Browser in the Box (BitBox)

Transkript

1 Safer Surfen Mit neuem Ansatz zum sicheren Internetzugang In 2006 schuf das BSI mit ReCoBS eine sichere Alternative zu herkömmlichen Browsern. In 2011 wurde das Konzept mit Browser in the Box zu einer modernen Lösung für klassische Standard-Infrastrukturen in Behörden und Unternehmen weiterentwickelt. Dr. Norbert Schirmer, Sirrix AG Das Internet und insbesondere das Web ist aus dem Arbeitsalltag nicht mehr wegzudenken. Gleichzeitig ist das Surfen im Web durch die Allgegenwart von aktiven Inhalten zum Haupteinfallstor für Schadsoftware geworden. Die Schadsoftware nutzt Sicherheitslücken im Browser und im Betriebssystem aus, um Zugriff auf den Arbeitsplatz PC zu erhalten. Die im Browser und im Betriebssystem eingebauten Schutzkonzepte greifen dauerhaft zu kurz 1. Beispielsweise basiert die Abwehr in Virenscannern auf der Erkennung von bekanntem Code bzw. auf Code mit bekannten auffälligen Verhaltensmustern. Die jüngere Vergangenheit hat deutlich bewiesen dass solche Techniken wirkungslos gegenüber Angriffen auf neue Sicherheitslücken in den Systemen sind. Derartige Sicherheitslösungen hinken also systematisch bekannten Angriffen hinterher. Wir betrachten in diesem Artikel zwei Architekturen, um dieses Dilemma zu überwinden, nämlich Browser in the Box (BitBox) als derzeit einziges Standardprodukt mit dem Ansatz der Desktop-Virtualisierung und das Remote-Controlled Browsers System (ReCoBS). Die zentralen Schutzziele sind dabei der Schutz von vertraulichen Daten und der Schutz der internen Infrastruktur (Intranet) vor Webbasierten Angriffen aus dem Internet. Beide Systeme adressieren das Problem mit der gleichen Grundstrategie: Nicht der Browser wird abgesichert, sondern der Arbeitsplatz PC und das Intranet wird vor dem Browser geschützt. Auch im Falle eines erfolgreichen Angriffs auf den Browser sorgen Isolationsmechanismen dafür, dass die Schutzziele nach wie vor erfüllt werden. Dieser Artikel zeigt zum Einen die verblüffende Ähnlichkeit beider Ansätze in der grundsätzlichen Sicherheitsarchitektur auf und beleuchtet gleichzeitig die Auswirkungen in der Umsetzung im Hinblick auf die Wirtschaftlichkeit, Skalierbarkeit, und möglichen Einsatzszenarien. Browser in the Box (BitBox) Im Jahr 2010 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Ausschreibung für eine Einzelplatzversion des Browser in the Box (BitBox) bekanntgegeben, und die Sirrix AG wurde daraufhin mit der Umsetzung beauftragt. Bei BitBox wird die Ausführung des Browsers auf dem in einer virtuellen Maschine isoliert. Im Mai 2011 wurde die frei verfügbare Einzelplatzversion veröffentlicht. Diese Einzelplatzversion sichert einen einzelnen PC vor Angriffen aus dem Internet, nicht aber die restliche interne Infrastruktur (Intranet) eines Unternehmens oder Behörde. Die Sirrix AG hat daher gemäß der html,

