WPA3 Sicherheitsleitfaden: SAE, OWE, Enterprise 192-Bit Modus & PMF verständlich erklärt

WPA3: Die nächste Generation der WiFi Sicherheit erklärt. Ein technisches Briefing von Purple. Willkommen. Wenn Sie für ein Netzwerk verantwortlich sind, das Gästen, Kunden oder der Öffentlichkeit dient, ist dieses Briefing genau das Richtige für Sie. In den nächsten zehn Minuten werde ich Sie durch WPA3 führen - was sich tatsächlich ändert, warum es für Ihre Organisation im Moment wichtig ist und wie Sie eine praktische Migration planen können, ohne Ihren Betrieb zu stören. Beginnen wir mit dem Kontext. Die WiFi Sicherheit wird seit 2004 von WPA2 dominiert. Das sind über zwanzig Jahre. In technologischen Maßstäben ist das eine Ewigkeit. WPA2 war für seine Zeit solide, aber es wurde entwickelt, bevor Smartphones allgegenwärtig wurden, vor der Explosion von IoT-Geräten und bevor sich die Bedrohungslandschaft so weiterentwickelte, dass sie die Art von hochentwickelten, passiven Abhöreingriffen umfasst, die wir heute sehen. Die Wi-Fi Alliance hat WPA3 im Jahr 2018 ratifiziert, und seitdem hat sich die Einführung beschleunigt - insbesondere in Unternehmen und öffentlichen Bereichen, in denen am meisten auf dem Spiel steht. Was ist also tatsächlich neu? Es gibt vier Hauptänderungen, die Sie verstehen müssen. Erstens: Simultaneous Authentication of Equals, oder SAE. Dies ersetzt den Pre-Shared Key-Handshake, den WPA2 verwendet. Das Problem mit PSK ist gut dokumentiert - wenn ein Angreifer den Vier-Wege-Handshake zwischen einem Client und Ihrem Access Point abfängt, kann er diesen offline nehmen und unbegrenzt Wörterbuchangriffe dagegen durchführen. SAE eliminiert diesen Angriffsvektor vollständig. Es verwendet einen Schlüsselaustausch im Diffie-Hellman-Stil, bei dem beide Parteien den Besitz des Passworts nachweisen, ohne es jemals zu übertragen. Selbst wenn jemand jedes Paket Ihres Authentifizierungsaustauschs abfängt, kann er den Sitzungsschlüssel daraus nicht ableiten. Dies ist eine grundlegende architektonische Verbesserung, nicht nur ein inkrementeller Patch. Zweitens: Forward Secrecy. Dies ist wohl der wichtigste betriebliche Vorteil für Standortbetreiber. Unter WPA2 kann ein Angreifer, der heute verschlüsselten Datenverkehr aufzeichnet und später Ihr Netzwerkpasswort erhält - sei es durch einen unzufriedenen Mitarbeiter, einen Phishing-Angriff oder eine Datenpanne -, rückwirkend alles entschlüsseln, was er aufgezeichnet hat. Mit dem SAE von WPA3 generiert jede Sitzung einen einzigartigen flüchtigen Schlüssel. Wenn das Passwort morgen kompromittiert wird, bleibt der Datenverkehr von gestern verschlüsselt. Für Hotel- und Gastronomieumgebungen, die Gästepayments verarbeiten, oder Einzelhandelsnetzwerke, die Treueaktionen abwickeln, ist dies eine erhebliche Risikominderung. Drittens: Opportunistic Wireless Encryption, oder OWE. Dies ist der absolute Gamechanger für öffentliches WiFi. Wenn sich heute ein Gast mit Ihrem offenen Netzwerk verbindet - also dem ohne Passwort - wird sein Datenverkehr im Klartext übertragen. Jeder mit einem Packet Sniffer im selben Netzwerk kann diesen mitlesen. OWE ändert das, indem es