Virtual Private Networking
Standards und Marktübersicht
©2001
Diplomarbeit
119 Seiten
Zusammenfassung
Inhaltsangabe:Einleitung:
Der sicherlich größte Nutzen dieser Technologie liegt in der Möglichkeit, die teuren, gemieteten Standleitungen durch billige, frei verfügbare öffentliche Leitungen zu ersetzten. Da aber auch Standleitungen mehr und mehr von Angriffen betroffen sind, wird in letzter Zeit auch dazu übergegangen VPN Technologie über Frame-Relay Verbindungen anzuwenden.
Diese Diplomarbeit gibt einen Einführung in die Technologien, die hinter einem Virtuellen Privaten Netzwerk stecken. Es werden die technischen Grundlagen und die möglichen Topologien eines VPN erläutert, und auch die Gefahrenpotentiale im Internet, und die Möglichkeiten, die ein VPN bietet, diese Gefahren zu bekämpfen.
Weiters enthält die Arbeit einen Überblick über die in VPNs verwendeten Standards und Protokolle. Es werden dabei die Themen Kryptographie (Verschlüsselung und Authentifikation), Firewalling und die in VPNs verwendeten Protokolle besprochen.
Das Hauptaugenmerk liegt in einem Überblick der derzeit am Markt befindlichen VPN-Produkte, kategorisiert nach hardware- und softwarebasierten Produkten, und Firewalls, Switches und Router, die VPN Funktionalitäten implementiert haben. Zu diesen Produkten werden kurze Beschreibungen und die Schlüsselfunktionalitäten des jeweiligen Produktes angeführt. Den Abschluss dieses Kapitels bildet eine Zusammenfassung der beschriebenen Produkte in tabellarischer Form, wo die wichtigsten Funktionalitäten bezüglich VPN dargestellt werden.
Inhaltsverzeichnis:Inhaltsverzeichnis:
1.EINFÜHRUNG9
1.1Definition von Virtual Private Networking9
1.2Vorteile des Einsatzes von VPNs11
1.3Mögliche Topologien eines VPN12
1.3.1End-To-End-VPN12
1.3.2Site-To-Site-VPN13
1.3.3End-To-Site-VPN15
1.4Die Gefahren im Internet16
1.4.1Kryptographische Angriffe16
1.4.2Angriffe im Netz17
1.4.3Auswirkungen von Angriffen18
1.4.4Schutz durch VPN gegen Angriffe19
2.STANDARDS UND PROTOKOLLE20
2.1Kryptographie20
2.1.1Einführung20
2.1.2Grundlagen21
2.1.3Hashalgorithmen22
2.1.4Secret-Key-Systeme22
2.1.5Public-Key-Systeme23
2.1.6Standards23
2.2Firewalls27
2.2.1Definition27
2.2.2Grundlagen27
2.2.3Arten von Firewalls28
2.2.4Einsatz von Firewalls in einem VPN30
2.3Protokolle31
2.3.1Grundlagen31
2.3.2PAP35
2.3.3CHAP35
2.3.4MS-CHAP36
2.3.5RADIUS36
2.3.6SOCKS37
2.3.7X.50938
2.3.8SSL39
2.3.9PPP40
2.3.10PPTP40
2.3.11L2F42
2.3.12L2TP42
2.3.13IPSec43
2.3.14L2Sec46
2.3.15Vergleich IPSec/L2Sec47
3.MARKTÜBERSICHT VPN48
3.1Standalone […]
Der sicherlich größte Nutzen dieser Technologie liegt in der Möglichkeit, die teuren, gemieteten Standleitungen durch billige, frei verfügbare öffentliche Leitungen zu ersetzten. Da aber auch Standleitungen mehr und mehr von Angriffen betroffen sind, wird in letzter Zeit auch dazu übergegangen VPN Technologie über Frame-Relay Verbindungen anzuwenden.
Diese Diplomarbeit gibt einen Einführung in die Technologien, die hinter einem Virtuellen Privaten Netzwerk stecken. Es werden die technischen Grundlagen und die möglichen Topologien eines VPN erläutert, und auch die Gefahrenpotentiale im Internet, und die Möglichkeiten, die ein VPN bietet, diese Gefahren zu bekämpfen.
Weiters enthält die Arbeit einen Überblick über die in VPNs verwendeten Standards und Protokolle. Es werden dabei die Themen Kryptographie (Verschlüsselung und Authentifikation), Firewalling und die in VPNs verwendeten Protokolle besprochen.
Das Hauptaugenmerk liegt in einem Überblick der derzeit am Markt befindlichen VPN-Produkte, kategorisiert nach hardware- und softwarebasierten Produkten, und Firewalls, Switches und Router, die VPN Funktionalitäten implementiert haben. Zu diesen Produkten werden kurze Beschreibungen und die Schlüsselfunktionalitäten des jeweiligen Produktes angeführt. Den Abschluss dieses Kapitels bildet eine Zusammenfassung der beschriebenen Produkte in tabellarischer Form, wo die wichtigsten Funktionalitäten bezüglich VPN dargestellt werden.