2 Empfehlung des BSI auch eine Trennung auf Netzwerkebene zu vollziehen, diese Einzelplatzversion zu einer Enterprise Version weiter ausgebaut. Damit werden zwei wesentliche Merkmale hinzufügt: Eine Absicherung des Intranet vor dem Internet auch auf Netzwerkebene und ein zentrales Management. Der Internetverkehr wird über einen VPN- Tunnel aus der virtuellen Maschine des Browsers, direkt in ein Gateway in der geleitet. Internet BitBox Gateway BitBox Konto BitBox Konto Virtualisierungsumgebung Browser-VM (Internet) VPN-VM Anwenderkonto Anwenderkonto vertrauliche Daten Anwendung (Intranet) VM VPN Tunnel allg. Netzwerk-Verkehr Internetverkehr Arbeitsplatz PC virtuelle Maschine VPN Web-Sicherheitsproxy Paketfilter demilitarisierte Zone Virtual Private Network Abbildung 1: Browser in the Box Architektur Bei der BitBox (siehe Abbildung 1) wird der Browser zwar direkt auf dem ausgeführt, aber er wird in einer virtuellen Maschine isoliert, der Browser-VM. Angriffe auf den Browser laufen damit ins Leere, da sie in der Browser-VM isoliert sind und nicht auf den übergreifen können. Darüberhinaus wird der Netzwerkverkehr über einen VPN Tunnel direkt zu dem BitBox-Gateway und damit ins Internet geleitet. Dadurch wird eine Trennung von Browser und und von Internet und Intranet umgesetzt. In der kommt optional noch ein Web-Sicherheitsproxy zum Einsatz welcher beispielsweise benutzerspezifische Zugriffskontrolle auf Webseiten durchsetzen kann. Daneben kommen in BitBox noch weitere Sicherheitsmaßnahmen zum Einsatz die wir hier nur streifen können. Innerhalb der Browser-VM erschwert ein gehärtetes SELinux als Betriebssystem den Ausbruch aus dem Browser erheblich. Gelingt es Schadsoftware dennoch die Browser-VM zu infizieren so sorgt ein einfach Neustart der BitBox für Abhilfe, da die Browser-VM bei jedem Neustart automatisch auf einen sauberen, signierten Zustand zurückgesetzt wird. Darüberhinaus ist der VPN Endpunkt in einer separaten virtuellen Maschine gekapselt (VPN-VM). Auch eine infizierte Browser-VM kann damit den VPN- Tunnel nicht beeinflussen und die Isolation der Netzwerkverkehres bleibt erhalten. Die grundsätzliche Schutz vor einem Übergriff von Schadsoftware auf den ist die Virtualisierung. Die Schnittstellen der Browser-VM zum (z.b. für den Download bzw. Upload) sind in BitBox abgesichert. Da Angriffe aus einer infizierten Browser-VM heraus auf die Virtualisierung theoretisch denkbar sind wurde die Virtualisierungslösung VirtualBox im Rahmen des BitBox Projektes zusammen mit dem BSI untersucht bevor die Einzelplatzversion entwickelt wurde (Weber, Schirmer, 2011). Es sind bislang keine Angriffe bekannt, in denen man aus der virtuellen Maschine heraus die Virtualisierung umgehen konnte um Zugriff auf Daten im zu erlangen. ReCoBS ReCoBS ist ein Lösungsvorschlag, der im Jahr 2006 vom BSI vorgeschlagen wurde. Er ist dokumentiert in einem Konzeptpapier (Bundesamt für Sicherheit in der Informationstechnik, 2006) und in einem Common Criteria Schutzprofil (Bundesamt für Sicherheit in der Informationstechnik, 2008).