automatisch eine verschlüsselte Verbindung zwischen jedem Client und dem Access Point aushandelt, ohne dass ein Passwort erforderlich ist und ohne dass sich die User Experience ändert. Der Gast klickt weiterhin einfach auf „Verbinden“ - aber seine Sitzung ist jetzt verschlüsselt. Dies ist das, was die Wi-Fi Alliance als Enhanced Open bezeichnet, und es ist direkt relevant für die DSGVO-Compliance-Verpflichtungen zum Schutz personenbezogener Daten bei der Übertragung. Viertens: WPA3-Enterprise mit 192-Bit-Sicherheit. Für Unternehmen in regulierten Branchen - Finanzdienstleistungen, Gesundheitswesen, Behörden - führt WPA3-Enterprise einen Modus mit einer Mindestsicherheit von 192 Bit ein, der auf die Commercial National Security Algorithm Suite abgestimmt ist. Dieser nutzt GCMP-256 für die Verschlüsselung und HMAC-SHA-384 für die Integritätsprüfung, verglichen mit dem in WPA2-Enterprise verwendeten 128-Bit-CCMP. Wenn Sie unter PCI-DSS, HIPAA oder ähnlichen Richtlinien arbeiten, deckt dies die Anforderungen an die Verschlüsselung von drahtlosen Netzwerken direkt ab. Lassen Sie uns nun über die Architektur sprechen. Wie sieht ein WPA3-Deployment in der Praxis eigentlich aus? Für ein Hotel oder ein Konferenzzentrum nutzen Sie in der Regel ein geteiltes Deployment. Ihr internes Back-of-House-Netzwerk läuft mit WPA3-Enterprise mit IEEE 802.1X-Authentifizierung gegenüber einem RADIUS-Server - Active Directory-Integration, zertifikatsbasiertes EAP, der gesamte Stack. Ihr kundenorientiertes Netzwerk läuft mit WPA3-Personal mit SAE oder Enhanced Open mit OWE, je nachdem, ob Sie ein Captive Portal zur Datenerfassung nutzen. Hier werden Plattformen wie die Guest WiFi Lösung von Purple relevant. Purple agiert zwischen dem Access Point und dem Internet und übernimmt das Captive Portal, den Consent-Flow für die DSGVO-Compliance und den Analytics-Layer. Wenn Sie WPA3s OWE unter dem Portal von Purple einsetzen, erhalten Sie einen verschlüsselten Transport vom Gerät zum Access Point sowie einen konformen Datenerfassungsmechanismus darüber. Beide arbeiten parallel - OWE kümmert sich um die Sicherheit auf der Funkschicht, Purple um die Identitäts- und Einwilligungsschicht. Das ist eine saubere Trennung der Verantwortlichkeiten. Für Einzelhandelsumgebungen sieht die Kalkulation etwas anders aus. Hier haben Sie es oft mit einer Mischung aus Unternehmensgeräten - POS-Terminals, Barcodescannern - und Gastgeräten zu tun. WPA3-Enterprise auf einer dedizierten SSID für Unternehmensgeräte, WPA3-Personal oder OWE für das kundenorientierte Netzwerk. Der wichtigste betriebliche Aspekt ist die VLAN-Segmentierung - stellen Sie sicher, dass Ihr Gast-Datenverkehr niemals dasselbe Netzwerksegment berührt wie Ihre Zahlungsinfrastruktur. Dies ist eine PCI-DSS-Anforderung, unabhängig von der WPA-Version, aber WPA3 macht die drahtlose Schicht dieser Segmentierung deutlich robuster. Lassen Sie mich ein konkretes Implementierungsszenario durchspielen. Eine Hotelgruppe mit 500 Zimmern und zwölf Standorten möchte von WPA2 auf WPA3 migrieren. So würde ich das angehen. Phase eins ist die Bewertung. Überprüfen Sie die Firmware-Versionen Ihrer Access