Definition Counter-Mode/CBC-MAC Protocol (CCMP)

Was ist CCMP?

| Autor / Redakteur: Stefan Luber / Peter Schmitz

Das Counter-Mode/CBC-MAC Protocol (CCMP) ist ein WLAN-Sicherheitsprotokoll, das im WPA2-Standard zum Einsatz kommt.
Das Counter-Mode/CBC-MAC Protocol (CCMP) ist ein WLAN-Sicherheitsprotokoll, das im WPA2-Standard zum Einsatz kommt. (Bild: Pixabay / CC0)

Das Counter Mode with Cipher Block Chaining Message Authentication Code Protocol, kurz CCMP, ist ein Sicherheitsstandard für WLANs, der beim Verschlüsselungs­standard WPA2 (Wi-Fi Protected Access 2) zum Einsatz kommt. Mit CCMP gesicherte WLANs gelten trotz theoretischer Angriffsmöglichkeiten aktuell als sehr sicher.

Die Abkürzung CCMP steht für Counter-Mode/CBC-MAC Protocol (vollständig: Counter Mode with Cipher Block Chaining Message Authentication Code Protocol). Es ist ein Sicherheitsstandard, der in der IEEE-Norm 802.11i beschrieben ist und zur Sicherung von WLANs mit WPA2 zum Einsatz kommt. Das Counter-Mode/CBC-MAC Protocol verwendet verschiedene kryptographische Algorithmen und ist wesentlich sicherer als WEP oder WPA mit TKIP. CCMP stellt Mechanismen zur Integritätssicherung, Verschlüsselung und Authentifizierung im WLAN zur Verfügung. Das Verfahren nutzt starke, 128 Bit lange Schlüssel in Kombination mit 48 Bit langen Initialisierungsvektoren und basiert auf dem Advanced Encryption Standard (AES). WPA2 mit CCMP und AES gilt derzeit als sehr sicher und ist die für WLAN-Netze empfohlene Verschlüsselungsmethode.

Funktionsweise und wesentliche Bestandteile von CCMP

Das Counter-Mode/CBC-MAC Protocol und AES bieten aufgrund der 128 Bit langen Schlüssel und dem 48 Bit langen Initialisierungsvektor ein hohes Sicherheitsniveau. Die wesentlichen Bestandteile von CCMP sind:

  • die Counter Mode Komponente (CM) zur Verschlüsselung der übertragenen Daten
  • der Cipher Block Chaining Message Authentication Code (CBC-MAC) für die Integritätsprüfung und Authentifizierung der Daten

Ein CCMP-Datenpaket besteht aus fünf verschiedenen Teilen. Es beginnt mit der Absender- und Zieladresse der Daten. Anschließend folgt der CCMP-Header. Bestandteile des Headers sind die Paketnummer, der externe Initialisierungsvektor und die Key ID. Die Paketnummer wird bei jedem Paket hochgezählt. Das Counter-Mode/CBC-MAC Protocol nutzt diese Werte, um die Daten und den Message Integrity Code (MIC) (Teil drei und Teil vier des Pakets) zu verschlüsseln. Am Ende des Datenpakets ist eine Frame Check Sequence angefügt, die zur Fehlererkennung und Fehlerkorrektur dient. Im Datenpaket sind nur der eigentliche Datenanteil und der MIC verschlüsselt.

Bei der Schlüsselverhandlung mit WPA2 und CCMP führen die Stationen jeweils bestimmte Rollen aus. Der Client ist der sogenannte Supplicant und der Accesspoint der Authenticator. Es ist genau festgelegt, welche Nachrichten und Pakete die Stationen zu versenden haben und wie darauf zu reagieren ist. Eine Wiederholung des ausgehandelten und vom Initialisierungsvektor und WPA-Schlüssel abhängigen Schlüssels erfolgt theoretisch erst nach 16 Millionen Paketen. Um Wiederholungen in stark ausgelasteten WLANs bereits nach wenigen Stunden zu verhindern, ist eine automatische Neuverhandlung des Schlüssels in regelmäßigen Intervallen vorgesehen.

So knacken Sie WLAN-Verschlüsselungen

WEP, WPA2 und WPS hacken

So knacken Sie WLAN-Verschlüsselungen

18.04.17 - WLAN-Verschlüsselungen aufzubrechen ist grundsätzlich machbar – wenn man die richtigen Werkzeuge hat. Die größte Hürde ist eine passende Passwortliste, die eigentlichen Tools sind kostenlos erhältlich und leicht zu bedienen. lesen

Die Schwachstellen des Counter-Mode/CBC-MAC Protocols

Praktisch relevante Schwachstellen von WPA2 mit CCMP und AES sind keine bekannt, weshalb per Counter-Mode/CBC-MAC Protocol gesicherte WLANs aktuell als sehr sicher gelten. Es existieren einige theoretische Angriffsmethoden. 2017 wurde die KRACK-Methode (Key Reinstallation Attack) öffentlich bekannt. Sie nutzt eine Schwachstelle im Handshake-Verfahren beim Verbindungsaufbau zur Aushandlung von Schlüsseln. Mit KRACK lassen sich Datenpakete entschlüsseln und Angriffe wie TCP-Hijacking oder HTTP-Injection ausführen. Im Extremfall ist es möglich, den verwendeten Schlüssel zu ersetzen und die Verschlüsselung vollständig auszuhebeln. Allerdings sind überwiegend Android- und GNU/Linux-Implementationen von der KRACK-Schwachstelle betroffen. Die Sicherheitslücke lässt sich mit einem Softwareupdate schließen. So wurden die teilweise anfälligen Windows-Systeme bereits vor dem Bekanntwerden der Angriffsmethode seitens Microsoft gepatcht.

