Krack: Fritzbox sicher vor WPA2-Lücke laut AVM

Die Fritzbox ist sicher vor der WPA2-Lücke “Krack”. Das ist das Ergebnis der ersten Untersuchung des Berliner Fritzbox-Herstellers AVM. Am Montag war bekannt geworden, dass ein Sicherheitsexperte eine kritische Lücke in WPA2 entdeckt hat, die es Angreifern ermöglicht, die per Computer und Access Points ausgetauschten Daten auszuspionieren. Die Anfälligkeit wurde auf den Namen “Krack” für “Key Reinstallation Attacks” getauft. Die ausführlichen Details zu der Lücke finden Sie in diesem Beitrag.

Erfreulich schnell reagierte Microsoft: Die Lücke war bereits in Windows zum Patch-Day im Oktober vor einer Woche gestopft worden, bevor sie publik wurde, weil Microsoft vorab informiert worden war. Intel liefert für seine Produkte neue WLAN-Treiber aus, durch die die Anfälligkeit behoben wird.

AVM hatte für seine Fritzbox und weiteren Produkte am Montag zunächst folgende Erklärung abgegeben:

Seit heute wird über eine Lücke im WPA2-Protokoll von WLAN berichtet. WPA ist relevant für alle WLAN-Produkte vom Smartphone über Router bis zur IP-Kamera. Angriffe sind nicht bekannt und könnten auch nur im direkten WLAN-Umfeld erfolgen. Für eine genauere Einschätzung müssen noch weitere Details bekannt werden. Unabhängig von Krack findet bei der Internetverbindung über HTTPS-Seiten (Onlinebanking, Google, Facebook etc.) eine sichere Verschlüsselung statt. Falls notwendig wird AVM wie gewohnt ein Update bereitstellen.

Am Dienstag lieferte AVM nun eine ausführlichere Erklärung ab. Darin heißt es: “Eine FRITZ!Box am Breitbandanschluss ist nach aktuellem Stand nicht von der ‘Krack’ genannten WLAN-Sicherheitslücke betroffen, da sie als Access Point die betroffene Norm 802.11r nicht verwendet.” Ein möglicher theoretischer Krack-Angriff richte sich gegen die WLAN-Verbindung eines Klienten, der sich im WLAN anmelde.

AVM weist auch darauf hin, dass die Ausnutzung der Sicherheitslücke für einen Angreifer schwierig und aufwendig sei, weil er sich in unmittelbarer physischer Nähe zum Klienten (Laptop, Smartphone, TV mit WLAN) befinden müsse und sich in Form einer Man-in-the-Middle-Attacke zwischen Klient und Access Point setzen müsse. Davon abgesehen seien auch relevante Verbindungen auf einer höheren Ebene verschlüsselt, wie etwa über eine HTTPS-Verbindung. Letztere kommt beispielsweise bei Online-Banking, Online-Shopping, bei Suchanfragen und der Nutzung von sozialen Diensten zum Einsatz.

Kritik gibt es seitens AVM an dem Entdecker der WPA2-Lücke. So hat AVM laut eigenen Angaben erst am 16. Oktober von der Lücke erfahren und sei also nicht vorab über das Responsive-Disclosure-Verfahren gewarnt worden. Außerdem kündigt AVM weitere Untersuchungen an und will für seine WLAN-Repeater Updates zur Verfügung stellen.

Lesetipp: Fritzbox-Router im Vergleich