Virtual Private Networks

Stichwortverzeichnis A C Abhören der Teilnehmer-Identitäten 51 CAST 117, 172 Abhören von Daten 51 Certification Authority 112, 145, 202 Advanced Encryption Standard 94 Certification Revocation List 146, 150 AES 68, 94, 152, 172, 208 Chancen 31 AH-Header 152, 155 CHAP 160 Aktive Angriffe 54 Chipkarte (SmartCard) 79 Aktivierung der Chipkarte 80 Client-Server 27 Angreifer 28 Codebits 346 Angriffsrisiko 62 Computerdelikte 319 Anschaffung 233 Computerkriminalität 26, 28, 63, 319 Anschaffungskosten 222 Computermanipulationen 320 Anwendungsebene 333 Cracker 26 Application Service Provider 196 Architekturentwurf 236 D ARPA 327 Data Encryption Standard 67 ARPANET 327 Denial of Service, DoS 161 asymmetrisches Verschlüsselungsverfahren DE-NIC 336 69 DES 86, 152, 160, 172, 203, 206, 208 Auditor 141 DES-Algorithmus 67 Aufrechterhaltung des Betriebs 224 Destination Unreachable 341 Ausspähen von Daten 309 Diffie-Hellman 97, 152, 167, 172, 174, 206 Authentizität 31 Directory-Service 148 DNS 347 B Domain Name Service 347 B2B 196 Domainnamen 336 Bedrohung 27 Down-Sizing 27 Beeinträchtigung der Aufgabenerfüllung 64 DSA 103 Benutzerfreundlichkeit 141, 239 Beschaffungsphase 221 E Betriebsdokumentation 238 E-Business 16, 195, 201 Betriebsumgebung 238 ECC 208 Black-Box-Lösung 122 Echo Request 342 Blockverschlüsseler 84 EchoReply 341 Blowfish 92, 172 E-Commerce 196, 199 Boykott des Kommunikations-Systems Editor 141 (Denial of Service) 55 Eignung 239 Browser 350 Einfügen oder Löschen bestimmter Daten 55 Business-to-Business-VPN 199 Eintrittswahrscheinlichkeit 62 Stichwortverzeichnis Einwohnermeldeämter 72 infrastrukturelle Sicherheitsmaßnahmen elektronische Post (E-Mail) 328 226 ElGamal 103, 172 Installationsphase 222 E-Mail 60 Integrität 27, 30 End-to-End-Verschlüsselung 124 Internet 27 Entwicklungsumgebung 237 Internet-Adressen 334 Erpressung 320 Intranet 27 ESP-Header 152, 156 IP-Optionen 339 Evaluationsstufe 244 IP-Protokoll 337 Evaluierung 233 IPSec 151, 166 externe Zugänge 212 IPv4 335 IPv6 335 F IP-Verschlüsselung 132 Fehlbedienung 58 IPX 160 Fehlrouting von Informationen 57 ITSEC-Kriterien 234 Feinentwurf 236 ITSEC-Zertifizierung 234 Fernmeldegeheimnis 59 IT-Sicherheit 27 Finanzielle Auswirkungen 65 IT-Sicherheitskriterien 234 Firewall-Sicherheitspolitik 209 Fortezza 203 K FTP 349 Key-Management-Protokoll 165 Key-Server 150 G Kommunikationsprotokolle 337 generic Top Level Domains 336 Kontrolle der Protokolldaten 213 geschützte Leitungsführung 211 Kosten im Jahr 227 globale Ausdehnung 28 Kreditkartenbetrug 313 Graphical User Interface 143 Kriminalitätsprophylaxe 324 Grundgesetz 323 Kriminalitätsstatistik 310 GSM 199 kryptographisch gesicherte logische Netze gTLD 336 (VPN) 132 kryptographische Prüfsumme 70 H Hacker 26, 321 L Hacking 320 LDAP 112, 119, 149 Hardwarefehler durch Umwelteinflüsse 58 Hash-Verfahren 104 M High-Tech Black Box 122 Management-Server 143 Hijacking 161 Management-System 143 HMAC 109, 152 Manual Keying 166 HTML (Hyper Text Markup Language) 350 M-Business 16, 195 HTTP 350 M-Commerce 196 hybride Verschlüsselungstechnik 71 MD4 105, 160 MD5 106, 117, 152, 172, 203 I Mechanismen 27 ICMP 340 Mechanismenstärke 243 IDEA 90, 117, 172, 203 Message Transfer Agent (MTA) 349 IKE 151, 166, 171 Mobilfunk 199 Inbetriebnahme 222 Modifikation von Daten 55 Industriespionage 316 Infrastruktur 211 396 Stichwortverzeichnis N R Need-to-know-Prinzip 213 RC2 203 negative Außenwirkung 65 RC4 93, 203 Network News Transfer Protocol (NNTP) 352 RC5 172 Netzwerkebene 333 Recht im Internet 319 Netzwerkmanagement-System (NMS) 142 Rechteverwaltung 141 Netzzugangsebene 333 rechtsfolgenfreier Raum 319 NIST 94 Redirect 342 NNTP 351 Reisepass 72 NSA 29 Remote-Ankopplung 134 Rijndael 94 O RIP (Routing Information Protocol) 340 Observer 141 Risiken 31 ökonomische Aufklärung 29 Risikogesellschaft 324 One-Way-Hashfunktion 70 Routing Protokolle 339 Operator 141 RSA 99, 152, 172, 206, 208 Opfer 319 Organisation 212 S organisatorische