AirSnitch: Wi-Fi-Angriff knackt Client-Isolation in 2 Sekunden

Warum versagt die Client-Isolation im WLAN?

Es gibt keinen branchenweiten Standard dafür. Jeder Hersteller hat eine eigene Lösung gebaut, und überall fanden die Forscher Lücken. Drei Wege stehen im Zentrum.

Erstens der Missbrauch des Group Temporal Key (GTK), eines gemeinsamen Schlüssels für Broadcasts an alle Geräte. Ein Angreifer verpackt ein Paket für ein Opfer in eine scheinbare Router-Nachricht, und das Opfer akzeptiert es.

Zweitens das „Gateway Bouncing“. Viele Geräte sperren die direkte Kommunikation auf der MAC-Ebene, aber nicht auf der IP-Ebene. Der Angreifer adressiert die Daten an den Router und nennt das Opfer als endgültiges IP-Ziel. Der Router leitet sie brav weiter.

Drittens das „Port Stealing“. Moderne Access Points haben mehrere Zugänge (BSSIDs) für Frequenzbänder sowie Haupt- und Gastnetz, intern als getrennte virtuelle Ports behandelt. Verbindet sich ein Angreifer etwa übers Gastnetz mit gefälschter MAC-Adresse des Opfers, glaubt der Access Point, das Opfer sei umgezogen, und schickt dessen eingehenden Verkehr an den Angreifer.

Was kann ein Angreifer damit tun?

Im offenen Gast-WLAN ohne Passwort gelangt der Verkehr des Opfers ohne die sonst übliche Verschlüsselung in die Luft. Fälscht man die MAC-Adresse des Routers, lässt sich auch der ausgehende Verkehr ins Internet abgreifen.

Kombiniert man Abfangen und Wiedereinspeisen, entsteht ein Man-in-the-Middle-Angriff, den das Opfer kaum bemerkt. Im Test hörte das Team aus dem Gast-WLAN verzögerungsfrei ein Gerät im Haupt-WLAN ab. Außerdem las es den Verkehr eines RADIUS-Authentifizierungsservers mit, knackte ein Passwort und baute einen falschen Access Point auf, der Daten und Zugangsdaten abfing.