Einsatzmöglichkeiten kryptographischer Methoden zur Signatur und ...

8.3.3. Anwender-Firewall VPN-Tunnel
Abbildung 8-4: Anwender-Firewall VPN
Der VPN-Tunnel wird zwischen dem Client und der MHH durch den Einsatz eines
VPN-Clients ermöglicht. Dieser VPN-Client baut den VPN-Tunnel zwischen dem
Client und dem Firewalls auf (im Gegensatz zum vorigen Tool, welches ein VPN
zwischen Firewalls bzw. Netzen aufbaut).
Im Gegensatz zum Anwender-Firewall VPN-Tunnel aus dem Soll-Modell kann hier
noch nicht von einer sicheren Authentisierung mittels CA und Smart-Cards ausgegangen
werden. Deshalb wird das Modell um eine starke Authentisierung mittels
RSA-SecurID-Karten erweitert. In diesem Fall gibt der Anwender als Passwort eine
PIN und eine (minütlich wechselnde) sechsstellige Zahl (das sogenannte Token) ein,
welche er auf der SecurID Karte ablesen kann (das daraus entstehende Passwort wird
Passcode genannt). Es gibt auch Varianten der Karte, bei welcher der Anwender
seine PIN in die Karte eintippt und diese daraus den Passcode erzeugt, der dann
direkt als Passwort verwendet werden kann. Der in der MHH stehende Server
„weiß“, welche Karte zu welchem Zeitpunkt welche Zahlenkombination anzeigt und
welchem Benutzer sie mit welcher PIN zugeordnet ist. Wenn die übermittelten Daten
korrekt sind (insbesondere unter Beachtung des Zeitpunktes, denn die Token sind nur
etwas mehr als eine Minute gültig), wird der Benutzer durch den Firewall als legitimierter
anerkannt und kann mit dem Netz der MHH gesichert kommunizieren. Die
SecurID-Karte kann im Übrigen auch noch als Mittel zur Authentisierung von
Anwendern bei der Anmeldung auf Server verwendet werden (beispielsweise für die
Unix-Anmeldung).
74