Sicherheitsmaßnahmen Sabotage 320 226 Schlüsselaustausch 165 OSI-Referenzmodell 330 Schlüssellänge 94 OSI-Schichtenmodell 160 Schlüssel-Management 150 OSPF (Open Shortest Path First) 340 Secure Shell 151, 161, 174 Outsourcing 27 Security Administrator 141, 215 Security Association 153, 171 P Security Black Boxes 122 PAP 160 Security Bridge 127 Paradigmenwechsel 323 Security Sublayer 121, 124 Passive Angriffe 50 SET 207 PC-Security-Komponente 124 SHA 107, 117 Perfect Forward Secrecy 166 SHA-1 107, 152, 172, 174, 203, 208 Persönlichkeitsrecht 320 sichere Anordnung 212 verletzungen 320 sicherer Betrieb 225 Personalausweis 72 sicherer Netzdienst 121 personelle Sicherheitsmaßnahmen 226 Sicherheit in LAN-Segmenten 125 PGP 117 Sicherheits- PKI-Editor 145, 146 gefühl 209 Policy-Editor 145, 148 konzept 209 Portnummern 343 lücken 214 potentielle Bedrohungen 62 management 140 PPTP 151, 159 maßnahmen 210, 225 Pre-Shared Keys 172 mechanismen 67 Private-Key-Verfahren 67 politik 209 Produktauswahlverfahren 222 schicht 121 Produktpiraterie 320 vorgaben 236 Prüflabor 234 ziele 210 Prüfstelle 234 Site-Hacking 314 Public Key Infrastructure 111 SKIP 166, 167 Public-Key-Verfahren 68 SmartCard 79 397 Stichwortverzeichnis SMTP 349 Verstoß gegen Gesetze/Vorschriften/ SMTP-Protokoll 350 Verträge 63 Social Engineering 218 vertrauenswürdiger Administrator 217 Softwarediebstahl 320 Vertraulichkeit 27, 30 Software-Fehler 58 Vertretungsregelungen 217 Software-Piraterie 316 Virtual Private Network 37 Source Quench 342 Vortäuschung einer falschen Identität Spionage 26, 320 (Maskerade-Angriff) 56 SSL 202 VPN 37 Stärke der Sicherheitsmechanismen 239 Beschaffung 222 STOA 315 Einsatz 212 Strafgesetzbuch 323

Inhaltsverzeichnis Über die Autoren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Übersicht ............................................... 15 Vorwort . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 1 Einleitung: Gesellschaftlicher Wandel und IT-Sicherheit . . . . . . . . . 21 1.1 Entwicklung von Informationstechnologie und IT-Sicherheit . . . . . 21 1.2 Siegeszug des Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24 1.3 Allgemeine Bedrohungen aus dem Internet . . . . . . . . . . . . . . . . . . . 26 1.4 Notwendigkeit von IT-Sicherheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26 1.5 IT-Sicherheit als Wirkungs- und Handlungszusammenhang . . . . . 29 1.6 Chancen und Risiken der Informationstechnik . . . . . . . . . . . . . . . . 31 1.7 Der VPN-Markt . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 1.8 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 2 Notwendigkeiten, Ziele und Anwendungsformen von VPN-Systemen 37 2.1 Idee und Definition von VPNs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37 2.2 Analogien . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 2.3 Moderne IT-Konzepte und IT-Sicherheit . . . . . . . . . . . . . . . . . . . . . . 40 2.4 Corporate Network versus öffentliche Kommunikationsinfrastruktur 41 2.5 Zielsetzung eines VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44 2.6 Anwendungsformen von VPNs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45 3 Bedrohungen im Netz . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 3.1 Angriffsmöglichkeiten in Kommunikations-Systemen . . . . . . . . . . 50 3.1.1 Passive Angriffe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50 3.1.2 Zufällige Verfälschungsmöglichkeiten . . . . . . . . . . . . . . . . . . . . . . . . 57 3.2 Weitere Aspekte potentieller Bedrohungen bei Internet-Kommunikation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59 3.2.1 Angriffstools aus dem Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60 3.2.2 Implementierungsfehler in Anwendungen und fehlerhafte Konfigurationen . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61 Inhaltsverzeichnis 3.2.3 Echelon . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61 3.3 Wie hoch ist das Risiko? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62 3.4 Schadenskategorien und Folgen . