Das Magazin für Netze, Daten- und Telekommunikation - ITwelzel.biz

SCHWERPUNKT: VIRTUAL PRIVATE NETWORKS
alisierung eines VPN-Tunnelings darstellt.
Im Rahmen der IETF (Internet Engineering
Task Force) wurde das L2TP (Layer 2
Tunneling Protocol) entwickelt, welches
auf Eigenschaften des PPTP und des L2F
(Layer 2 Forwarding Protocol der Firma
Cisco) aufbaut.
PPTP und L2TP können als Layer-2-
Protokolle verschiedenste Layer-3-Protokolle
wie IP, IPX oder NetBEUI übertra-
gen. So lassen sich beispielsweise auch
Unternehmensinseln, die ausschließlich
auf Novells IPX/SPX basieren, über das
Internet miteinander verbinden. Das Internet
bildet in diesem Fall ein reines Transportnetz.
Layer-2-Tunneling-Protokolle
besitzen allerdings nicht alle Verschlüsselungsmechanismen
und die verwendeten
Methoden zur Anwenderauthentisierung
genügen auch nicht mehr unbedingt heutigen
Anforderungen.
Mit der Entwicklung des bislang einzigen
sicheren Layer-3-Protokolls IPSec
steht erstmals ein standardisiertes Verfahren
zur umfassenden Sicherheit für Authentisierung
und Datenintegrität für das
Internet bereit. Die IPSec-Spezifikationen
wurden von der IETF inzwischen weltweit
standardisiert. Das IPSec-Protokoll ist unabhängig
von aktuellen Verschlüsselungsverfahren,
was bedeutet, dass ständig ak-
200 LANline 12/2000
tuellste Algorithmen eingesetzt werden
können. IPSec besteht nicht nur aus einem
Protokoll, sondern umfasst mehrere Protokolle.
So besitzt es neben Protokollen zur
Verschlüsselung auch das IKE (Internet
Key Exchange Protokoll) zur Verwaltung
und zum Austausch von Schlüsselinformationen
zwischen den Tunnel-Endpunkten.
Diese Entwicklung führt vermutlich dazu,
dass sich IP als dominantes Protokoll auch
Bild 5. Typischer Einsatz eines VPNs mit mobilen Anwendern, Zweigstellen und
Subuntenehmern
in den Unternehmensnetzwerken durchsetzen
wird, sodass sich das IPSec-Protokoll
immer mehr zum Standard entwickelt.
TRANSPARENZ DES SYSTEMS Ein VPN
arbeitet also auf Ebene 2 beziehungsweise
Ebene 3 des Protokoll-Stacks. Das hat im
Vergleich zu Lösungen, die auf einem höheren
Protokoll-Level agieren (wie zum
Beispiel SSL) den Vorteil, dass es für die
Anwendung transparent ist. Das bedeutet,
dass Änderungen bei bestehenden Anwendungen
entfallen und verschiedene Anwendungen
ein und dieselbe Sicherheitslösung
benutzen können. Darüber hinaus
stellen Applikation und VPN eigenständige,
getrennte Systeme dar.
SMARTCARDS Im Rahmen der PKI besteht
auch die Möglichkeit, Smartcards
einzusetzen. Dabei landet der private
Schlüssel in einem geschützten Speicherbereich
auf der Karte. Dieser Bereich lässt
sich von außen nicht auslesen, es ist lediglich
möglich, dem Krypto-Chip auf der
Karte Daten zu schicken, die dieser dann
mit dem privaten Schlüssel ver- oder entschlüsselt.
Die Smartcard selbst wird durch
eine PIN gesichert, die der Anwender vor
der Benutzung eingeben muss, was durch
die Bedingungen “Besitz” und “Wissen”
ein doppeltes Sicherheitskonzept realisiert.
Sicherheitsfunktionen in den Betriebssystemen
der Smartcards bestimmen die
Anzahl der Versuche bei der Eingabe einer
falschen PIN. Die Karten bringen Vorteile
gegenüber dem Ablegen des privaten
Schlüssels in einer passwortgeschützten
Datei, da bei der Dateilösung die Berechnungen
mit dem Schlüssel auf dem Rechner
ablaufen und deshalb ausgespäht werden
könnten. Die Integration der Smartcards
in die Anwendungen erfolgt über
standardisierte Schnittstellen wie PKCS 11
oder bei neuesten Entwicklungen PKCS
15. So definiert PKCS 11 eine API, mit der
eine Anwendung die kryptographischen
Funktionen einer Smartcard nutzen kann.
Bei PKCS 15 umfasst die Standardisierung
auch die Speicherverfahren und Ablaufprozesse
des Smartcard-Betriebssystems.
Über reine Krypto-Funktionalitäten hinaus
können die Smartcards auch weitere Features
enthalten wie beispielsweise das Speichern
der User-IDs oder der Passwörter.
USER ACCESS CONTROL Die Kombination
eines VPNs mit User Profiling ermöglicht
das effiziente Einbinden von Kunden,
Geschäftspartnern und Remote-Mitarbeitern
in das eigene Unternehmensnetz. Der
Zugriff auf Ressourcen des Unternehmensnetzwerks
lässt sich über User-Profile
für jede Gruppe individuell gestalten. Einem
einzelnen User oder einer Gruppe von
Usern können mit dieser Methode spezifische
Ressourcen im Unternehmensnetz
entsprechend ihren User-Rechten zugewiesen
werden. Das Profiling basiert auf
den empfangenen Zertifikaten und der Information
der sie ausstellenden CA. Bild 4
stellt den Sec-Go-Crypto-IP-Server dar, der
diese Advanced-VPN-Technologie repräsentiert.
www.lanline.de