Sichere Kommunikation in der BFV. unter Verwendung von SINA Box Version 2 Virtual Desktop 1

Transkript

1 Sichere Kommunikation in der BFV unter Verwendung von SINA Box Version 2 Virtual Desktop 1

2 SINA-Kommunikation - Bekannt durch Behördennetze - IVBB - IVBV - TESTA - Direkte Behördenkommunikation - Standortübergreifende Anbindungen 2 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

3 Zielsetzung Aufbau einer SINA-Infrastruktur zur Anbindung externer Behörden und Dienstsitze. Weltweit erstmaliger Einsatz der SINA-Box Version 2.0. Enge Zusammenarbeit mit dem BSI und den Entwicklern Realisation des Netzes gemäß VS-NFD Einsatz des SINA-VirtualDesktop zur Anbindung von mobilen Teilnehmern 3 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

4 Bislang im Einsatz: SINA-Version 1.x.x Problematik: - Umschaltzeiten im HotStandBy (HSB) von 1 Min und länger - HSB-Betrieb nur möglich, wenn Boxen in unmittelbarer Nähe 4 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

5 Lösung: SINA-Box Version 2 - Umschaltzeiten im Betrieb < 15 Sekunden - Im Labor < 5 Sekunden Schlüsselmaterial wird zur Laufzeit von aktiver Box der passiven Box übergeben. Dadurch sofortiger Tunnelaufbau möglich. Zukünfige Features: Standortübergreifendes HSB durch Implementierung von OSPF. Somit Verteilung auf 2 entfernte Rechenzentren möglich. 5 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

6 Ziel: Erhöhung der Verfügbarkeit durch verbesserten HSB- Umschaltvorgang Anbindung zweier Rechenzentren in ein SINA-Netz zur verbesserten Redundanzabbildung. 6 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

7 SINA Virtual Desktop (SINA VD) 7 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

8 Windows-Applikation mit SINA-Linux-Sicherheitsfunktionen für Windows-Anwender Mittels sicherer Virtualisierungstechnologie wird die SINA-Plattform in eine Windows-Umgebung integriert. Subsystem der SINA Virtual Workstation liefert den Kern der kryptografischen Funktionalitäten Vollwertiges SINA VPN Kryptografisches Dateisystem (CFS) basierend auf Smartcard und PKI-Technologie. Die Dateisysteme können mit dem standardisierten iscsi-protokoll exportiert werden, um ein Gastbetriebssystem (2. virtuelle Maschine) zu starten Darüber hinaus ist sicherer Thin-Client-basierter Remote-Access (RDP, ICA und X11) über den SINA Virtual Desktop möglich. 8 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

9 Keine Datenvermischung von Host- und Gast-OS Virtualisierungsebene übt vollständige Kontrolle über das Gast OS aus Vertrauliche Daten können in einer virtuellen Maschine (VM) gespeichert werden (CFS) Virtualisierung führt zu einer für Angreifer nur schwer analysierbaren Programmund Datenstruktur Der Zugriff und die Möglichkeit von Manipulationen für Viren und Trojaner sind damit deutlich schwerer Sicherheitserwägung: Ein vollständiger Schutz der Daten vor dem Host-OS ist nicht möglich! 9 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

10 PC-Hardware Host-Betriebssystem Anforderungen Unterstützte Gastbetriebssysteme Unterstützte Authentisierungs-Token Intel-kompatible Hardware, mindestens Pentium M 1,6 GHz, bevorzugt Multicore-Systeme, min. 1GB RAM Windows XP mit 40 MByte freiem Festplattenplatz plus Gastbetriebssystem-Images (5, 10, 15 GB) Windows XP, 2000, NT4, Linux 2.4, Linux 2.6 Smartcards: CardOS 4.01(a), CardOS 4.3, G&D StarCOS Smartcard-Leser: KOBIL B1 Professional, andere PC/SC-kompatible Leser auf Anfrage USB-Token: Aladdin etoken Pro (entspricht CardOS 4.01), KOBIL midentity mit allen o. g. Smartcard- Typen (SIM-Format), andere PC/SC-kompatible Leser auf Anfrage 10 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

11 Zwei unterschiedliche Ansätze sind denkbar 1. Verschlüsselter, autorisierter Zugriff auf ein geschütztes Netzwerksegment mittels eines sicheren, gekapselten Gastbetriebssystems Virtual Desktop 11 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

12 Invers-Szenario 2. Gesicherter Zugriff auf Daten eines ungeschützten Netzbereiches mittels eines gekapselten und abgeschotteten Gastbetriebssystems Thema: Internetzugang im VS-Netz 12 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

13 Vorgesehene Einsatzgebiete: Einsatz als Mobilclient (VPN-Client) für Telearbeiter, Mobilarbeiter (Betriebsprüfer etc.) mit höchsten Sicherheitsanspruch. Einsatz als Transfermedium und Datencontainer und für VS Eingestufte Daten und Dokumente. 13 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

14 SINA VD schematischer Aufbau 14 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel

15 Ich bedanke mich für Ihre Aufmerksamkeit. Ich stehe Ihnen für weitere Fragen hier am Stand gerne zur Verfügung. Quellen: Sina-VD Kurzpräsentation der Fa. Secunet 15 SINA Box Version 2 und Sina VirtualDesktop 1 Axel Göbel