Inhaltsverzeichnis:Inhaltsverzeichnis:
1.EINFÜHRUNG9
1.1Definition von Virtual Private Networking9
1.2Vorteile des Einsatzes von VPNs11
1.3Mögliche Topologien eines VPN12
1.3.1End-To-End-VPN12
1.3.2Site-To-Site-VPN13
1.3.3End-To-Site-VPN15
1.4Die Gefahren im Internet16
1.4.1Kryptographische Angriffe16
1.4.2Angriffe im Netz17
1.4.3Auswirkungen von Angriffen18
1.4.4Schutz durch VPN gegen Angriffe19
2.STANDARDS UND PROTOKOLLE20
2.1Kryptographie20
2.1.1Einführung20
2.1.2Grundlagen21
2.1.3Hashalgorithmen22
2.1.4Secret-Key-Systeme22
2.1.5Public-Key-Systeme23
2.1.6Standards23
2.2Firewalls27
2.2.1Definition27
2.2.2Grundlagen27
2.2.3Arten von Firewalls28
2.2.4Einsatz von Firewalls in einem VPN30
2.3Protokolle31
2.3.1Grundlagen31
2.3.2PAP35
2.3.3CHAP35
2.3.4MS-CHAP36
2.3.5RADIUS36
2.3.6SOCKS37
2.3.7X.50938
2.3.8SSL39
2.3.9PPP40
2.3.10PPTP40
2.3.11L2F42
2.3.12L2TP42
2.3.13IPSec43
2.3.14L2Sec46
2.3.15Vergleich IPSec/L2Sec47
3.MARKTÜBERSICHT VPN48
3.1Standalone […]
Leseprobe
Inhaltsverzeichnis
ID 4657
Igelsböck, Markus: Virtual Private Networking: Standards und Marktübersicht / Markus
Igelsböck - Hamburg: Diplomica GmbH, 2001
Zugl.: Linz, Universität, Diplom, 2001
Dieses Werk ist urheberrechtlich geschützt. Die dadurch begründeten Rechte, insbesondere die
der Übersetzung, des Nachdrucks, des Vortrags, der Entnahme von Abbildungen und Tabellen,
der Funksendung, der Mikroverfilmung oder der Vervielfältigung auf anderen Wegen und der
Speicherung in Datenverarbeitungsanlagen, bleiben, auch bei nur auszugsweiser Verwertung,
vorbehalten. Eine Vervielfältigung dieses Werkes oder von Teilen dieses Werkes ist auch im
Einzelfall nur in den Grenzen der gesetzlichen Bestimmungen des Urheberrechtsgesetzes der
Bundesrepublik Deutschland in der jeweils geltenden Fassung zulässig. Sie ist grundsätzlich
vergütungspflichtig. Zuwiderhandlungen unterliegen den Strafbestimmungen des
Urheberrechtes.
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem
Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche
Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten
wären und daher von jedermann benutzt werden dürften.
Die Informationen in diesem Werk wurden mit Sorgfalt erarbeitet. Dennoch können Fehler nicht
vollständig ausgeschlossen werden, und die Diplomarbeiten Agentur, die Autoren oder
Übersetzer übernehmen keine juristische Verantwortung oder irgendeine Haftung für evtl.
verbliebene fehlerhafte Angaben und deren Folgen.
Diplomica GmbH
http://www.diplom.de, Hamburg 2001
Printed in Germany
Wissensquellen gewinnbringend nutzen
Qualität, Praxisrelevanz und Aktualität zeichnen unsere Studien aus. Wir
bieten Ihnen im Auftrag unserer Autorinnen und Autoren Wirtschafts-
studien und wissenschaftliche Abschlussarbeiten Dissertationen,
Diplomarbeiten, Magisterarbeiten, Staatsexamensarbeiten und Studien-
arbeiten zum Kauf. Sie wurden an deutschen Universitäten, Fachhoch-
schulen, Akademien oder vergleichbaren Institutionen der Europäischen
Union geschrieben. Der Notendurchschnitt liegt bei 1,5.
Wettbewerbsvorteile verschaffen Vergleichen Sie den Preis unserer
Studien mit den Honoraren externer Berater. Um dieses Wissen selbst
zusammenzutragen, müssten Sie viel Zeit und Geld aufbringen.
http://www.diplom.de bietet Ihnen unser vollständiges Lieferprogramm
mit mehreren tausend Studien im Internet. Neben dem Online-Katalog und
der Online-Suchmaschine für Ihre Recherche steht Ihnen auch eine Online-
Bestellfunktion zur Verfügung. Inhaltliche Zusammenfassungen und
Inhaltsverzeichnisse zu jeder Studie sind im Internet einsehbar.
Individueller Service
Gerne senden wir Ihnen auch unseren Papier-
katalog zu. Bitte fordern Sie Ihr individuelles Exemplar bei uns an. Für
Fragen, Anregungen und individuelle Anfragen stehen wir Ihnen gerne zur
Verfügung. Wir freuen uns auf eine gute Zusammenarbeit.
Ihr Team der Diplomarbeiten Agentur
3
Inhaltsverzeichnis
1 EINFÜHRUNG...9
1.1
Definition von Virtual Private Networking ... 9
1.2
Vorteile des Einsatzes von VPNs... 11
1.3
Mögliche Topologien eines VPN ... 12
1.3.1
End-To-End-VPN... 12
1.3.2
Site-To-Site-VPN ... 13
1.3.3
End-To-Site-VPN... 15
1.4
Die Gefahren im Internet ... 16
1.4.1
Kryptographische Angriffe ... 16
1.4.2
Angriffe im Netz ... 17
1.4.3
Auswirkungen von Angriffen... 18
1.4.4
Schutz durch VPN gegen Angriffe... 19
2 STANDARDS UND PROTOKOLLE...20
2.1
Kryptographie ... 20
2.1.1
Einführung... 20
2.1.2
Grundlagen... 21
Inhaltsverzeichnis
4
2.1.3
Hashalgorithmen ... 22
2.1.4
Secret-Key-Systeme ... 23
2.1.5
Public-Key-Systeme ... 23
2.1.6
Standards ... 24
2.2
Firewalls ... 27
2.2.1
Definition ... 27
2.2.2
Grundlagen... 28
