Bei mit AES oder TKIP verschlüsselten Paketen erhält jedes Paket eine eindeutige Sequenznummer, damit der Empfänger Replays erkennen und verwerfen kann. Sofern QoS aktiviert ist, muss der Empfänger sogar pro Prioritäts-Stufe einen solchen Replay-Zähler mithalten.
Damit ergibt sich eine Angriffsmöglichkeit, bei der ein Angreifer ein mitgesnifftes Paket auf einer anderen Prio-Stufe 'replayen' kann. Einige Ansätze für Angriffe auf TKIP beruhen auf diesem Umstand.
Seit LCOS-Version 7.70 gibt es im Empfänger neben der Replay-Prüfung pro Prio-Stufe eine weitere 'globale' Prüfung, die zuletzt von der Gegenstelle genutzte Sequenznummern mithält. Da Sequenznummern vom Sender nicht auf verschiedenen Prio-Stufen mehrfach genutzt werden dürfen, kann man so Replay-Attacken auf einer anderen Prio-Stufe in begrenztem Umfang erkennen.
Einige WLAN-Clients, z. B. aus dem Bereich der Mobiltelefone, nutzen eine fehlerhafte AES-Implementierung mit einem separaten Sequenzzähler im Sender pro Prio-Stufe, so dass die beschriebenen Mehrfachverwendungen bei diesen Geräten normal sind.
Um auch für diese Geräte einen Betrieb zu ermöglichen, kann die globale Prüfung der Krypto-Sequenz ausgelassen werden.
WEBconfig: LCOS-Menübaum / Setup / WLAN
- Globale-Krypto-Sequenz-Pruefung-auslassenStellen Sie hier die globale Prüfung der Krypto-Sequenz ein.
Mögliche Werte:
- Auto, Ja, Nein
- Auto
- Auto: LCOS enthält eine Liste der für diese Verhalten bekannten Geräte und schaltet in der Einstellung 'Auto' die globale Sequenzprüfung ab. Für andere, noch nicht in der Liste enthaltenen Geräte muss die globale Sequenzprüfung manuell deaktiviert werden.