KRACK-Patches: WPA2-Lücke wird zur Nagelprobe

Ein großer Teil der WPA2-geschützten WLANs ist knackbar und darüber übertragene Daten sind im Falle von Android 6.0 oder neuer sogar manipulierbar. Dies geht aus dem Paper des belgischen Sicherheitsforschers Mathy Vanhoef hervor.

Jene Angriffe sind größtenteils von theoretischem Interesse und es besteht kein Grund zur Panik, wie Carsten Dobschat von den Mobilegeeks treffend analysiert. KRACK wird in der freien Wildbahn wenig bis gar nicht verwendet. Dennoch müssen alle betroffenen Geräte aktualisiert werden, will man das Vertrauen ihrer Nutzer und Kunden erhalten und das Garantieversprechen einhalten. Außerdem verdienen wir einen offenen und ehrlichen Umgang mit einer solchen Schwachstelle.

Microsoft lieferte einen Windows-Patch am 10. Oktober, Apple bringe ihn in wenigen Wochen. Das schreibt Cnet, das derzeit eine vollständige Liste aller Hersteller mit KRACK-Patch erstellt. Auch in Linux war der Fehler schnell behoben. Die Modder hinter der Android-Variante Lineage OS verkünden stolz, dass sie schneller waren als Google. Nutzer jenes Mods sind ab dem nächsten Update auf der sicheren Seite. Die übrigen Android-Nutzer werden voraussichtlich mit dem Update auf Sicherheitspatch-Ebene November 2017 die betreffenden Lücken schließen können.

All official 14.1 builds built after this tweet have been patched for KRACK.

— LineageOS (@LineageAndroid) 17. Oktober 2017

Die Reddit-Community bringt Licht ins Dunkel, verlinkt wichtige Quellen und sammelt die Geräte und Hersteller in einer großen Tabelle, in der bereits verfügbare Patches auf einen Blick erkennbar werden. Deutschlands wichtigster Router-Hersteller AVM entwarnt und erklärt, dass die betroffene Norm 802.11r bei Fritzboxen im Access-Point-Modus (als im Normalbetrieb) gar nicht verwendet wird. Repeater hingegen werden zeitnah einen Patch erhalten. Hierauf beschweren sich Reddit-Mitglieder, dass 11r nur einer unter vielen Angriffsvektoren sei und AVM die übrigen nicht übersehen dürfe.

Aber selbst wenn AVM die Router patchen würde, was gemäß seiner bisher vorbildlichen Update-Politik voraussichtlich ohnehin sehr bald geschehen wird, stehen dem kompletten Schutz die weiterhin ungepatchten Android-Smartphones im Wege. Im Falle der Android-Geräte ist die Lage besonders ärgerlich, da Angreifer bei ihnen die Datenverbindung zusätzlich manipulieren können. Wie das funktioniert, erklären die Computerphiles auf YouTube:

Dies ändert jedoch nichts daran, dass KRACK und ihre Ausnutzung eher von theoretischem Interesse sind. Ihr müsst deswegen nicht unbedingt auf Online-Banking verzichten, da dies ohnehin über eine zusätzlich verschlüsselte Verbindung läuft. Ihr müsst auch nicht Euer WLAN-Passwort ändern, da KRACK es ohnehin umgeht. Und Ihr müsst auch nicht alle WLANs abschalten oder von WPA2 auf WEP umstellen, da sich vermutlich kein Hacker in Eurer Nähe aufhält. Dennoch solltet Ihr Eure Geräte updaten, wenn dies möglich ist.

Und KRACK ist eine gute Gelegenheit, zu beobachten, welche Hersteller solche Updates in einem angemessenen Zeitraum liefern. Die großen Software-Schmieden und auch die Open-Source-Gemeinde zeigen sich hier vorbildlich. Die Freifunk-Gemeinde etwa, die mit ihren OpenWRT-Geräten und ihren technisch versierten Nutzern am ehesten ein Angriffsziel wäre, hat schon gepatcht; dasselbe gilt für die LineageOS-Modder. AVM, Telekom und Netgear liefern zeitnah Router-Updates. Die Angriffsfläche wird für potenzielle Nutzer der Lücke also sehr schnell sehr klein und damit uninteressant - wären da nicht die verfluchten Android-Updates, die noch immer bei zu wenigen Nutzern ankommen.