2.2.3
Arten von Firewalls ... 28
2.2.4
Einsatz von Firewalls in einem VPN ... 30
2.3
Protokolle ... 31
2.3.1
Grundlagen... 31
2.3.2
PAP... 35
2.3.3
CHAP ... 35
2.3.4
MS-CHAP ... 37
2.3.5
RADIUS ... 37
2.3.6
SOCKS... 38
2.3.7
X.509 ... 39
2.3.8
SSL... 40
2.3.9
PPP ... 41
2.3.10
PPTP... 41
2.3.11
L2F ... 43
2.3.12
L2TP... 43
2.3.13
IPSec... 44
2.3.14
L2Sec... 47
2.3.15
Vergleich IPSec/L2Sec ... 48
3 MARKTÜBERSICHT VPN ...49
3.1
Standalone Hardware VPNs ... 50
3.1.1
Altiga VPN Concentrator... 50
3.1.2
Enterasys Aurorean Network Gateway 1000 ... 50
3.1.3
Kentrox Secure Vision Produktfamilie ... 50
3.1.4
Radguard clPro-5000... 51
3.1.5
RedCreek Ravlin Produktfamilie ... 51
Inhaltsverzeichnis
5
3.1.6
Shiva LANRover VPN-Express... 51
3.1.7
VPNet VPNWare VPN Service Units... 52
3.2
Softwarebasierende VPNs ... 52
3.2.1
Aventail ExtraNet Center... 52
3.2.2
eTunnels VPN-On-Demand ... 53
3.2.3
Microsoft Windows NT 4.0/Windows 2000 ... 53
3.2.4
Novell Border Manager... 53
3.2.5
SSH Communications Security - SSH ... 54
3.2.6
V-One Smartgate ... 54
3.3
Firewallbasierende Lösungen... 54
3.3.1
Astaro Astaro Security Linux... 54
3.3.2
Axent - Raptor Firewall 6.5... 55
3.3.3
Bintec SaferNet ... 56
3.3.4
Biodata - BIG Application ... 57
3.3.5
Biodata - BIGfire+ ... 57
3.3.6
BorderWare - Firewall Server... 59
3.3.7
Bull Access Master Netwall ... 60
3.3.8
Check Point - VPN-1... 60
3.3.9
Cisco - Secure PIX ... 62
3.3.10
Cloud Connector Cloud Connector Firewall/VPN Serie ... 63
3.3.11
Cyberguard Cyberguard Firewall... 63
3.3.12
Extend Systems - ExtendNet 4000... 63
3.3.13
F-Secure Distributed Firewall ... 65
3.3.14
Fbit Linux Wall ... 65
3.3.15
Genua Genugate Produktfamilie ... 66
3.3.16
Hewlett-Packard Präsidium E-Firewall... 66
3.3.17
IBM IBM Firewall ... 66
3.3.18
Lucent Technologies - Managed Firewall... 66
3.3.19
Matra Net MS Wall ... 67
3.3.20
Netasq Netasq F 100 ... 67
3.3.21
Netguard - GuardianPro ... 68
3.3.22
Netopia S9500 Security Appliance ... 68
3.3.23
NetScreen Firewall-5 (10/100/1000)... 69
Inhaltsverzeichnis
6
3.3.24
Network Associates Gauntlet Firewall... 69
3.3.25
Nokia Nokia IP 330 Nokia IP 600 ... 69
3.3.26
Pyramid Ben Hur... 69
3.3.27
Secure Computing Sidewinder... 70
3.3.28
Sonic Systems - SonicWall ... 70
3.3.29
Sun Sunscreen... 70
3.3.30
Trustworks Systems 3
rd
Generation VPN Suite ... 71
3.3.31
Utimaco Software SafeGuard VPN... 71
3.3.32
Valuesoft (Virtual) Gateland ... 71
3.3.33
Watchguard FireBox II... 71
3.3.34
Watchguard Watchguard SOHO ... 72
3.4
Router-/switchbasierende Produkte ... 72
3.4.1
ADI Dynamic-VPN-Switching Produktfamilie ... 72
3.4.2
Cisco Router Produktfamilie ... 73
3.4.3
Ericsson Tigris IP Produktfamilie ... 73
3.4.4
Nortel Networks Contivity VPN Switches... 74
3.5
Übersicht VPN Produkte ... 74
4 MARKTÜBERSICHT ISP...88
4.1
Backbone Provider... 89
4.1.1
Above Net ... 89
4.1.2
Alcatel ... 89
4.1.3
AT & T... 89
4.1.4
CWIX ... 89
4.1.5
debil... 90
4.1.6
eWave ... 90
4.1.7
Global One ... 90
4.1.8
ISION Internet AG... 90
4.1.9
KPNQwest... 90
4.1.10
Nacamar ... 91
4.1.11
NETwork.ORG ... 91
4.1.12
Network Training & Consulting ... 91
4.1.13
RZ-Council... 91
Inhaltsverzeichnis
7
4.1.14
Teleglobe ... 91
4.1.15
Telekom... 92
4.2
Access Provider ... 92
4.2.1
ACSIS... 92
4.2.2
ADIS... 92
4.2.3
Austria-One/OoeNet... 92
4.2.4
B.I.O.S... 93
4.2.5
cheese! ... 93
4.2.6
comteam ... 93
4.2.7
Cybertron... 93
4.2.8
extranet... 94
4.2.9
g.a.m.s ... 94
4.2.10
IC... 94
4.2.11
Infotech... 94
4.2.12
I-Node... 95
4.2.13
Internet Aktiv ... 95
4.2.14
I-sp... 95
4.2.15
iZone... 95
4.2.16
KABSI ... 96
4.2.17
Kapper & Partner ... 96
4.2.18
KT-net ... 96
4.2.19
MCB... 96
4.2.20
MCN... 97
4.2.21
Merlin ... 97
4.2.22
mmc... 97
4.2.23
MyCity ... 97
4.2.24
Net4You... 98
4.2.25
Netcompany ... 98
4.2.26
Netway ... 98
4.2.27
Nextra (Magnet) ... 98
4.2.28
ntc.at ... 99
4.2.29
PGV... 99
4.2.30
PrimeKOM Consulting ... 99
4.2.31
PSINet ... 99
Inhaltsverzeichnis
8
4.2.32
RIS... 100
4.2.33
Simon Media ... 100
4.2.34
Telebox... 100
4.2.35
Telecom... 100
4.2.36
telering... 101
4.2.37
Tripple @ ... 101
4.2.38
Tronic Planet ... 101
4.2.39
UTA... 101
4.2.40
Vianet ... 102
4.2.41
VOL... 102
4.2.42
YC net.works... 102
4.3
Übersicht ISP... 102
5 SCHLUSSBETRACHTUNG... 104
ANHANG A GLOSSAR DER BEGRIFFE UND ABKÜRZUNGEN ... 106
ANHANG B LITERATURVERZEICHNIS... 109
ANHANG C ABBILDUNGSVERZEICHNIS... 114
9
1
EINFÜHRUNG
Dieses Kapitel gibt einen Überblick über die Thematik Virtual Private Networking,
über mögliche Ausprägungen eines VPN, über die Gefahren, die im Internet lauern
und es wird behandelt, ob und wie ein VPN gegen diese Gefahren schützen kann.
