Wi-Fi-Sicherheitsaudit

Ein Funk-Audit ist kein Werkzeug, das man auf ein Netz richtet und das dann einen Bericht ausgibt; es sind vier Messungen nacheinander, jede mit einem anderen Ergebnis und einem anderen Zeitbedarf. Die ersten drei sind rein lesend und lassen sich in den meisten Häusern während der Arbeitszeit durchführen. Die vierte verändert das Verhalten von Geräten und braucht ein vereinbartes Zeitfenster und einen Ansprechpartner am Telefon.

Der erste Durchgang ist das Inventar. Wir gehen die Fläche ab und zeichnen jedes sendende BSSID im Bereich auf, Ihre Netze, die des Nachbarn, einen Drucker im Lager, ein Radio in einem Besprechungsraum, in den seit dem letzten Umzug niemand mehr gegangen ist, und gleichen die Sichtliste mit den Access Points ab, von denen Sie glauben, dass Sie sie besitzen. Der Abgleich ist das Ergebnis, nicht der Scan: ein Büro mit 120 Mitarbeitenden und 28 freigegebenen Access Points endet regelmäßig bei 34 sendenden Radios, und hinter jedem überzähligen stehen ein Eigentümer, ein Kabel und eine Beschaffungsentscheidung.

Der zweite Durchgang ist die Authentifizierung je SSID. Wir halten fest, welche Methode je Geräteklasse tatsächlich ausgehandelt wurde, nicht welche am Controller eingestellt ist, weil beide Aufzeichnungen seltener übereinstimmen als man annimmt: ein Firmennetz, das auf WPA3 im Übergangsmodus steht, handelt mit einem Handscanner im Lager weiterhin WPA2 aus, und ein 802.1X-Netz, in dem Clients das Serverzertifikat nicht prüfen, sammelt Zugangsdaten von jedem, der denselben Namen ausstrahlt.

Der dritte Durchgang ist die Reichweite. Von jedem SSID prüfen wir, wohin ein verbundenes Gerät kommt: interne Hosts, Ports, das Druckernetz, das Managementnetz und das Gästenetz in die Gegenrichtung. Das Ergebnis ist eine Matrix aus gemessenen Zielen und Ports, keine Eigenschaft. Der vierte Durchgang ist das Client-Verhalten: welches verwaltete Gerät sich automatisch mit einem gespeicherten Netz verbindet, das ein anderer Access Point ausstrahlt, und welche dieser Geräte ihren Nutzer vorher warnen.

Der Auftrag ist das erste Ergebnis der Arbeit, nicht ein Formular nach der Rechnung. Bevor ein Adapter läuft, tragen wir einen schriftlichen Scope: die juristische Person, der das Netz gehört, Standorte und Etagen, die freigegebenen SSIDs und BSSIDs mit Namen statt nur mit Gebäude, das Testfenster, die Person, die den Test stoppen kann, und die Regeln für erhobene Daten. Wer unterschreibt, muss das Netz freigeben können: ein Managed-Service-Provider kann ein Audit für das Netz eines Kunden nur mit dessen schriftlicher Zustimmung beauftragen, deshalb verlangen wir dieses Schreiben und akzeptieren keine Bestellung als Freigabenachweis.

Passive Arbeit kommt zuerst: Zuhören braucht keine Zugangsdaten, keine Verbindung und unterbricht keinen Dienst, sodass Inventar und Survey während der Arbeitszeit laufen können, ohne dass es jemand bemerkt. Aktive Arbeit, vom Verbinden als Client über das Prüfen einer gemeinsamen Kennung gegen aufgezeichneten Verkehr bis zu Zugriffstests und Frame-Injection, läuft im vereinbarten Fenster, möglichst außerhalb der Arbeitszeit, weil Deauth-Verfahren echte Geräte von einer Produktionsfläche werfen, und ein Lagerhandscanner, der mitten in der Kommissionierung die Verbindung verliert, ist ein Betriebsstillstand und kein Test.

Stopp-Bedingungen halten wir ebenfalls schriftlich fest: ein sicherheitskritisches System bleibt verbunden, eine Klasse von Medizingeräten wird nicht angefasst, eine Mietetage liegt außerhalb des Umfangs. Der Testende trägt die Liste mit sich, und der Bericht hält jede Aktion mit Uhrzeit fest, damit sich eine unerwartete Störung beim Kunden dem Test zuordnen oder mit Beleg ausschließen lässt.

