ECOVIN - Institut für Produktion und Industrielles ...

316 I. Böhmer: Datensicherheit im Internet
einer Webseite der Protokollhinweis „https“ gegeben wird (z.B. https://www.verisign.com),
versucht der Browser, über TLS eine verschlüsselte Verbindung zu dem Server herzustellen.
Aufgrund von Exportbeschränkungen dürfen Browser, die in den USA hergestellt werden,
lediglich eine schwache 56-Bit-Verschlüsselung (bei älteren Browsern sogar nur 40 Bit) verwenden.
Da dies insbesondere die Browser von Microsoft und Netscape (nicht aber z.B. Opera)
betrifft, sollten keine extrem sensiblen Daten über derartige TLS-Verbindungen gesendet
werden. Eine Ausnahme bildet das von Microsoft entwickelte Zusatzprotokoll SGC (Server
Gated Cryptography), welches bei der Verwendung des Microsoft Internet Explorers oder des
Netscape Communicators eine starke 128-Bit-Verschlüsselung ermöglicht. Aktiviert wird
SGC durch Server-Zertifikate, die zur Zeit jedoch nur an Banken und Finanzdienstleister ausgegeben
werden.
7.5.3.4.4 INTERNET-FIREWALLS
Wenn nicht nur isolierte Arbeitsstationen, sondern das gesamte Intranet eines Unternehmens
mit dem Internet verbunden wird, ist der Einsatz einer Internet-Firewall fast obligatorisch.
Ziel ist es, das Intranet vor Angriffen von außen zu schützen.
Es gibt verschiedene Varianten von Internet-Firewalls. Am häufigsten handelt es sich jedoch
um eine eigene Station mit zwei Netzwerk-Anschlüssen (dual-homed firewall): einen zum
lokalen Intranet und einen ins globale Internet. Dadurch werden die beiden Netze physikalisch
entkoppelt, und der Nachrichtenverkehr kann vollständig durch die Firewall kontrolliert werden.
In einfachen Fällen wird das Intranet über einen ISDN-Router, der über Firewall-
Mechanismen verfügt, mit dem Internet verbunden.
Den wichtigsten Sicherheitsmechanismus von Internet-Firewalls stellt die Paketfilterung dar.
Jede Kommunikation über ein Netzwerk erfolgt durch das Versenden einzelner Pakete, die
nach protokollspezifischen Regeln aufgebaut sind. So enthält z.B. jedes Paket, das über das
TCP/IP-Protokoll verschickt wird, zusätzliche Informationen, wie z.B. die Absender- und
Empfängeradresse und einen Code für die jeweils betroffene Anwendung (z.B. HTTP für das
World Wide Web oder SMTP oder POP3 für das Senden bzw. Abrufen von E-Mails).
Ein Firewall-System kann so konfiguriert werden, dass bestimmte Pakete, die zwischen dem
geschützten Intranet und dem ungeschützten Internet ausgetauscht werden, verworfen werden
(Paketfilterung). Dabei sind grundsätzlich zwei Vorgehensweisen möglich:
1. Positive Filterregeln. Hierbei wird genau festgelegt, welche Pakete erlaubt sein sollen, d.h.
alle nicht explizit erlaubten Pakete werden verworfen.
2. Negative Filterregeln. Hierbei werden zunächst alle Pakete als erlaubt betrachtet, sofern
keine Regel existiert, der zufolge Pakete verworfen werden sollen.
Um der Gefahr zu entgehen, Sicherheitslücken zu übersehen, sollte grundsätzlich die erste
Methode verwendet werden. In diesem Fall filtert die Firewall automatisch alle Pakete heraus,
die nicht ausdrücklich vom Systemadministrator als unschädlich eingestuft und daher erlaubt
wurden.
Beispiele für positive Filterregeln sind:
• Anwendungsorientierte Filter. Nur HTTP- und FTP-Pakete werden erlaubt. Damit wird
u.a. ausgeschlossen, dass von außen auf einen im Intranet befindlichen Fileserver zugegriffen
wird. Nur Web-Browser und FTP-Clients können dann mit dem Internet kommunizieren.
• Dynamische Filter (Circuit-Level-Firewalls). Verbindungen werden nur dann erlaubt,
wenn sie von einer Station innerhalb des Intranets aufgebaut werden. Damit wird u.a. ver-