iphone in Unternehmen

Transkript

1 iphone in Unternehmen Bereitstellungsszenarien und Überblick über die Gerätekonfiguration Juni 009 Erfahren Sie anhand dieser Bereitstellungsszenarien und dem Überblick über die Gerätekonfiguration, wie sich das iphone nahtlos in die Unternehmensumgebung integrieren lässt. Microsoft Exchange IMAP, CalDAV und LDAP Virtual Private Networks WPA Enterprise/80.X Digitale Zertifikate Überblick über die Gerätekonfiguration Kabellose Anmeldung und Konfiguration

2 iphone in Unternehmen Microsoft Exchange Das iphone kommuniziert über Microsoft Exchange ActiveSync direkt mit Ihrem Microsoft Exchange Server (EAS) und ermöglicht Push-Dienste für s, Kalender und Kontakte. Exchange ActiveSync bietet den Benutzern auch Zugang zu Global Address Lookup (GAL) und gewährleistet Administratoren Passcode-Richtlinienzwang und Remote-Wipe-Fähigkeiten. Das iphone unterstützt sowohl die grundlegende als auch die zertifikatbasierte Authentifizierung für Exchange ActiveSync. Wenn Ihr Unternehmen derzeit mit Exchange ActiveSync arbeitet, sind die notwendigen Dienste zur Unterstützung des iphone bereits vorhanden es ist keine weitere Konfiguration notwendig. Wenn Ihr Unternehmen Erfahrung hat mit Exchange Server 00 oder 007, aber noch keine Erfahrung mit Exchange ActiveSync, sollten Sie Folgendes prüfen: Exchange ActiveSync- Sicherheitsrichtlinien Remote Wipe Zwingende Eingabe eines Gerätekennworts Mindestlänge für Kennwörter Maximalanzahl fehlgeschlagener Kennworteingaben (vor Local-Wipe) Kennwort muss aus Ziffern und Buchstaben bestehen Inaktivitätszeit in Minuten ( bis 60 Minuten) Zusätzliche Exchange ActiveSync- Richtlinien (nur für 007) Einfaches Kennwort zulassen oder ablehnen Kennwortablauf Kennwortverlauf Richtlinienaktualisierungsvorgabe Mindestanzahl komplexer Zeichen in einem Kennwort Bei Roaming manuelle Synchronisierung erforderlich Kameranutzung zulassen Exchange ActiveSync-Setup Überblick über die Netzwerkkonfiguration Stellen Sie sicher, dass in der der Port 44 geöffnet ist. Wenn Ihr Unternehmen die Verwendung von Outlook Web Access zulässt, ist Port 44 wahrscheinlich bereits geöffnet. Prüfen Sie, ob auf dem Front-End-Server ein Serverzertifikat installiert ist, und aktivieren Sie in IIS SSL für das virtuelle Verzeichnis von Exchange ActiveSync. Wenn Sie einen Microsoft Internet Security and Acceleration (ISA) Server verwenden, prüfen Sie, ob ein Serverzertifikat installiert ist, und aktualisieren Sie den öffentliche DNS- Server, damit eingehende Verbindungen abgewickelt werden können. Stellen Sie sicher, dass der DNS Ihres Netzwerks eine einzelne, externe routingfähige Adresse für Intranet- und Internetclients an den Exchange ActiveSync-Server zurücksendet. Diese wird benötigt, damit das Gerät dieselbe IP-Adresse für die Kommunikation mit dem Server verwenden kann, wenn beide Verbindungsarten aktiv sind. Wenn Sie einen Microsoft ISA-Server verwenden, erstellen Sie einen Web-Listener sowie eine Bereitstellungsrichtlinie für den Zugriff durch Exchange Webclients. Details hierzu entnehmen Sie bitte der Microsoft-Dokumentation. Legen Sie für alle s und Netzwerk-Appliances das Zeitlimit für inaktive Sitzungen auf 0 Minuten fest. In der Dokumentation zu Microsoft Exchange finden Sie Angaben zu alternativen Einstellungen für Takt- und Timeout-Intervalle unter microsoft.com/en-us/library/cc870.aspx. Konfigurieren Sie mithilfe des Exchange System Managers die Funktionen für mobile Geräte, die Richtlinien und die Einstellungen für die Gerätesicherheit. Unter Exchange Server 007 können diese Einstellungen über die Exchange-Verwaltungskonsole vorgenommen werden. Laden Sie das Microsoft Exchange ActiveSync Mobile Administration-Webtool herunter, und installieren Sie es, da es zum Löschen der Inhalte von mobilen Geräten per Fernzugriff (Remote Wipe) erforderlich ist. Unter Exchange Server 007 kann Remote Wipe auch mithilfe von Outlook Web Access oder über die Exchange- Verwaltungskonsole gestartet werden.

