WLAN-Land ist *nicht* abgebrannt

Großes Kino. Seit Dienstag morgen hört man laufend auf allen Kanälen die BSI-Warnung, Bankgeschäfte über eine WLAN-Verbindung tunlichst zu unterlassen.

Hallo, McFly? Jemand zuhause?!

Symbolbild.

Wir. Dienen. Neuland.

BSI, the Bull Shit Institute, pressemitteilt:
Das Bun­des­amt für Sicher­heit in der In­for­ma­tions­tech­nik (BSI) rät dazu, WLAN-Netz­wer­ke bis zur Ver­füg­bar­keit von Sicher­heits-Up­da­tes nicht für On­line-Trans­ak­tio­nen wie On­line Bank­ing und On­line Shop­ping oder zur Über­tra­gung an­derer sen­si­ti­ver Daten zu nut­zen.

Das BSI – die Bundesbehörde, die sich schon im Zuge der eGK gerade wieder mit Ruhm bekleckern lies – rät also dazu, »sensitive Daten« nicht über »WLAN-Netzwerke« übertragen. Meine Güte, man sollte sie wegcybern, mit Stumpf und Stiel.

Ersteinmal eine praktische Frage vorab: woran erkennt Frau Dr. Merkel, daß das genutzte WLAN ein »sicherheitsupdated« selbiges ist? An den nun grün leuchtenden WLAN-Wellen? An einem blauen Haken am WLAN-Symbol des Endgerätes, was ja bekanntermaßen für ein 2017 sicherheitsaktualisiertes WLAN steht? Oder ist das vieleicht schlicht gar nicht erkennbar und jedes WPA2-gesicherte WLAN ist und bleibt besser als ein WEP-geschütztes?

Screenshot

Chat …

Die »KRACK«-›Enthüllung‹ war medial schon toll vor­be­rei­tet; viele war­te­ten nä­gel­kau­end auf 12 Uhr MEST am Montag, wo es endlich Details zum angeblichen Mega-Fail geben sollte.

Allein, das, was dann endlich unter krackattacks.com zu lesen war, ist dann doch arg ernüchternd:

  • WPA2 ist nicht gebrochen
  • WPA2-Schlüssel können nicht entschlüsselt oder wiederverwendet werden
  • Auf Transportebene verschlüsselter Datenverkehr (SSL/TLS) bleibt sicher

Ja, $Angreifer kann $Schindluder mit einigen Paketen und Verbindungen treiben und ja, Datenverkehr kann im Klartext mitgeschnitten werden — sofern dieser nicht schon auf Transportebene Ende-zu-Ende-verschlüsselt übertragen wurde (HTTPS, LDAPS, SMTPS, …) …

Das eigentlich witzige, aber für das BSI bezeichnend peinliche, ist aber der Fakt, daß jedweder Datenverkehr über ein WPA2-gesichertes WLAN nun ›betroffen‹ sein solle — dabei hat sich eigentlich nicht viel geändert:

  • Luft ist und bleibt ein shared medium
  • Ersteinmal kann jeder mitlauschen; WPA2 reduziert dies an sich
  • Hinter dem vermeintlich gesicherten Übertragungsweg »Luft« kommt das lange, dunkle Kabel — und jenseits des heimischen Routers wird die Datenübertragung nach wie vor nicht besonders gesichert

Kurzum: zur Hysterie besteht kein Anlaß. Ja, unter Umständen können Angreifer Datenpakete mitlesen, abfangen. So-fucking-what?! Online-Banking, eMail, selbst normales Surfen nutzt heute i. d. R. TLS (Transport Layer Security), und jener Standard wurde nicht torpediert.

Verglichen mit dem tatsächlichen, praktischen »Impact«, ist der mediale Rummel um das, natürlich existente, Problem schon fast »fake news« … Wenn man das WLAN als das begreift, was es eben ist – eine räumlich nur schwer eingrenzbare Erweiterung des LANs per Funk – und generell auch im lokalen Netz nur Ende-zu-Ende-verschlüsselte Kommunikation nutzt, hat sich eigentlich nichts geändert. Mit der Bedrohung von Mitlesern mußte man immer leben, und deshalb sind auch alle internen Dienste auf Transportebene schon abgesichert … Und genau dann ist es auch egal, ob einzelne oder alle Pakete mitgelesen werden können — für den Mitleser bleibt es nur Datenmüll ;-)