Jeder Befund nennt die Messung, die ihn erzeugt hat, den Ort der Messung und das Artefakt, das ihn belegt. Ein Befund zur gemeinsamen Kennung ist keine Zeile, die ein schwaches Passwort behauptet, sondern Aufzeichnungsmethode, Ableitungskosten, Schlüsselraum der Passphrasenklasse und die Rechnung, die die Dauer für den vollständigen Suchraum bei einer genannten Rate zeigt. Das ist wirtschaftlich relevant: ein Schlüssel, der 232 Jahren Rechenzeit widersteht, ist kein Befund; der Befund ist, dass ein gemeinsames Geheimnis jeder seit 2019 verbundene Client trägt und sich nicht rotieren lässt, ohne jedes Gerät anzufassen.

Ein Segmentierungsbefund ist eine Zeile in einer Matrix, keine Behauptung: aus dem Gästenetz haben drei von drei geprüften Druckern das Firmennetz erreicht, die Gasttrennung ist also eine Richtlinie und keine durchgesetzte Kontrolle. Ein Rogue-AP-Befund nennt Switch-Port, PoE-Zugang und die OUI, die das Radio mit dem Kabel verbindet, weil eine ausgestrahlte Kennung ohne Standort ein Bild und kein Befund ist. Ein Client-Befund nennt Geräteklasse, Betriebssystemstand und die Einstellung, die die Verbindung zum Namensvetter erlaubt hat.

Jeder Befund trägt außerdem einen Verantwortlichen und eine von außen prüfbare Behebung. Ein entferntes Fremdgerät prüft man mit einem zweiten Survey. Ein ausgerolltes Zertifikatsprofil prüft man durch Lesen der Supplicant-Konfiguration auf dem Gerät, nicht durch Vertrauen darauf, dass das Profil angekommen ist. Eine Schlüsselrotation prüft man, indem der alte Schlüssel nicht mehr verbindet. Lässt sich eine Behebung so nicht prüfen, sagen wir das und schlagen die Prüfung vor der Abnahme vor.

Eine Funkbewertung kann nicht berichten, was sie nicht gehört hat. Ein Rogue-AP, der an einem Sonntag zwei Stunden lief und am Dienstag wieder weg ist, taucht im Survey nicht auf; diese Lücke schließen ein WIDS-Log am Controller und laufende Überwachung, also ein anderer Einkauf. Die Bewertung ist eine Stichprobe des Funkraums zu einem Zeitpunkt, und der Bericht sagt das, statt eine Dauerzusage zu suggerieren.

Sie sieht auch nicht hinter moderne Verschlüsselung. Läuft ein Netz mit WPA3, geschützten Management-Frames und Zertifikaten je Gerät, gibt es keinen Offline-Angriff auf die Aufzeichnung, und jede Behauptung, den Verkehr von Clients in einem so konfigurierten Netz zu entschlüsseln, ist entweder eine Fehlbeschreibung oder ein Beleg dafür, dass die Konfiguration nicht der des Controllers entspricht. Was sich in einem solchen Netz belegen lässt, sind Reichweite, Client-Verhalten, Sauberkeit der Zugangsdaten und Inventar, und dort liegen die Befunde in der Regel auch.

Drei Grenzen gehören in den Bericht und nicht ins Verkaufsgespräch: die Kabelseite hinter dem Access Point, die physische Sicherheit und der Kabelzugang, und die Lieferkette hinter den Access Points selbst, also Firmware-Herkunft, Cloud-Controller-Konto und Werkszugangsdaten. Das Cloud-Controller-Konto verdient besondere Erwähnung, weil es heute ein ins Internet exponiertes Admin-Login ist, das eine Konfiguration auf jedes Radio im Haus schieben kann; dieses Konto zu erbeuten ist ein schnellerer Weg zu einem fremden SSID als jedes Funkverfahren auf dieser Seite.

Funkarbeit liegt näher an der rechtlichen Grenze als die meisten Sicherheitsarbeiten, weil der Funkraum in Flächen reicht, die Ihnen nicht gehören. Jeder Auftrag ist auf Netze begrenzt, die der Kunde besitzt oder schriftlich freigibt, und die Freigabe nennt SSID und BSSID, nicht nur das Gebäude. Ein Nachbarnetz, das Netz einer gemeinsam genutzten Hausverwaltung oder das WLAN eines Konferenzraums außerhalb des Umfangs wird nicht bewertet, egal wie interessant das Signal ist; ein Survey, der diese Netze sieht, hält die Sichtung fest und sonst nichts. Ein Heimnetz bewerten wir nur für die Person, der Anschluss und Router gehören.