DMS Provider Version 1.10 Handbuch

2.6 Sicherheit
2.6.1 SSL
Zur Absicherung der Kommunikationsverbindungen verwendet der ORWELL DMS das
weitverbreitete Verschlüsselungsprotokoll SSL. Da sich das SSL Protokoll nach dem ISO/OSI
Modell zwischen Anwendungsschicht (http, ftp, rmi) und der Darstellungsschicht (tcp/ip)
befindet, ist es universell für die Absicherung von Webanwendungen einsetzbar.
Das SSL Protokoll erfüllt folgende Anforderungen bei Ablauf einer Transaktion
� Authentifizierung von Server und Client (optional)
� Verschlüsselung der zu übertragenden Datenpakete.
Um diesen Anforderungen gerecht zu werden, besteht das SSL-Protokoll aus den beiden
Teilen SSL-Handschlag Protokoll (engl. SSL Handshake Protocol, SSLHP) und SSL-Paket
Protokoll (engl. SSL-Record Protocol, SSLRP). Das SSLHP handelt den zu benutzenden
symmetrischen Verschlüsselungsalgorithmus samt Schlüssel aus. Dies geschieht über die
Verwendung eines asymmetrischen Verschlüsselungsverfahrens. Optional kann eine
Authentifizierung des Clients und des Servers gegeneinander mittels der Zertifikate beider
erfolgen.
Für den Einsatz von SSL im ORWELL DMS ist die Authentifizierung von Client und Server
eine Pflichteinstellung. Das für die Authentifizierung von Bonk Consulting notwendige
Zertifikat wird von der Firma Verisign (CA) erstellt und muss in den Client-Keystore des
ORWELL DMS Provider eingespielt werden, damit dieser die Identität des ORWELL DMS
Providers prüfen kann. Wird zwischen DMS Provider und DMS Provider der DMS Proxy
verwendet, so benötigt dieser kein SSL Zertifikat, da der Proxy auf der darunterliegenden
Darstellungsschicht TCP/IP arbeitet und somit transparent für das SSL Protokoll ist.
Der Austausch der Nutzdaten findet daraufhin mit dem SSLRP auf Basis eines symmetrischen
und dadurch wesentlich schnelleren Verschlüsselungsverfahrens statt. Das SSLRP unterteilt
den Datenstrom in Pakete und verschlüsselt diese mit dem ausgehandelten Algorithmus oder
empfängt Pakete und entschlüsselt sie. Über den Schlüssel, die Nutzdaten, die Fülldaten und
die Sequenznummer eines Datenpakets wird ein sogenannter Message Authentication Code
(MAC) mit Hilfe eines Prüfsummen-Algorithmus wie MD5 gebildet. Auf diese Weise ist auch
hier die Authentizität der Datenpakete sichergestellt, solange der Sitzungsschlüssel nicht
bekannt ist. Um eine ausreichende Sicherheit des Sitzungsschlüssels zu gewähren, wird hier
ein 128-Bit Schlüssel verwendet.
Der Sitzungsschlüssel wird im ORWELL DMS bei jeder Transaktion neu generiert.
Die folgende Darstellung zeigt den Aufbau einer SSL Verbindung zwischen ORWELL DMS
Provider und ORWELL DMS Provider mit den einzelnen Ablaufschritten.
Seite 19 von 126