Potentieller Angriff auf WPA2 entdeckt

KRACK attackiert WLAN-Verschlüsselung

Potentieller Angriff auf WPA2 entdeckt

16.10.17 - Eine Schwachstelle in WPA2 gefährdet den Verschlüsselungsstandard für WLANs. Sicherheitsforscher haben eine Möglichkeit gefunden, wie sich WLAN-Clients und Access Points attackieren und deren Schlüssel knacken lassen. Updates schaffen Abhilfe – müssen aber von den Herstellern kommen. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Industrie 4.0 muss IT-Sicherheit noch lernen

IT-Sicherheit in der Fertigungsindustrie

Industrie 4.0 muss IT-Sicherheit noch lernen

Die vierte industrielle Revolution ist in vollem Gange. Mit ihr verschmelzen Welten, die zuvor nicht viel miteinander zu tun hatten: Cyber-physikalische Systeme (CPSs) in Produktions­prozessen sind heute alles andere als eine Seltenheit. Befürworter von Industrie 4.0 drängen auf eine vernetzte und effizientere Produktion, die gleichzeitig die Wettbewerbs­fähigkeit im Markt stärkt. lesen

iOS-Angriff zwischen Schachmatt und Remis

Checkm8 für Angriffe umständlich, für Jailbreaks nützlich

iOS-Angriff zwischen Schachmatt und Remis

Mit Checkm8 ist innerhalb eines Monats die zweite, gravierende Schwachstelle bei iOS-Geräten aufgetaucht. Deren Entdecker relativiert mittlerweile das Schadpotential und glaubt, dass seine Jailbreak-Methode für mehr Sicherheit sorgen könnte. lesen

Cyberkriminelle werden geschickter

Netscout Threat Intelligence Report

Cyberkriminelle werden geschickter

Der neueste Threat Intelligence Report von Netscout unterstreicht, wie dramatisch sich das Geschäftsmodell der Cyberkriminellen zu einem effizienten, globalen Unterfangen entwickelt hat. Er zeigt zudem, dass die Vielfalt und weltweite Verbreitung von staatlich gesteuerten APT-Gruppierungen (Advanced Persistent Threat) zugenommen hat. lesen

So einfach lässt sich das Precision Time Protocol angreifen

Precision Time Protocol gehackt

So einfach lässt sich das Precision Time Protocol angreifen

Aus latenzzeitkritischen Netzwerk-Applikationen ist das Precision Time Protocol nicht mehr wegzudenken. Forschern von IBM und dem Marist College haben es nun gehackt und Systemuhren um bis zu 48 Jahre verstellt. lesen

Compliance mit Open Source Tool im Griff behalten

Tool-Tipp: OpenSCAP

Compliance mit Open Source Tool im Griff behalten

Das Security Content Automation Protocol (SCAP) hilft mit Methoden dabei wichtige Sicherheitsrichtlinien im Unternehmen einzuhalten. Mit Programmen, wie zum Beispiel dem Open Source Tool OpenSCAP, lassen sich die dazugehörigen Richtlinien einlesen und mit den eigenen Systemen vergleichen. lesen

Augmented Reality und das Thema IT-Sicherheit

AR und Wearables

Augmented Reality und das Thema IT-Sicherheit

In den letzten Jahren haben sich AR-basierte Wearables am Markt etabliert und auch Unternehmen befassen sich verstärkt mit dieser Technologie. Wie alle Innovationen kämpft aber auch AR mit unternehmensinternen Widerständen. Dazu gehören auch Bedenken darüber, wie sicher die Lösungen sind. lesen

Security im Connected Car sicherstellen

Vernetzte Autos

Security im Connected Car sicherstellen

Moderne Fahrzeuge haben viele Funktionen mit Schnittstellen nach außen, die das Reisen angenehmer machen. Doch diese Schnittstellen sind auch Einfallstore für Angriffe aufs Fahrzeug. Abhilfe bringen hardwarebasierte Sicherheitsfunktionen. lesen

Was ist DANE?

Definition DNS-based Authentication of Named Entities (DANE)

Was ist DANE?

DNS-based Authentication of Named Entities (DANE) ist ein standardisiertes Verfahren, mit dem sich Zertifikate von Servern zur Verschlüs­selung von Webtraffic oder E-Mails per Domain Name System prüfen lassen. Dadurch sind Probleme mit nicht vertrauenswürdigen Zertifizierungsstellen auszuschließen. DANE nutzt Domain Name System Security Extensions (DNSSEC) und TLSA-Einträge. lesen

RDP ist riesiges Sicherheits­risiko für Unternehmen

RDP-Studie von Sophos

RDP ist riesiges Sicherheits­risiko für Unternehmen

Das bei vielen Admins beliebte Remote Desktop Protocol (RDP) stellt für Unternehmen ein großes Sicherheitsrisiko dar. Security-Anbieter Sophos hat seine knapp viermonatige Studie „RDP Exposed: The Threat That’s Already at your Door“ abgeschlossen und die Langzeit­ergebnisse veröffentlicht. Sie zeigt, wie Cyberkriminelle unerbittlich versuchen, Unternehmen via RDP anzugreifen. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 45448831 / Definitionen)