Das Magazin für Netze, Daten- und Telekommunikation - ITwelzel.biz

SCHWERPUNKT: VIRTUAL PRIVATE NETWORKS
gen verwenden meist Verschlüsselungsalgorithmen
wie DES (Data Encryption
Standard – 40- und 56-Bit-Schlüssel)
oder Triple DES (112- und 168-Bit-
Schlüssel). Lightning bietet ebenfalls den
IDEA (International Data Encryption Algorithm
– 128-Bit-Schlüssel) an. Alle
drei Verschlüsselungsverfahren unterscheiden
sich in ihrer Struktur und der
Länge der Schlüssel. DES und Triple
DES wurden in den USA entwickelt.
IDEA stammt aus der Schweiz und wird
unter anderem von namhaften Organisationen
wie der ISO (International Standards
Organization) und der ITU (International
Telecommunication Union)
empfohlen. In Kombination mit IDEA
setzt Lightning in seinen Lösungen ein
automatisches Schlüsselverwaltungssystem
mit Master Keys ein. Für jede Remote
Site oder jeden IP-Empfangsbereich
wird ein ganz bestimmter Master Key generiert.
Für jede neue Verbindung generiert
das System dann nach dem Zufallsprinzip
einen Session Key. Dieser lässt
sich nach einer bestimmten Zeit oder einer
bestimmten übertragenen Datenmenge
automatisch erneuern. Der Administrator
kann ein Hochsicherheits-Passwort
anlegen, um den Zugang zur Konfiguration
des Routers zu schützen.
IPSEC ALS UNIVERSELLER STANDARD
IPSec wurde speziell dafür entwickelt,
die Sicherheitslücke in IP-Netzen zu
schließen. Es handelt sich dabei um einen
Standard der IP Security Working Group,
der dazu dienen soll, die Verbreitung von
VPNs auch in heterogenen Netzwerken
voranzutreiben und die Implementierung
zu erleichtern. Im VPN-Bereich soll IP-
Sec langfristig das Tunneling-Protokoll
PPTP ablösen. Beim Einsatz von PPTP
erfolgt die Verschlüsselung über RC4
oder DES. Die Schlüssellänge variiert dabei
zwischen 40 und 112 Bit. In IPSec
können Verschlüsselung (ESP) und Authentifizierung
(AH) voneinander getrennt,
wahlweise aber auch in ESP kombiniert
werden.
Die aktuellen Entwicklungen machen
Multiprotokolle, die bei proprietären Lösungen
zum Einsatz kommen, zuneh-
208 LANline 12/2000
mend zugunsten von TCP/IP überflüssig.
Damit steigt IPSec voraussichtlich zum
wichtigsten Standard für zukünftige
VPN-Installationen auf. Das bringt allerdings
auch mehr Komplexität bei der Abwicklung
der Datenübertragung und der
Verwaltung mit sich. Die IPSec-Protocol-Suite
besteht aus drei Elementen:
– Authentication Header (AH): Dieser
IP-Header enthält Informationen darüber,
ob das Datenpaket während der
Übertragung auf irgendeine Weise verändert
wurde und ob die Absenderquelle
identisch ist.
– Encapsulation Security Payload (ESP):
Verschlüsselt die Daten vor der Übertragung
und schützt so vor fremden Zugriffen
und Manipulationen.
– Internet Key Exchange Protocol (IKE):
Das ist sozusagen das Verhandlungsprotokoll.
Es ermöglicht die Kommunikation
zwischen zwei Seiten, um sich
auf die Verwendung eines bestimmten
Verschlüsselungsverfahrens wie DES
oder Tripel DES zu einigen.
Bisher unterstützt IPSec DES und Tripel
DES als Verschlüsselungsalgorithmen
sowie PKIs (Public Key Infrastructures).
Um die Daten zu verschlüsseln,
müssen beide Teilnehmer – Empfänger
und Absender – miteinander kommunizieren
und sich für ein einheitliches Verschlüsselungsverfahren
entscheiden. Nur
dann lassen sich die benötigten Schlüssel
austauschen. Unterstützt die eingesetzte
VPN-Lösung also nicht eines der beiden
Verfahren, erfolgt auch keine Verschlüsselung.
Dann wird der Datenverkehr nur
getunnelt. Der Einsatz von PKIs macht
die Verwaltung für den Administrator
folglich komplizierter. Eine PKI-Umgebung
besteht prinzipiell aus den drei
Komponenten Certification Authority
(CA) zur Ausstellung der Zertifikate, einem
Distributionssystem für den Zugriff
auf die ausgestellten Zertifikate sowie einem
Verzeichnis im Distributionssystem,
in dem die ausgestellten Zertifikate
hinterlegt sind. Um eine PKI zu nutzen,
muss der Administrator in jedem Gerät
alle Schlüssel, Public Keys und zur Verfügung
stehenden Zertifikate konfigurieren.
In großen Netzwerken bedeutet das
einen erheblichen Aufwand. Andererseits
eignet sich IPSec gerade für sehr
große Netzwerke, da diese zumeist eine
stark heterogene Infrastruktur aufweisen
und IPSec als fest definierter Standard in
derartigen Umgebungen gut eingesetzt
werden kann. Der wohl größte Nachteil
von IPSec ist bisher, dass dieser Sicherheitsstandard
nur für IP-Netze geeignet
ist.
FAZIT IPSec wird die Verbreitung von
VPNs zunehmend vorantreiben. Einen
richtigen Boom löst auch der zunehmende
Einsatz breitbandiger Festverbindungen
wie ADSL oder Kabelmodems
aus. Wenn “Always-On-Lösungen”
günstiger werden, besteht kein Bedarf
mehr an dedizierten Festverbindungen.
Dann werden sich immer mehr
Menschen über öffentliche IP-Netze
einwählen und diese Verbindung nicht
nur als Zugang zum Internet, sondern
auch zur Anbindung der Firmenniederlassungen
an das Unternehmensnetz der
Zentrale nutzen. Generell ist zunächst
der konkrete Bedarf für eine VPN-Lösung
zu definieren. Abgesehen von einer
Entscheidung für ein Software-,
Hardware- oder Firewall-basiertes VPN
gilt es auch zu überlegen, ob eine Open-
Source-Lösung oder ein proprietäres
System zum Einsatz kommen soll. Etwaige
Fehler lassen sich in der Open-
Source-Variante wesentlich schneller
und individueller lösen. Beim proprietären
System hat in der Regel nur der
Hersteller direkten Zugriff auf den
Code. Für die Verschlüsselung der Daten
sollte ein Algorithmus mit mindestens
85 Bit Schlüssellänge gewählt werden.
Dies schützt relativ gut vor möglichen
Angriffen auf die Daten. Darüber
hinaus ist es vorteilhaft, wenn die Geräte
nach der Installation über ein LED
anzeigen, ob die Verschlüsselungsmechanismen
auch wirklich angewendet
werden. Bei vielen Geräten lässt sich
dies optional ein- oder ausschalten.
(Dr. Beat Brunner/gg)
Dr. Beat Brunner ist Vorstand von
Lightning
www.lanline.de