1.1
Definition von Virtual Private Networking
Bei der Definition eines VPN besteht das Problem einer nicht existierenden, klaren
Abgrenzung und Definition. Dennoch wird an dieser Stelle versucht aufgrund
typischer Merkmale eine gewisse Terminierung vorzunehmen.
Ein VPN bietet die Möglichkeit, in einem öffentlichen Netz wie dem Internet ein
sicheres, privates Netz aufzubauen. Mittels geeigneter Hardware und/oder Software
lassen sich geschützte Verbindungen über ein öffentliches Netz aufbauen. [Scott et
al. 1999, S. 2]
Kapitel 1 - Einführung
10
Als Protokoll zur Übertragung der Daten innerhalb eines VPN wird das Internet
Protocol (IP) verwendet. Weitere Grundkomponenten zum Aufbau eines VPN sind:
-
VPN-Server;
-
VPN-Client;
-
Tunneling;
-
Verschlüsselung;
-
Authentifikation;
-
Zugriffskontrollmechanismen.
Die Einsatzmöglichkeiten von VPNs entsprechen denen anderer privater Netzwerke,
wobei einige Anwendungen erheblich vereinfacht werden und sogar neue
hinzukommen, die mit klassischen Netzstrukturen nicht oder nur unter großem
Aufwand zu realisieren sind, wie da sind
-
Verbindung von LANs an verschiedenen Standorten eines Unternehmens;
-
Anbindung von Außendienstanbietern an interne Firmennetze;
-
Erweiterung von Firmennetze auf Zulieferer und Geschäftspartner (E-
Commerce);
-
sichere Datenübertragung für Online-Banking Kunden zum Bankrechner.
Abbildung 1 Virtuelles privates Netzwerk [Microsoft 1999, S. 1]
Kapitel 1 - Einführung
11
In jedem Fall stellt sich die sichere Verbindung über das Netzwerk dem Benutzer so
dar, als würde er über ein privates Netzwerk kommunizieren, obwohl die
Kommunikation real über ein öffentliches Netz stattfindet. Daher die Bezeichnung
Virtuelles Privates Netzwerk.
1.2
Vorteile des Einsatzes von VPNs
Aus der Sicht des Anwenders liegen die Hauptvorteile des Einsatzes von VPNs in
den im Vergleich zu Direktverbindungen geringen Unterhaltskosten und in der
erheblich vereinfachten Administration des Gesamtnetzwerks. Hinzu kommt, dass
das VPN mit geringem Aufwand beliebig erweiterbar ist und vorhandene LAN-
Strukturen beim Aufbau übernommen werden können.
Das VPN ersetzt zum Beispiel teure angemietete Leitungen zwischen verschiedenen
Standorten durch virtuelle Verbindungen, die bei Bedarf aktiviert werden können. So
entstehen keine Kosten für ungenutzte Kapazitäten. Für die Anbindung von
Außendienstmitarbeitern wird keine eigene Modem-Bank mit Remote Access Server
für Einwahlverbindungen benötigt, da sich diese Mitarbeiter über einen beliebigen
PoP ihres ISP mit dem firmeneigenen Netz verbinden können. Für die Internet- und
VPN-Anbindung können dieselben Hardware-Komponenten verwendet werden,
wodurch der Administrationsaufwand und die Anschaffungskosten minimiert
werden.
Zusammenfassend ergeben sich folgende Vorteile:
-
Geringere Unterhaltskosten als angemietete Leitungen;
-
einfachere Administration;
-
beliebige Erweiterung unter Erhaltung vorhandener Teilnetzstrukturen;
-
eigene Modem-Bänke werden unnötig;
-
vorhandene Internet-Hardware kann verwendet werden, um ein VPN aufzubauen.
Kapitel 1 - Einführung
12
1.3
Mögliche Topologien eines VPN
1.3.1
End-To-End-VPN
Diese Art von einem VPN stellt eine direkte Verbindung zwischen mehreren
Arbeitsrechnern dar. Ein End-To-End-VPN wird eingesetzt, um Bankkunden über
das Internet sicher mit einem Buchungsrechner zu verbinden, oder um mehreren
Personen an verschiedenen Standorten die Arbeit an gemeinsamen Projekten zu
erleichtern.
Abbildung 2 End-To-End VPN
Bei jedem an dieses VPN angeschlossenen Rechner muss ein entsprechendes VPN-
Protokoll installiert sein, da die Arbeitsrechner direkt untereinander und nicht über
zwischengeschaltete VPN-Server verbunden werden.
Kapitel 1 - Einführung
13
Protokolle, die für den Aufbau von End-to-End-VPNs geeignet sind, sind L2F, L2TP
und IPSec, wobei für Anwendungen, die ein Höchstmaß an Sicherheit erfordern, das
Protokoll IPSec am besten geeignet ist. Bei dieser Konfiguration ergibt sich aber
immer das Problem der Verwaltung des Netzwerks. Für den Fall des Online-Banking
wird die Verwaltung vom Bankrechner übernommen. Im Falle der verteilten Projekte
muss jede der Stationen die Zugriffe von allen anderen Rechnern selbst verwalten, da
der Austausch von Daten der einzelnen Projektteilnehmer untereinander möglich sein
muss.
1.3.2
Site-To-Site-VPN
Diese Konfiguration eignet sich zum Beispiel, um Firmennetzwerke
zusammenzuschließen, Krankenhäuser zum Datenaustausch zu verbinden, oder
Forschungsnetze mit mehreren Forschungsgruppen aufzubauen. Site-To-Site-VPNs
stellen die klassische VPN-Variante dar.
Der Aufbau der Verbindung zum ISP erfolgt entweder über eine Stand leitung oder
über eine DFÜ-Verbindung.