Points an allen zwölf Standorten. Die meisten Enterprise-APs der führenden Hersteller - Cisco, Aruba, Ruckus, Ubiquiti - unterstützen WPA3 seit 2019 oder 2020 über Firmware-Updates. Möglicherweise benötigen Sie keine neue Hardware. Überprüfen Sie gleichzeitig Ihre Client-Geräte. WPA3 erfordert Client-seitigen Support. Moderne iOS und Android Geräte unterstützen dies seit 2019. Windows 10 Version 1903 und höher unterstützt es ebenfalls. Die Herausforderung liegt bei veralteten IoT-Geräten - Smart-TVs, älteren Raumsteuerungssystemen, älteren Laptops. Diese müssen über den WPA2-Übergangsmodus verbunden werden. Phase zwei ist die Bereitstellung des Übergangsmodus. Der WPA3-Übergangsmodus ermöglicht es einer SSID, gleichzeitig WPA2- und WPA3-Clients zu unterstützen. Dies ist Ihre Migrationsplattform. Stellen Sie diese auf allen Grundstücken bereit, überwachen Sie, welche Geräte sich über WPA3 im Vergleich zu WPA2 verbinden, und nutzen Sie diese Daten, um Ihre veralteten Geräte zu identifizieren. In der Regel verbinden sich innerhalb von sechs bis zwölf Monaten die allermeisten Gastgeräte nativ über WPA3. Phase drei ist die vollständige Durchsetzung von WPA3. Sobald die Anzahl Ihrer Altgeräte unter einen akzeptablen Schwellenwert fällt - und Sie diese Geräte entweder ersetzt oder isoliert haben - können Sie WPA2 auf Gast-SSIDs vollständig deaktivieren. Ab diesem Zeitpunkt ist jede Verbindung durch SAE und Forward Secrecy geschützt. Die Analyse-Ebene ist hierbei entscheidend. Die WiFi-Analyseplattform von Purple bietet Ihnen Einblicke in Verbindungstypen, Gerätekategorien und Sitzungsdaten, mit denen Sie den Migrationsfortschritt in Ihrem gesamten Bestand verfolgen können. Sie sehen Standort für Standort, wie viel Prozent der Verbindungen WPA3-fähig sind, was Ihre Zeitplanung für Phase drei bestimmt. Nun zu den Fallstricken. Es gibt einige Punkte, die bei WPA3-Bereitstellungen regelmäßig zu Problemen führen. Der erste ist das Flooding von SAE-Bestätigungsframes. Einige frühe WPA3-Implementierungen waren anfällig für Denial-of-Service-Angriffe, die auf den SAE-Handshake-Prozess abzielten. Stellen Sie sicher, dass Ihre AP-Firmware aktuell ist - die Hersteller haben dies in den Jahren 2019 und 2020 behoben. Dies ist kein Grund, WPA3 zu meiden, sondern ein Grund, die Firmware auf dem neuesten Stand zu halten, was Sie ohnehin tun sollten. Der zweite Punkt ist die Leistung im Mischbetrieb. Im Übergangsmodus muss der Access Point sowohl WPA2- als auch WPA3-Handshakes verarbeiten. Bei hochverdichteten Bereitstellungen - einer Stadionpromenade, einem Konferenzzentrum während einer Großveranstaltung - kann dies zu einem geringfügigen Overhead führen. In der Praxis ist dies auf moderner Hardware vernachlässigbar. Wenn Sie jedoch sehr alte Access Points betreiben, sollten Sie dies in Ihre Kapazitätsplanung einbeziehen. Der dritte Punkt ist die Kompatibilität des Captive Portals mit OWE. Einige ältere Captive Portal-Implementierungen verarbeiten OWE nicht korrekt, da sie unter der Annahme offener Netzwerke entwickelt wurden. Wenn Sie eine Plattform wie Purple nutzen, wird dies für Sie erledigt. Wenn Sie ein eigenes