Gedankenanströße zur Absicherung von WLans
Nachfolgende Stickpunkte sollen nur Gedankenanstöße sein…
- Handy produziert 2 Watt Strahlung, WLan 20mWatt (nimmt die Angst vor der Gefährlichkeit von wlans)
- häufigster Einsatz im Soho (small office, home office)
- XP/Vista bevorzugt SSID Broadcasting Netzwerke, das verstecken der SSID stellt demnach ein Risiko dar, den sobald ein Wlan mit gebroadcasteter SSID vorhanden wird dieses von XP/Vista beforzugt
- das Ausblenden der SSID ist unsinnig, da die SSID bei aktivem Netzwerkverkehr sowieso verteilt wird
- Windows Mobile 5 kann nur TKIP (Router können i.d.R. kein TKIP + AES)
- 802.1x Port basierende Authentifizierung erhöt die Sicherheite erheblich
- Zertifikatbasierte WLan Anmeldung bietet höheren Schutz und ist einfacher zu integrieren/verwalten
- XP Useranmeldung am Netzwerk ist ohne Maschinenanmeldung am Netzwerk möglich was evtl. dazu führt dass Gruppenrichtlinien nicht bzw. erst sehr spät aktualisiert werden (Kerberos auf TCP umstellen)
- bei nutzung einer PKI Infrastruktur sollte man sich Gedanken über eine Sperrliste gemacht haben und wie diese sowie das Serverzertifikat veröffentlich werden können
- für eine Radius Authentifizierung muss ein auflösbarer DNS-Name des Server im Zertifikat enthalten sein
- darauf achten, dass Benutzer keine internen Zertifikat zur Signierung von eMails nutzen
- Domain Controller ziehen sich Ihr Zertifikat sobald eine CA verfügbar ist
- Zertifikate sollte per GPO automatisch an die Clients verteilt werden
- Redius Server muss im AD Registriert werden