt schon zuvorzukommen, ist die richtige Entscheidung. "Ersetzt WPA3 die Notwendigkeit eines VPNs?" Für den internen Unternehmensdatenverkehr nein - VPN bleibt die bewährte Methode für den Fernzugriff. Für den Gästedatenverkehr reduziert WPA3 mit OWE das Risikoprofil offener Netzwerke erheblich, aber Gästen, die sensible persönliche Transaktionen durchführen, sollte dennoch die Verwendung eines eigenen VPNs empfohlen werden. Zusammenfassend lässt sich sagen: WPA3 ist kein Upgrade, das man nur gerne hätte - es ist eine bedeutende Verbesserung der Sicherheitsarchitektur, die echte, dokumentierte Schwachstellen in WPA2 behebt. SAE eliminiert Offline-Wörterbuchangriffe. Forward Secrecy schützt historischen Datenverkehr. OWE verschlüsselt offene Netzwerke ohne Reibungsverspätung. Der 192-Bit-Enterprise-Modus erfüllt die Anforderungen für regulierte Branchen. Für Betreiber von Veranstaltungsorten und IT-Teams ist der Migrationspfad klar: Beginnen Sie mit einem Firmware-Audit, stellen Sie den Übergangsmodus bereit, überwachen Sie den Bestand Ihrer Altgeräte und planen Sie die vollständige WPA3-Durchsetzung innerhalb von zwölf bis achtzehn Monaten. Legen Sie Ihre Plattform für Gäste-WiFi - ob Purple oder eine andere Lösung - über WPA3, um sowohl drahtlose Sicherheit als auch die Datenerfassung, das Einwilligungsmanagement und die Analysefunktionen zu erhalten, die Ihre Marketing- und Betriebsteams benötigen. Wenn Sie tiefer in den Vergleich zwischen WPA, WPA2 und WPA3 in all ihren Varianten einsteigen möchten, bietet Purple unter purple.ai einen dedizierten Leitfaden an, der die gesamte Protokollgeschichte und das Entscheidungsframework für die Auswahl des richtigen Standards für jeden Anwendungsfall erläutert. Vielen Dank fürs Zuhören. Wenn Sie dies nützlich fanden, teilen Sie es mit Ihrem Netzwerkarchitekten oder IT-Manager. Die Entscheidungen, die Sie in diesem Jahr zur drahtlosen Sicherheit treffen, werden Ihre Risikolage für das nächste Jahrzehnt definieren. Dies war ein Purple Technical Briefing. Besuchen Sie purple.ai, um mehr über Lösungen für Enterprise-Gäste-WiFi und Analysen zu erfahren.