Das Magazin für Netze, Daten- und Telekommunikation - ITwelzel.biz

SCHWERPUNKT: VIRTUAL PRIVATE NETWORKS
Bild 2. Prinzip eines digitalen Zertifikats
Zertifikate, für das Erstellen der Sicherheits-Policy
in Bezug auf die Zertifikate,
für das sichere Verteilen des eigenen öffentlichen
Schlüssels (Public-Key) an andere
und für das Bereitstellen von Zertifikats-Revokationslisten
(CRLs). Eine
CA signiert die von ihr ausgestellten Zertifikate
mit ihrem eigenen privaten
Schlüssel. Personen, Anwendungen und
Systeme, die Zertifikate nutzen, bestätigen
deren Gültigkeit, in dem sie die Signatur
des Zertifikats mit dem öffentlichen
Schlüssel der CA verifizieren. CAs sind
hierarchisch organisiert, das heißt, der
Root-CA an der Spitze vertrauen alle. Sie
zertifiziert dann die CAs unter sich und
schafft somit für diese die Vertrauensgrundlage.
Bild 3 zeigt das Generieren
der Schlüssel und Zertifikate. Nach dem
Erzeugen der Schlüssel wird in diesem
Beispiel der private Schlüssel sicher an
den Anwender “Bob” übertragen. Es
wäre auch möglich, dass Bob die
Schlüssel selbst generiert, das hängt
letztlich von der Security-Policy der CA
ab. Diese Policy legt ebenfalls fest, wie
Bobs Identität überprüft wird, wenn er
ein Zertifikat anfordert. Bobs Public
Key landet sowohl in seinem Zertifikat,
als auch in einem für jedermann öffentlich
zugänglichen Directory. Wenn nun
Anwenderin “Alice” oder die von ihr
eingesetzte Applikation Bobs Zertifikat
nutzen will, kann sie dieses von dem öffentlichen
Verzeichnis herunterladen.
198 LANline 12/2000
Sie hat dabei allerdings zu prüfen, ob
das Zertifikat noch gültig ist. Um sicherzustellen,
dass Bob und Alice mit
der CA kommunizieren können, müssen
sie Zugriff auf das Zertifikat der CA erhalten,
welches den Public-Key der CA
enthält.
Als CA kommen beispielsweise Abteilungen
innerhalb einer Organisation,
Behörden oder “Trusted Third Parties”
zum Einsatz. Zu den weltweit operierenden
Third Party CAs gehören Verisign,
Entrust, D-TRUST und TC-Trust-Center.
Für Anwendungen, bei denen die
User Mitglieder einer fest eingrenzbaren
Gruppe sind, bringt der Aufbau einer
internen PKI mit CA-Diensten wegen
des geringeren Verwaltungsaufwands
Vorteile. Zum Authentisieren vieler Anwender,
die unter Umständen keine Beziehung
mit dem Unternehmen haben,
bietet im Gegensatz dazu eine öffentliche
PKI den größeren Nutzen. Ein solches
Szenario kommt beispielsweise zustande,
wenn Kunden oder Subunternehmer
in der Lage sind, auf Teile eines
Unternehmensnetzes zuzugreifen.
Der größte “Feind” der Systemsicherheit
ist die Komplexität. Je komplexer
das System wird, desto schwieriger lässt
es sich absichern und verwalten. In komplexen
Systemen mit umfassenden Konfigurationsmöglichkeiten
besteht große
Gefahr für menschliche Fehler und Pro-
Bild 3. Der Umgang mit den Diensten einer CA
grammfehler, was letztendlich zu erheblichen
Sicherheitsrisiken führt. Integriert
ein Hersteller, wie zum Beispiel bei Windows
2000, Sicherheitskomponenten in
Betriebssysteme, so wächst mit dem
Grad der Komplexität und der Quantität
des Programmcodes das Risikopotenzial,
das aus Bugs und undokumentierten Features
herrührt. Gleiches gilt, wenn Sicherheitslösungen
in Anwendungen integriert
werden, da die Sicherheit ein hohes
Maß an Kompetenz erfordert. Deshalb
lässt sich ein hoher Sicherheitsgrad besser
erreichen, wenn die Systeme einfach
aufgebaut, gut dokumentiert und unabhängig
von den Anwendungen entworfen
und implementiert sind.
Den gleichen Anspruch sollte die Security
Policy erfüllen. So gilt die Grundregel,
dass kein Sicherheitssystem zum
Einsatz kommen darf, wenn die Mitarbeiter
die Sicherheits-Policy nicht
verstehen oder die eingesetzten Lösungen
zu komplex sind.
VPN-Lösungen umfassen in der Regel
die Nutzung unsicherer Netze für eine sichere
Kommunikation. Um die damit verbundenen
Risiken abzufedern, sind folgende
Sicherheitsanforderungen zu erfüllen:
Die “Authentisierung” vermeidet, dass
jemand vorgibt ein anderer zu sein als er
ist.
Authentisierung ist ein wichtiger Bestandteil
der IT-Sicherheit, die benötigt
www.lanline.de