3 Internet ReCoBS Server TSP Proxy ReCoBS-Client vertrauliche Daten Anwendung (Intranet) Browser... Browser ReCoBS Server TSP Verkehr allg. Netzwerk-Verkehr Internetverkehr Arbeitsplatz PC TSP Terminal Server Protokoll Web-Sicherheitsproxy Paketfilter demilitarisierte Zone Abbildung 2: ReCoBS Architektur Die Grundidee von ReCoBS (siehe Abbildung 2) ist es, den Browser nicht mehr auf dem auszuführen, sondern auf einem zentralen Server, dem ReCoBS-Server, und von dort lediglich die Bild und Audioinformation auf den zu dem ReCoBS-Client zu übertragen. Der Browser auf dem Server wird auf dem durch den ReCoBS-Client lediglich dargestellt und ferngesteuert. Der Server selbst hat nur Zugang zum Internet nicht aber zum Intranet, bis auf das sogenannte Terminal Server Protokoll (TSP): die Übertragung der Grafik/Audio Daten und die Fernsteuerung. Schadsoftware, die den Browser angreift, bleibt auf dem Server und betrifft nicht den und das Intranet. Dadurch werden der Browser vom und das Internet vom Intranet getrennt. Es wird Empfohlen die Einhaltung des TSP durch einen Proxy zu kontrollieren um einen Angriff auf das TSP von einem infizierten ReCoBS-Servers aus zu unterbinden. Da auf dem Server die Browser aller Nutzer ausgeführt werden, sind zur Skalierung ggf. mehrere Server einzusetzen, ein ReCoBS-Server Verbund. Vergleich der (Sicherheits-) Architekturen Beide Systeme basieren auf derselben Grundphilosophie zur Erreichung der Sicherheit, nämlich der Isolation des Browsers und des Internets vom und dem Intranet. Es werden hierfür zwar unterschiedliche Mechanismen eingesetzt, aber grundsätzlich gehen beide Systeme davon aus, dass der Browser und das darunterliegende Betriebssystem angreifbar und verwundbar sind. Auch im Falle eines erfolgreichen Angriffs sorgen die Isolationsmechanismen aber dafür, dass die Schutzziele nach wie vor erfüllt sind. In einem ReCoBS-System wird diese Isolation durch eine Trennung der Verarbeitung und der Darstellung von potentiell schadhaften Webinhalten auf unterschiedlichen Computern erzielt. Hierdurch wird erreicht, dass potentiell schadhafte Webinhalte lediglich in der auf dem ReCoBS Server ausgeführt werden. Da die Webinhalte von dem ReCoBS-Client auf dem nur dargestellt werden, haben sie dort keinen Zugriff auf Daten des oder des Intranets. In einem BitBox-System ist die Isolation durch eine vollständige virtualisierte Browserumgebung (Browser-VM) auf dem gewährleistet. Durch den Einsatz der Virtualisierung auf dem und der Verwendung eines VPN-Tunnels zum BitBox-Gateway in der wird eine Abgrenzung des Internet vom Intranet geschaffen. Durch diese Kombination wird jede Browser-VM sozusagen in die verlagert, sodass diese vollständig vom eigentlichen Intranet ausgegrenzt wird. Da jede Browser-VM ein

4 vollständiges Betriebssystem besitzt, kann diese als völlig autarke Netzwerkkomponente angesehen werden. Betrachtet man die Architekturen und Schutzkonzepte auf dieser hohen Abstraktionsebene stechen die Ähnlichkeiten beider Ansätze hervor: Isolierte Ausführung des Browsers: Entweder auf dem ReCoBS Server oder in der BitBox Browser-VM. Trennung des Netzwerkverkehrs: Umwandlung des Internetverkehrs in Grafik/Audio Dateien in ReCoBS, vs. VPN Tunnel der Browser-VM in das BitBox- Gateway im Falle der BitBox. Diese Ähnlichkeiten setzen sich auch in weiteren flankierenden Sicherheitskonzepten, wie der Härtung der Betriebssysteme von ReCoBS-Server bzw. Browser-VM fort. Insgesamt erreichen damit beide Architekturen durch die konsequente Umsetzung der Isolation ein adäquates Sicherheitsniveau. Die zentralen Unterschiede in den Architekturen sind: Zentralisierte Ausführung der Browser aller Benutzer auf dem ReCoBS-Server (Verbund) versus dezentralisierter Ausführung der Browser auf den s der Benutzer. Dies entspricht einer physikalischen Isolation der Browser verschiedener Benutzer im Falle der BitBox. Physikalische Isolation von