Abbildung 3 Verbinden von zwei Remotestandorten unter Verwendung
eines VPNs [Microsoft 1999, S. 4]
Man unterscheidet zwischen Intranet VPNs und Extranet VPNs, die verschiedenen
Sicherheitskonfigurationen genügen müssen.
Kapitel 1 - Einführung
14
Intranet VPN
Darunter versteht man Netze, die zur Erweiterung interner LANs dienen. Abbildung
3 zeigt ein typisches Beispiel für ein Intranet VPN. Es wird davon ausgegangen, dass
jede der angeschlossenen Parteien den anderen Parteien voll vertrauen kann, und
dass alle Ressourcen im Netz allen Parteien zugänglich sein sollen. Hier wird bei
einem Mindestmaß an Sicherheit hauptsächlich Wert auf Geschwindigkeit gelegt.
Um die Datensicherheit zu erhöhe n, können Zugriffsbeschränkungen auf
Benutzerebene eingesetzt werden.
Als Protokoll kann hier zum Beispiel IPSec im Transportmodus eingesetzt werden.
Dabei sind die transportierten Daten auf ihrem Weg durch das Internet durch eine
Verschlüsselung geschützt und es werden nur wenige zusätzliche Byte für den IPSec-
Kopf benötigt.
Extranet VPN
Im Vergleich zu Intranet-VPNs wird hier ein viel größerer Wert auf die Sicherheit
gelegt. Extranet VPNs werden eingesetzt, um das interne Netz einer Firma mit den
Netzen von Geschäftspartnern und Zulieferern zu verbinden. Hierbei muss das VPN
gewährleisten, dass jeder Teilnehmer nur auf die für ihn bestimmten Ressourcen
Zugriff erlangen kann.
Das Datenaufkommen in Extranet VPNs ist im allgemeinen geringer als in Intranet-
VPNs, sodass man zur Realisierung ohne weiteres Lösungen einsetzen kann, die bei
geringerer Geschwindigkeit ein Höchstmaß an Sicherheit bieten. Hierzu kann
SOCKS v5 und SSL verwendet werden, da diese Kombination in Verbindung mit
einer geeigneten Firewall auch Kontrolle über die Zugriffe einzelner Anwendungen
erlaubt.
Kapitel 1 - Einführung
15
1.3.3
End-To-Site-VPN
End-To-Site-VPNs oder Remote-Access VPNs dienen in erste Linie zur Anbindung
von Außendienstmitarbeitern an ein internes Firmennetz. Abbildung 4 zeigt eine
derartige Konfiguration. Der Hauptteil eines solchen Netzwerkes besteht darin, dass
sich die Mitglieder über einen beliebigen PoP des ISP der Firma in das Netz
einwählen können. Dadurch werden die meistens sehr hohen Kosten für
Fernverbindungen reduziert, und das Unternehmen ist nicht gezwungen, eigene
Modem-Bänke zu unterhalten und zu administrieren.
Abbildung 4 Verbindung eines Remoteclients mit einem privaten LAN
unter Verwendung eins VPNs [Microsoft 1999, S. 3]
Für den Aufbau eines End-to-Site-VPNs eignen sich im besonderen
adressunabhä ngige VPN-Protokolle wie PPTP, da der Großteil der ISP mit
dynamischen IP-Adressen arbeiten. Auf Seiten der Sicherheit wird bei diesem VPN-
Typ großer Wert auf die Identifizierung der einzelnen mobilen Mitarbeiter gelegt,
um das Firmennetz gegen Angriffe Dritter abzusichern. Hierzu kann ein RADIUS-
Server verwendet werden, der dann unabhängig vom benutzen VPN-Protokoll eine
zusätzliche Benutzeridentifizierung anhand einer eigenen Datenbank vornehmen
kann. Alternativ ist auch hier eine Konfiguration mit SOCKS v5 in Kombination mit
einem solchen RADIUS-Server vorstellbar.
Kapitel 1 - Einführung
16
1.4
Die Gefahren im Internet
In diesem Abschnitt wird aufgezeigt, welche Angriffsmöglichkeiten das Internet
bietet, Daten bei der Übertragung abzufangen, zu lesen und zu manipulieren. Da bei
der Kommunikation über öffentliche Netzwerke wie dem Internet, die Daten
zunächst vollkommen ungeschützt sind und nicht vertrauenswürdige Wege gehen,
gibt es eine Vielzahl von Schwachstellen, wo Angreifer ansetzen können.
Im Laufe der Zeit haben sich auch die potentiellen Angreifer geändert. Waren es
früher die ,,Hacker", die aus dem Untergrund Angriffe starteten um Aufsehen zu
erregen, so muss man jetzt immer mehr mit Attacken aus dem Bereichen der
Industriespionage und der Geheimdienste rechnen.
Die im Internet am meisten genutzten Dienste sind E-Mail (Protokolle POP, SMTP
und IMAP), das World Wide Web (Protokolle http und HTTPS) und andere Dienste
wie DNS, FTP, Video- und Audio-Streaming.
1.4.1
Kryptographische Angriffe
Angriffe auf kryptographische Verfahren sind zeitaufwendig und kompliziert. Man
unterscheidet grundsätzlich zwischen Angriffen auf den Chiffretext und auf
Passwörter. Bei Einsatz von starken Verschlüsselungsalgorithmen ist es aus heutiger
Sicht beinahe unmöglich, eine chiffrierten Text zu entschlüsseln. Deshalb widmen
wir uns den Gefahren des Erratens von Passwörtern und des Social Engineerings.
Erraten von Passwörtern
Da es mathematisch schwierig ist, das ursprüngliche Passwort aus einem
verschlüsselten Passwort abzuleiten, probieren Programme zum Erraten von
Passwörtern meist nicht alle Zeichenfolgen aus, sondern beschränken die Suche auf
die von Benutzern bevorzugten Passwörter. Diese Programme arbeiten im Regelfall
mit Wörterbüchern gängiger Wörter (in mehreren Sprachen), einschließlich
zahlreicher Eigennamen für Personen und Orte. Aus diesem Grund sollten immer
unübliche Zeichenfolgen (auch in Kombination mit Ziffern und Sonderzeichen)
verwendet werden, da im Grunde einfache Passwörter keinen Schutz bieten.
