Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Internet Protocol Security 135
IPsec-Methoden
Falls eine IPsec-Regel fordert, dass die Hosts Sicherheit aushandeln, stehen dafür zwei
Methoden zur Verfügung, die einzeln oder kombiniert verwendet werden können: ESP
(Encapsulated Security Payload) oder AH (Authentication Header).
ESP kann sowohl Vertraulichkeit (mithilfe von Verschlüsselung) als auch Integrität (mithilfe
von Signaturen) gewährleisten. Verschlüsselung und Signatur betreffen die Nutzdaten und
TPC/UDP-Header jedes Pakets, aber nicht die IP-Adresse. Das bedeutet, dass ESP-Verkehr
mithilfe von Unterstützungstechnologien wie zum Beispiel NAT-Traversal (NAT-T) über
NAT-Geräte geleitet werden kann. Es ist auch möglich, in ESP eine Nullverschlüsselung zu
nutzen, das bedeutet, dass alle Pakete signiert, aber nicht verschlüsselt werden. Ähnlich wie
bei AH heißt das, dass Sie sicher sein können, dass Verkehr nicht manipuliert wurde, während
er zwischen den Hosts unterwegs war. Dies ist die Standardmethode, wenn Sie Sitzungen
zwischen zwei Hosts authentifizieren lassen.
AH stellt die Nachrichtenintegrität mit digitalen Signaturen sicher, die über das gesamte
Paket inklusive IP-Header berechnet werden (also mit Quell- und Ziel-IP-Adressen). AH hat
zwei wichtige Einschränkungen: Es bietet keine Vertraulichkeit, weil es keine Datenverschlüsselung
unterstützt, und AH-Verkehr kann keine NAT-Geräte durchqueren, weil diese
Geräte die IP-Adresse des internen Hosts in jedem Paket austauschen, bevor sie es weiterleiten.
Wichtig AH wird in Windows Server 2008 nicht mehr unterstützt. Diese Methode wird nur aus Gründen
der Vollständigkeit beschrieben.
IPsec-Regeln und -Richtlinien
Eine IPsec-Richtlinie besteht aus einer oder mehreren IPsec-Regeln. Jeder Host kann nur
eine einzige IPsec-Richtlinie haben. Jede Regel hat eine Filterliste und eine Filteraktion.
Filterlisten legen die Merkmale des Verkehrs fest, für den die Regel gilt, zum Beispiel
Adressen, Ports und Protokolle. Filteraktionen definieren, was die Regel mit dem Verkehr
macht: zulassen, blockieren oder Sicherheit aushandeln. Die ersten beiden Aktionen ähneln
dem, was eine Firewall bei der Portfilterung tut. Einige Sicherheitsleitfäden für Windows
2000, Windows XP und Windows Server 2003 beschrieben auch, wie sich mithilfe der
IPsec-Filterung eine hostbasierte Firewall nachbilden lässt. Aber die IPsec-Filterung arbeitet
nicht statusbehaftet, das bedeutet, dass ihre Leistungsfähigkeit als Firewallersatz recht beschränkt
ist. Wenn Sicherheit ausgehandelt wird, teilt die Regel dem Host mit, ob ESP oder
AH benötigt wird, ob ESP oder AH angefordert werden, aber ungeschützter Verkehr erlaubt
wird, und die Details der zu benutzenden Authentifizierungs-, Verschlüsselungs- und Signierungsprotokolle.
Neue Fähigkeiten in Windows Server 2008
Die folgenden Abschnitte beschreiben, welche Verbesserungen in Windows Server 2008 an
IPsec vorgenommen wurden.
Integrierte Firewall- und IPsec-Konfiguration
In Windows XP und Windows Server 2003 werden Regeln für die Windows-Firewall und
IPsec getrennt voneinander konfiguriert. Weil beide eingehenden Verkehr blockieren oder
erlauben können, kann es passieren, dass versehentlich redundante oder sogar widersprüch-