WLAN-Sicherheit in Gefahr: So knacken deutsche Forscher WPA

Man kann eine Chopchop-Attacke wesentlich erschweren, indem man sein privates Subnetz abändert. Einen erheblich besseren Schutz erhält man bereits, wenn man den Class-C-Adressraum wechselt, beispielsweise auf 192.168.184.0/24 (192.168.184.x).

Besser noch ist es, wenn man das Class-A-Netz 10.0.0.0/8 (10.x.x.x) verwendet. Dann müssen stets 3 von 4 Bytes der IP-Adresse erraten werden. Man sollte allerdings nicht besonders einfallslose Adressen, etwa 10.0.0.1, verwenden. Eine Adresse wie 10.164.219.16 ist deutlich schwieriger zu erraten.

Wer ganz clever ist, verwendet gar keine private IP-Adressen, sondern sogenannte Bogon-Adressen. Das sind Adressen, die zwar nicht gemäß RFC1918 als privat gekennzeichnet, von der IANA aber zur Zeit nicht vergeben sind. Eine aktuelle Liste bietet die IANA zum Download an.

Verwendet man beispielsweise das Netz 14.156.23.0/24 (14.156.23.x), so stellt man derzeit sicher, dass es keinen Konflikt mit Internet-Adressen gibt. Allerdings muss die Liste regelmäßig überprüft werden, da die IANA diese Adressen bei einer weiteren Verknappung von IPv4-Adressen jederzeit vergeben kann.

Ferner gilt es zu beachten, dass die Idee, Bogon-Adressen zu verwenden, auch andere schon hatten. Die VPN-Lösung Hamachi verwendet beispielsweise den Adressraum 5.0.0.0/8 (5.x.x.x). Wer Hamachi einsetzt oder dies plant, darf diesen Adressraum natürlich nicht verwenden.

Auch bei den offiziell privaten Adressen muss man mit Bedacht vorgehen, da einige Internetprovider glauben, es sei besonders klug, private IP-Adressen in ihren eigenen Netzen zu verwenden. So sind bei Kabel Deutschland, die Server aus den Domains kabeldeutschland.de und kabeldeutschland.com aus dem eigenen Netz nur unter privaten IP-Adressen aus dem Netz 10.0.0.0/8 zu erreichen, siehe Bilder 3 und 4.