Portal betreiben, testen Sie es vor dem Rollout explizit mit OWE-fähigen Clients. Lassen Sie uns eine kurze Fragerunde zu den am häufigsten gestellten Fragen durchführen."Verlangsamt WPA3 mein Netzwerk?" Nein. Der SAE-Handshake fügt der ersten Zuordnung einige Millisekunden hinzu. Sobald die Verbindung hergestellt ist, ist der Durchsatz identisch. Die Änderung der Verschlüsselung von CCMP auf GCMP schneidet auf moderner Hardware tatsächlich besser ab. "Benötige ich neue Access Points?" Wahrscheinlich nicht. Die meisten nach 2018 hergestellten Enterprise APs unterstützen WPA3 via Firmware. Prüfen Sie die Release Notes Ihres Herstellers. "Was ist mit IoT-Geräten, die WPA3 nicht unterstützen?" Platzieren Sie diese auf einer dedizierten SSID mit WPA2, isoliert in einem eigenen VLAN. Dies ist die Standardpraxis für Netzwerksegmentierung. "Ist WPA3 obligatorisch?" Noch nicht überall, aber die Wi-Fi Alliance verlangt seit Juli 2020 die WPA3-Zertifizierung für alle neuen Geräte. Der regulatorische Druck steigt, insbesondere in der EU unter dem Cyber Resilience Act. Dem jetzt zuvorzukommen, ist die richtige Entscheidung. "Ersetzt WPA3 die Notwendigkeit eines VPN?" Für den internen Unternehmensdatenverkehr nein - VPN bleibt die Best Practice für den Remote-Zugriff. Für den Gastdatenverkehr reduziert WPA3 mit OWE das Risikoprofil offener Netzwerke erheblich. Gästen, die sensible persönliche Transaktionen durchführen, sollte dennoch die Verwendung eines eigenen VPN empfohlen werden. Zusammenfassend lässt sich sagen: WPA3 ist kein optionales Upgrade - es ist eine bedeutende Verbesserung der Sicherheitsarchitektur, die reale, dokumentierte Schwachstellen in WPA2 behebt. SAE eliminiert Offline-Wörterbuchangriffe. Forward Secrecy schützt historischen Datenverkehr. OWE verschlüsselt offene Netzwerke reibungslos. Der 192-Bit-Enterprise-Modus erfüllt die Anforderungen für regulierte Branchen. Für Betreiber von Veranstaltungsorten und IT-Teams ist der Migrationspfad klar: Beginnen Sie mit einem Firmware-Audit, stellen Sie den Transition Mode bereit, überwachen Sie Ihre verbleibenden Legacy-Geräte und planen Sie die vollständige WPA3-Einführung innerhalb von zwölf bis achtzehn Monaten. Nutzen Sie Ihre Gast-WiFi-Plattform - ob Purple oder eine andere Lösung - auf Basis von WPA3, um sowohl drahtlose Sicherheit als auch die Datenerfassung, das Einwilligungsmanagement und die Analysefunktionen zu erhalten, die Ihre Marketing- und Betriebsteams benötigen. Wenn Sie den Vergleich zwischen WPA, WPA2 und WPA3 in all ihren Varianten vertiefen möchten, bietet Purple unter purple.ai einen eigenen Leitfaden an, der die gesamte Protokollgeschichte und das Entscheidungsframework für die Auswahl des richtigen Standards für jeden Anwendungsfall erläutert. Vielen Dank fürs Zuhören. Wenn Sie dies nützlich fanden, teilen Sie es mit Ihrem Netzwerkarchitekten oder IT-Manager. Die Entscheidungen, die Sie in diesem Jahr zur drahtlosen Sicherheit treffen, werden Ihre Risikolage für das nächste Jahrzehnt definieren. Dies war ein Purple Technical Briefing. Besuchen Sie purple.ai, um mehr über Enterprise Gast-WiFi- und Analyselösungen zu erfahren.