Hi! On Mon, Oct 24, Torsten Foertsch wrote:
On Monday 24 October 2005 11:22, Joachim Gleissner wrote:
Das Gegenargument IMHO ist aber, daß shared key nicht nur kein Sicherheitsgewinn darstellt, sondern sogar ein Sicherheitsrisiko.
Kannst Du das ein wenig breiter ausführen? Warum ist es ein Sicherheitsrisiko?
Zunächst mal zu dem fehlenden Sicherheitsgewinn: Da der shared key sowohl zur Verschlüsselung als auch zur Authentifizierung herangezogen wird, ist praktisch kein Sicherheitsgewinn da. Denn entweder habe ich den Key und kann mich authentifzieren und die Pakete ver-/entschlüsseln, oder ich habe ihn nicht, dann könnte ich auch ohne Authentifizierung keine Pakete lesen oder versenden. Zum Thema Sicherheitsrisiko: Die Authentifizierung läuft folgendermaßen ab: Der Accesspoint schickt der Station, die sich authentifizieren möchte, ein Paket im Klartext. Die Station verschlüsselt dieses mit dem shared key und schickt es zurück an den Accesspoint. Der Accesspoint prüft, ob es korrekt verschlüsselt wurde, wenn ja, wird die Station autorisiert. Allerdings ist zu diesem Zeitpunkt dieselbe Nachricht unverschlüsselt und verschlüsselt in die Weltgeschichte gefunkt worden. Ein prima Ansatzpunkt für eine Attacke.
Torsten
cu... -- Joachim Gleißner