Kapitel 1 - Einführung
17
Social Engineering
Hier handelt es sich um die einfachste und vielleicht älteste Methode von Angriffen.
Es werden z. B. Fragebogen mit persönlichen Fragen versendet und auf die
Beantwortung dieser Fragebögen Belohnungen ausgesetzt. Der Versuch ein Passwort
zu knacken kann ohne Anhaltspunkte Monate in Anspruch nehmen, jedoch kann
anhand der Informationen, die aus einem derartigen Fragebogen gewonnen werden,
die Anzahl der möglichen Kombinationen soweit reduziert werden, dass die Zeit zum
Knacken eines Benutzerpasswortes nur noch 10 bis 15 Minuten in Anspruch nimmt.
Social Engineering ist auf viele Arten möglich und gilt gemeinhin als der leichteste
und erfolgreichste Angriff. Selbst ein 1024 Bit langer privater RSA-Schlüssel wird
durch eine Passphrase oder ein Passwort geschützt, das leicht per Social Engineering
herauszubekommen wäre.
1.4.2
Angriffe im Netz
Denial-of-Sevice-Angriff (Verweigerung von Diensten)
In diesem Fall hat der Angreifer kein anderes Ziel als, als einen Computer zu
blockieren, um zu verhindern, dass man ihn benutzen kann. Dafür gibt es eine Re ihe
von Strategien:
-
Die Netzschnittstelle mit Nachrichten überfluten;
-
Senden von ungültigen Paketen an einen Rechner, die ihn ständig abstürzen
lassen;
-
Unbrauchbarmachen des gesamten Netzes;
-
Man kann diese Art von Angriff etwa wie folgt vergleichen: Sie werden den
gesamten Tag permanent von einer Person angerufen, die sofort wieder auflegt,
so dass sie den gesamten Tag sinnlos beschäftigt sind.
Kapitel 1 - Einführung
18
Address-Spoofing (Vortäuschen einer falschen IP-Adresse)
Diese Art von Angriff hat seinen Ursprung in einer Schwäche der momentanen IP-
Implementierung. Aufgrund der Vorgehensweise beim Paket-Routing und dem
Aufbau der Header-Informationen ist es schwierig nachzuweisen, welchen Weg ein
Paket von Adresse A zu Adresse B durchläuft. Es ist zusätzlich nicht gewährleistet,
dass ein Paket von Adresse A auch tatsächlich von dort stammt. Der Angreifer hat
aufgrund dieser Schwäche die Möglichkeit, den Routern und dem System des
Angriffsziels einen anderen Ursprung vo rzutäuschen.
Session Hijacking (Übernahme einer Sitzung)
Ein Angreifer kann mit Hilfe der im vorigen Absatz beschriebenen Methode auch die
gesamte Sitzung zwischen Adresse A und Adresse B übernehmen. Häufiges
Angriffsziel ist eine Client/Server-Kommunikation, bei der sich der Angreifer als
Server ausgibt. Sollte es so einem Angreifer gelingen, in den Mail- oder File-Server
einer Organisation einzudringen, erhält er vertrauliche Daten.
Man-in-the-Middle-Angriff
Durch das Vortäuschen falscher IP-Adressen kann sich ein Angreifer auch als A
ausgeben und manipulierte Anfragen an B senden. Dazu werden die von A zu B
gesendeten Nachrichten vom Man-in-the-Middle abgefangen. Er kann diese Daten
nun manipulieren oder auch nur speichern, oder zur Kenntnis nehmen. Dann werden
die Daten zu B weitergesendet, ohne dass eine der beiden Partein etwas davon
bemerkt. Mit dem Datenverkehr von B nach A wird genau so verfahren.
1.4.3
Auswirkungen von Angriffen
Finanzieller Schaden
Durch einen Einbruch entsteht dem Geschädigten ein finanzieller Schaden, z. B. der
Verlust finanzieller Mittel durch Offenlegung von Passwörtern, Geheimnummern
oder Transaktionsnummern, die Offenlegung innovativer oder patentierter
Techniken.
Kapitel 1 - Einführung
19
Imageverlust
Ein bekanntgewordener, erfolgreicher Einbruchsversuch kann sowohl vorhandene als
auch potentielle Kunden abschrecken. Das Ansehen in der Branche kann gefährdet
sein.
Verlust geheimer Informationen
Dritte können nicht-öffentliche Informationen einsehen, verwenden oder publizieren.
Zeitverlust
Erfolgreiche Einbruchversuche bzw. die Kenntnis von Informationen, können ein
Projekt behindern bzw. scheitern lassen und dadurch unnötig verlängern.
Verlust und Veränderung von Daten
Wichtige unternehmensinterne Daten können gelöscht werden und dadurch
unverfügbar gemacht werden.
Abstreitbarkeit von Transaktionen
Eine getätigte Transaktion kann durch die Kenntnis von geheimen Informationen
abgestritten werden oder rückgängig gemacht werden (z. B. Banküberweisung).
Noch schlimmer stellt sich die Situation dar, falls der Einbruch unbemerkt bleibt. In
einem derartigen Fall kann der Angreifer unbemerkt über einen längeren Zeitraum
Schaden anric hten.
1.4.4
Schutz durch VPN gegen Angriffe
Gegen die häufigste Art von Angriffen, nämlich das Social Engineering, bieten die in
VPNs verwendeten Technologien keinen Schutz. Des weiteren ist anzumerken, dass
die bei einem VPN zum Einsatz kommenden Protokolle nur die Datenübermittlung
schützen. Die Daten selbst liegen auf den Quell- und Zielrechnern unverschlüsselt
vor. Daher müssen den weiteren Schutz der Daten Anwendungsprogramme
übernehmen.
Wie weit einzelne Protokolle Schutz vor Angriffen aus dem Internet bieten, wird
später bei den einzelnen Protokollen näher beha ndelt.