Browserausführung und Darstellung im Falle von ReCoBS versus virtuelle Isolation im Falle von BitBox. Terminal Server Protokoll zur Kommunikation zwischen ReCoBS-Server und Client, versus VPN Tunnel zur Kommunikation zwischen BitBox-Client und BitBox Gateway. Operationaler Vergleich Die dezentrale Architektur der BitBox hat neben dem positiven Sicherheitsaspekt der Benutzerisolation weitreichende positive Auswirkungen auf Wirtschaftlichkeit, Skalierbarkeit, Administration und möglichen Einsatzszenarien: Wirtschaftlichkeit: Der berechnungs und speicherintensive Browser wird auf dem ausgeführt. Damit werden vorhandene Clientressourcen genutzt und ein zentraler leistungsstarker Server oder Serververbund ist nicht nötig. Administration: Die BitBox kann benutzerindividuell konfiguriert werden, dies betrifft Sicherheitseinstellungen, wie Download / Upload / Drucken, die Persistenz von Browserdaten (wie Lesezeichen, oder Plugins) bis hin zu individuellen Browser-VMs (z.b. mit und ohne Java Support). Diese Konfiguration ist zentral über ein Webinterface administrierbar und bezieht vorhandene Benutzer und Gruppeninformationen, wie Active Directory, mit ein. Weiterhin kann die BitBox über herkömmliche bereits bestehende Software-Verteilmechanismen auf die Clients gebracht werden. Bandbreite: Bei der BitBox findet keine Umwandlung des Internet Datenverkehrs in Bild / Audioinformationen statt wie bei ReCoBS. Durch die VPN-Tunnelung des Datenverkehrs beträgt der Overhad bei BitBox lediglich etwa 10%. Die Umwandlung in Bild / Audioinformation in ReCoBS dagegen führt zu einem Overhead von 500%- 1000%. Beispielsweise sorgen animierte Bilder für einen konstanten Datenverkehr

5 Fazit vom ReCoBS Server zum ReCoBS Client. In BitBox dagegen wird nach dem einmaligen Laden eines Bildes kein weiteres Datenaufkommen mehr verursacht. Die gute Ausnutzung der Bandbreite ermöglicht den BitBox Einsatz auch bei schwierigen Netzwerkverbindungen, z.b. im Falle des mobilen Einsatzes auf dem Laptop oder bei schmalbandig angebundenen Zweigstellen. Skalierbarkeit: die dezentrale Architektur und der geringe Bandbreitenoverhead der BitBox führen zu einer hohen Skalierbarkeit der Lösung, derzeit bei Installationen mit bis zu Clients. Das zentrale Web-Gateway kann auch als redundantes Cluster mit Lastverteilung betrieben werden um eine hohe Ausfallsicherheit und Durchsatz zu garantieren. Vom Blickpunkt der Sicherheitsarchitektur kann man BitBox als dezentrales, virtualisiertes ReCoBS System auffassen. Beide Lösungen bieten durch das konsequent durchgesetzte Prinzip der Isolation von Browser und Internetverkehr von dem Arbeitsplatz PC und dem Intranet einen adäquaten Schutz vor webbasierten Angriffen aus dem Internet, der über das Maß der heute gängigen Sicherheitssysteme hinaus geht. Die dezentrale Architektur der BitBox nutzt die Rechenkapazität jedes einzelnen Arbeitsplatz PCs und bietet gleichzeitig nur einen geringen Overhead beim aufkommenden Internetverkehr. Dadurch erschließen sich für die BitBox auch herausfordernde Anwendungsfelder sowohl was die Skalierbarkeit hin zu einer hohen Anzahl Arbeitsplätzen betrifft, als auch den Betrieb von mobilen Benutzern und bei schmalbandigen Netzwerkanbindungen von Standorten. Weiterhin bleibt aber ein ReCoBS System durchaus attraktiv für Anwender mit Terminal Server Umgebungen ohne mobile Nutzer bzw. wenn ausschließlich Thin Clients zum Einsatz kommen. Literatur Bundesamt für Sicherheit in der Informationstechnik. (2008). Common Criteria Protection Profile for Remote-Controlled Browsers Systems (ReCoBS). Bonn. Bundesamt für Sicherheit in der Informationstechnik. (2006). Remote-Controlled Browsers System (ReCoBS) - Grundlagen und Anforderungen. Bonn. Marion Weber, Norbert Schirmer. (2011). Browser in the Box BitBox; Safer Surfen Freies Internet am Arbeitsplatz aber trotzdem geschützt. <kes> Die Zeitschrift für Informations-Sicherheit. Nr. 5, Oktober 2011.