Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

138 Kapitel 5: Firewall und Netzwerkzugriffsschutz
Neue Kryptografieunterstützung
Während sich die Techniken der Kryptografie weiterentwickeln, fügt Microsoft ständig
Unterstützung für neuere, robustere Algorithmen zu seinen Betriebssystemen hinzu. Windows
Server 2008 und Windows Vista bieten erstmals Unterstützung für folgende Algorithmen,
um Masterschlüsselmaterial während der Hauptmodusaushandlung abzuleiten:
Diffie-Hellman (DH) Group 19 Dies ist ein auf elliptischen Kurven beruhender Algorithmus,
der eine 256 Bit lange zufällige Kurvengruppe verwendet (NIST-ID P-256).
DH Group 20 Dies ist ein auf elliptischen Kurven beruhender Algorithmus, der eine
384 Bit lange zufällige Kurvengruppe verwendet (NIST-ID P-384).
Windows Server 2008 und Windows Vista unterstützen jetzt folgende neue Datenverschlüsselungsalgorithmen:
AES (Advanced Encryption Standard) mit CBC (Cipher Block Chaining) und 128-Bit-
Schlüssellänge (AES 128)
AES mit CBC und 192-Bit-Schlüssellänge (AES 192)
AES mit CBC und 256-Bit-Schlüssellänge (AES 256)
Vorsicht Ältere Windows-Versionen, zum Beispiel Windows 2000, Windows XP und Windows Server
2003, implementieren einige dieser Algorithmen für andere Funktionen, sie unterstützen sie aber nicht für
den Einsatz von IPsec.
Unterstützung für das Netzwerkdiagnose-Framework
IPsec unterstützt jetzt das Netzwerkdiagnose-Framework (Network Diagnostics Framework,
NDF). NDF ist eine Infrastruktur sowie ein Satz integrierter Komponenten, die versuchen,
Verbindungsprobleme automatisch zu diagnostizieren und zu reparieren. Wenn ein Problem
auftaucht, bietet NDF dem Benutzer seine Hilfe an, um festzustellen, wo der Fehler liegt,
und das Problem zu beseitigen. Dies geschieht direkt in dem Kontext, in dem das Problem
aufgetreten ist. Das bedeutet, dass der Benutzer die Meldungen von NDF in der Anwendung
angezeigt bekommt, in der das Problem aufgetreten ist.
Erweiterte Ereignisse und Systemmonitor-Leistungsindikatoren
Es wurden neue IPsec-spezifische Überwachungsereignisse hinzugefügt, und der Text vorhandener
Ereignisse wurde aktualisiert, sodass er mehr nützliche Informationen enthält, die
Ihnen bei der Behandlung von IPsec-Problemen helfen. Außerdem wurden IPsec-Leistungsindikatoren
hinzugefügt.
Erweiterte Authentifizierungsumgehung
Sie können Umgehungsregeln konfigurieren, sodass Verbindungen von bestimmten Computern
die anderen IPsec-Regeln umgehen können. Das bedeutet, dass Sie den Verkehr von
allen Hosts blockieren können, aber den authentifizierten Computern erlauben, diese Blockierung
zu umgehen. Das ist nützlich, wenn Sie Sicherheitslückenscannern oder anderen
Verwaltungstools erlauben wollen, auf geschützte Hosts zuzugreifen.