20
2
S
TANDARDS UND
P
ROTOKOLLE
In diesem Kapitel wird ein Überblick über in VPNs verwendete Standards und
Protokolle gegeben. Es werden dabei die Themen Kryptographie (Verschlüsselung
und Authentifikation), Firewalling und die in VPNs verwendeten Protokolle
erläutert.
2.1
Kryptographie
2.1.1
Einführung
Da VPNs im Regelfall kryptographische Verfahren verwenden, wird hier auf die
grundlegenden Konzepte der Kryptographie und auf die am häufigsten verwendeten
Standards eingega ngen.
Kapitel 2 Standards und Protokolle
21
In früheren Jahren wurde Kryptographie primär dazu verwendet, Informationen vor
einem bestimmten Personenkreisen geheim zu halten. Aus diesem Grund wurde
diese Wissenschaft auch hauptsächlich von Regierungen und Militärs betrieben.
Heute wird Kryptographie nicht nur dazu verwendet, um Daten bzw. Informationen
geheim zu halten, sondern es können mit Hilfe der Kryptographie auch
Informationen auf ihre Authentizität hin überprüft werden oder Personen
authentifiziert werden.
Bei der Verschlüsselung werden Daten so verändert, daß sie nur vom gewünschten
Empfänger lesbar sind, da nur dieser weiß, wie sie zu entschlüsseln sind. Ein
Verschlüsselungstext enthält als Eingabe Klartext (dabei muss es sich nicht wirklich
um Text handeln, es können auch Binärdaten sein); die Ausgabe wird Chiffretext
genannt. Ein wesentlicher Aspekt der Verschlüsselung ist es, dass ein Angreifer sehr
großen Aufwand investieren muss oder sehr viel Zeit benötigt, um die verborgenen
Informationen offenzulegen. Zur Chiffrierung werden mathematische Verfahren
eingesetzt, die die Daten so transformieren, dass eine Umkehrung der
Transformation nur sehr schwer und mit immensem Aufwand möglich ist. [Scott et
al. 1999 S. 23]
Mit Hilfe der Authentifikation kann die Identität einer Person überprüft werden. So
wird mit großer Sicherheit gewährleistet, dass es sich tatsächlich um die
entsprechende Person handelt, mit der man glaubt, in Verbindung zu stehen.
Zusammenfassend kann man sagen, dass Kryptographie zur Erreichung folgender
Ziele eingesetzt wird:
-
Vertraulichkeit (Geheimhaltung von Daten vor Dritten);
-
Authentizität (Sicherstellung, dass eine Nachricht wirklich vom angegebenen
Sender verschickt wurde);
-
Integrität (Sicherstellung, dass eine Nachricht auf dem Weg vom Sender zum
Empfänger nicht verändert wurde).
2.1.2
Grundlagen
Die zugrundeliegenden Algorithmen greifen im wesentlichen auf Varianten der
Modulo-Operation zurück. Der Modul zweier Zahlen ergibt sich aus dem Rest, der
bei Division der ersten durch die zweite Zahl bleibt. 23 MOD 7 ergibt z. B. 2, denn
23 dividiert durch 7 ist 3 Rest 2.
Kapitel 2 Standards und Protokolle
22
Die Modulo-Operation hat zwei für die Kryptographie wichtige Eigenschaften.
-
Das Ergebnis ist nie größer als der zweite Operand minus 1.
-
Es ist unmöglich, den zweiten Operanden abzuleiten, auch wenn der erste
Operand und das Ergebnis bekannt sind.
Vor allem die Eigenschaft, dass sich eine Modulo-Operation nicht umkehren lässt,
stellt einen großen Sicherheitsfaktor in einer Chiffrierung dar.
Es gibt drei grundlegende Arten von Verschlüsselungsverfahren. Die erste Kategorie
arbeitet zur Umwandlung von Klartext in Chiffretext mit einer Einwegtransfo rmation
(Hashalgorithmen). Die zweite und dritte Kategorie sind Secret-Key- und Public-Key
Verfahren, die im allgemeinen auch als asymmetrische und symmetrische bzw. Ein-
Schlüssel- und Zwei-Schlüssel-Verfahren bezeichnet werden.
2.1.3
Hashalgorithmen
Hashalgorithmen, die auch Message Digset oder Einweg-Hashfunktionen genannt
werden, erhalten eine beliebige Zeichenfolge als Eingabe und konvertieren sie
mathematisch in einen Einweg-Hashwert fester Länge (üblich sind 128 oder 130
Bit). Hashwerte werden normalerweise verwendet, um die Gültigkeit einer Nachricht
oder eines Passwortes zu überprüfen und stellen somit eine Art Prüfsumme dar. Ein
typisches Einsatzgebiet ist zum Beispiel, wenn ein Benutzer vom System
authentifiziert werden muss, das Passwort aber nicht unve rschlüsselt auf der
Festplatte gespeichert sein soll, da damit die Sicherheit aller Benutzer des Systems
gefährdet wäre. Wenn lediglich die Hashwerte der Passwörter abgelegt werden, kann
ein Angreifer mit der Passwortdatei noch nicht viel anfangen. [Scott et al. 1999 S.
26]
Kapitel 2 Standards und Protokolle
23
2.1.4
Secret-Key-Systeme
Secret-Key-Systeme erhalten als Eingabe eine Nachricht variabler Länge und einen
geheimen Schlüssel, anhand dessen die Nachricht in Chiffretext transformiert wird.
Zusätzlich zum Hashalgorithmus wird auch noch eine unabhängige
benutzerspezifische Variable verwendet. Im Gegensatz zum Hashalgorithmus, der
aus einer Eingabe variabler Länge eine Ausgabe fester Länge erzeugt, bearbeitet das
Secret-Key-System die Eingabe als aufeinanderfolgende Blöcke fester Länge und
verwendet einen Schlüssel feste Länge, um ein Ergebnis variabler Länge zu
erzeugen.