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63 3.4.1 Verstoß gegen Gesetze/Vorschriften/Verträge . . . . . . . . . . . . . . . . 63 3.4.2 Beeinträchtigung der persönlichen Unversehrtheit . . . . . . . . . . . . . 64 3.4.3 Beeinträchtigung der Aufgabenerfüllung . . . . . . . . . . . . . . . . . . . . . 64 3.4.4 Negative Außenwirkung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65 3.4.5 Finanzielle Auswirkungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65 3.5 Ergebnisse der KES/Utimaco-Studien . . . . . . . . . . . . . . . . . . . . . . . 65 3.6 Zusammenfassung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 4 Grundlegende Sicherheitsmechanismen . . . . . . . . . . . . . . . . . . . . . 67 4.1 Sicherheitsmechanismen für Verschlüsselung und Digitale Signatur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67 4.1.1 Private-Key-Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67 4.1.2 Public-Key-Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68 4.1.3 One-Way-Hashfunktion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70 4.1.4 Hybride Verschlüsselungstechnik . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 4.1.5 Ein Wettlauf um die Sicherheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 4.1.6 Zertifizierungs-Systeme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72 4.1.7 Chipkarte (SmartCard) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79 4.2 Kryptographische Algorithmen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82 4.2.1 Einführung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82 4.2.2 Symmetrische Verschlüsselungs-Verfahren . . . . . . . . . . . . . . . . . . . 86 4.2.2.1 Data Encryption Standard (DES) . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86 4.2.2.2 Triple-DES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88 4.2.2.3 International Data Encryption Algorithm (IDEA) . . . . . . . . . . . . . . 90 4.2.2.4 Blowfish . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92 4.2.2.5 RC4 und RC5 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93 4.2.2.6 Advanced Encryption Standard (AES) . . . . . . . . . . . . . . . . . . . . . . . . 94 4.2.3 Asymmetrische Verschlüsselungs-Verfahren . . . . . . . . . . . . . . . . . . 97 4.2.3.1 Diffie-Hellman . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97 4.2.3.2 RSA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99 4.2.3.3 ElGamal und DSA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103 4.2.4 Hash-Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104 4.2.4.1 Message Digest 4 (MD4) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105 4.2.4.2 Message Digest 5 (MD5) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106 8 Inhaltsverzeichnis 4.2.4.3 Secure Hash Algorithm (SHA) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107 4.2.4.4 HMAC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 4.3 Infrastruktur von Zertifizierungs-Systemen . . . . . . . . . . . . . . . . . . . 111 4.3.1 X.509-Zertifikate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112 4.3.2 Pretty Good Privacy (PGP) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117 4.3.3 Verzeichnisdienste und das LDAP-Protokoll . . . . . . . . . . . . . . . . . . . 119 5 Konzepte von Virtual Private Networks . . . . . . . . . . . . . . . . . . . . . . . 121 5.1 Ein VPN-Sicherheitssystem als transparente Lösung . . . . . . . . . . . . 121 5.1.1 Black-Box-Lösung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122 5.1.2 Security Sublayer im Endgerät: End-to-End-Verschlüsselung . . . . . 124 5.1.3 Sicherheit in LAN-Segmenten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125 5.1.4 Kopplung von LAN-Segmenten mit einer Security Bridge . . . . . . . . 127 5.1.5 Kopplung von LAN-Segmenten über öffentliche Netze . . . . . . . . . . 129 5.1.6 Bildung von kryptographisch gesicherten logischen Netzen (VPN) 132 5.1.7 VPN-Client . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132 5.1.