Der geheime Schlüssel bestimmt die Gesamtsicherheit des Systems. Bei einem zu
kurzen Schlüssel, wie z. B. bei einem Schlüssel mit einem Byte (8 Bit), bräuchte ein
Kryptoanalytiker nur 256 mögliche Schlüssel durchprobieren.
Die Vorgehensweise kann wie folgt dargestellt werden:
-
A und B vereinbaren einen Algorithmus zur Verschlüsselung;
-
A und B vereinbaren einen Schlüssel;
-
A verschlüsselt den Klartext mit dem vereinbarten Protokoll und dem
vereinbarten Schlüssel;
-
A schickt die verschlüsselte Nachricht an B;
-
B entschlüsselt die Nachricht mit dem vereinbarten Algorithmus und dem
vereinbarten Schlüssel.
2.1.5
Public-Key-Systeme
Public-Key-Systeme stehen für eine Reihe unterschiedlicher Aufgaben zur
Verfügung. Digitale Signaturen, Schlüsselaustausch oder auch Authentifizierung
ohne Verschlüsselung sind die Gebiete, wo Public-Key-Systeme eingesetzt werden.
Diesen Systemen liegt allerdings ein gemeinsames Konzept zugrunde: Es gibt immer
eine private und eine öffentliche Komponente. Aus der Namensgebung kann man
schon erkennen, dass die private Komponente geheim gehalten und die öffentliche
Komponente verbreitet wird.
Die Vorgehensweise kann wie folgt beschrieben werden:
-
A und B vereinbaren ein asymmetrischen Verfahren zur Verschlüsselung;
-
B gibt A seinen öffentlichen Schlüssel;
Kapitel 2 Standards und Protokolle
24
-
A verschlüsselt den Klartext mit dem öffentlichen Schlüssel von B und sendet die
verschlüsselte Nachricht an B;
-
B entschlüsselt die Nachricht mit seinem privaten Schlüssel.
2.1.6
Standards
Hashalgorithmen
MD2
Message Digest 2 ist eine Einweg-Hash Funktion, die von Ron Rivest entwickelt
wurde. Nähere Informationen in RFC 1319 (Request for Comment) bei [IETF
2000].
MD3
Wurde nie veröffentlicht, da der Algorithmus Angriffen nicht stand hielt.
MD4
Message Digest 4 wurde ebenfalls von Ron Rivest entwickelt, und errechnet einen
128 Bit Hashwert. Nähere Informationen in RFC 1320 bei [IETF 2000].
MD5
Message Digest 5 ist die Weiterentwicklung von MD4 und erzeugt ebenfalls einen
128 Bit Hashwert. Nähere Informationen in RFC 1321 bei [IETF 2000].
SHA
Der Secure Hash Algorithm (SHA) wurde vom NIST (National Institute of Standards
and Technology) entwickelt und ging in den Digital Signature Standard (DSS) ein.
SHA errechnet einen 160 Bit Hashwert. SHA besitzt gegenüber MD4 einen
zusätzlichen Durchlauf und einen verbesserten Avalanche-Effekt. Momentan gibt es
keinen bekannten kryptographischen Angriff gegen SHA.
RIPE-MD
Auch dieser Algorithmus ist eine Variante von MD4, der speziell verändert wurde,
um den bekannten Attacken gegen MD4 standzuhalten. Der RIPE-MD erstellt
standardmäßig einen 128 Bit Hashwert, jedoch gibt es auch RIPE-MD Algorithmen,
die einen 160 Bit Hashwert erzeugen.
Kapitel 2 Standards und Protokolle
25
Entwickelt wurde der RIPE Message Digest vom RIPE (Reseaux IP Europeaenne).
Das ist jene Institution, die in Europa für die Vergabe von IP-Adressen
verantwortlich ist.
Secret-Key-Systeme
DES
Der Data Encryption Standard (DES) wurde 1977 vom NBS (National Bureau of
Standards) für vertrauliche Informationen der US-Regierung und kommerzielle
Zwecke entwickelt. Der Standard beruht auf einem Algorithmus mit der
Bezeichnung ,,Lucifer", der in den frühen siebziger Jahren von IBM entwickelt
worden war. DES arbeitet mit einem 64 Bit langen Schlüssel, jedes achte Bit dient
jedoch einer Paritätsprüfung und wird ignoriert, so dass die eigentliche
Schlüssellänge nur 56 Bit beträgt. [Scott et al. 1999 S. 28]
Es gibt verschiedene Variationen des DES. z. B. wird das dreimalige Anwenden von
DES auf einen Klartext als Triple-DES (3DES) bezeic hnet.
IDEA
Der International Data Encryption Standard verwendet einen 128 Bit langen
Schlüssel, um einen 64-Bit-Block in ein 64-Bit-Ergebnis zu transformieren. Sowohl
IDEA als auch DES verarbeiten Daten blockweise (Blockchiffre), wobei sie auf die
mathematischen Operationen Substitution und Permutation zurückgreifen. IDEA
wurde von Xuejia Lai und James Massey an der ETH Zürich entwickelt und 1990
erstmals vorgestellt.
RC2
RC2 ist ein Blockchiffre mit 64 Bit Blocklänge und variabler Schlüssellänge.
Entwickelt wurde RC2 wiederum von Ron Rivest. Nähere Informationen in RFC
2268 bei [IETF 2000].
RC5
Ron Rivest entwickelte auch diesen Blockchiffre. Im Unterschied zu RC2 ist hier
auch die Blocklänge variabel. Der Algorithmus basiert auf Addition, der exklusiv-
Oder Verknüpfung und einer Rotation.
Details
- Seiten
- Erscheinungsform
- Originalausgabe
- Jahr
- 2001
- ISBN (eBook)
- 9783832446574
- ISBN (Paperback)
- 9783838646572
- DOI
- 10.3239/9783832446574
- Dateigröße
- 1.3 MB
- Sprache
- Deutsch
- Institution / Hochschule
- Johannes Kepler Universität Linz – Wirtschaftsinformatik, Datenverarbeitung
- Erscheinungsdatum
- 2001 (Oktober)
- Note
- 2,0
- Schlagworte
- firewall protokolle marktübersicht standards