3 Standardauthentifizierung (Benutzername und Kennwort) Aktivieren Sie über den Active Directory-Dienst Exchange ActiveSync für spezielle Benutzer oder Gruppen. Diese sind in Exchange Server 00 und Exchange Server 007 standardmäßig für alle Mobilgeräte auf dem Unternehmensniveau aktiviert. Näheres hierzu finden Sie in Exchange Server 007 unter "Empfängerkonfiguration" der Exchange-Verwaltungskonsole. Standardmäßig ist in Exchange ActiveSync die Standardbenutzerauthentifizierung aktiviert. Es wird empfohlen, SSL für die Standardauthentifizierung zu aktivieren, um sicherzustellen, dass Zertifikate während der Authentifizierung verschlüsselt werden. Andere Microsoft Exchange ActiveSync- Dienste Mail-Suche in Exchange Server 007 Kalendereinladungen akzeptieren und erstellen Suche in der globalen Adressliste Zertifikatbasierte Authentifizierung -Push-Funktion in ausgewählte Ordner Autodiscovery Zertifikatbasierte Authentifizierung Installieren Sie die Zertifikatdienste für Unternehmen auf einem Mitgliedsserver oder Domänencontroller in Ihrer Domäne (dieser dient als Authentifizierungsserver). Weitere Informationen zu den Zertifikatdiensten finden Sie in den von Microsoft erhältlichen Ressourcen. Konfigurieren Sie IIS auf Ihrem Exchange-Front-End-Server oder Client-Access Server so, dass die zertifikatbasierte Authentifizierung im Virtuellen Verzeichnis von Exchange ActiveSync akzeptiert wird. Deaktivieren Sie "Standardauthentifizierung", und wählen Sie entweder "Clientzertifikate akzeptieren" oder "Clientzertifikate anfordern", um Zertifikate zu akzeptieren oder von allen Benutzern anzufordern.. Erstellen Sie mit Ihrem Zertifizierungsserver Clientzertifikate. Exportieren Sie den öffentlichen Schlüssel, und konfigurieren Sie IIS für die Benutzung dieses Schlüssels. Exportieren Sie den privaten Schlüssel, und verwenden Sie das Konfigurationsprogramm des iphone oder die kabellose Registrierung und Konfiguration, um diesen Schlüssel an das iphone zu senden.

4 4 Exchange ActiveSync-Bereitstellungsszenario Dieses Beispiel zeigt, wie eine Verbindung zwischen dem iphone und einer typischen Implementierung von Microsoft Exchange Server 00 oder 007 hergestellt wird. Privater Schlüssel (Zertifikat) Zertifikatserver Das iphone Konfigurationsprogramm 44 Active Directory Öffentlicher Key (Zertifikat) Internet Microsoft ISA-Server Exchange Front-End- oder Client Access-Server Mail Gateway oder Edge Transport-Server* Bridgehead- oder Hub Transport-Server Exchange Mailbox oder Back-End-Server *Je nach deiner Netzwerkkonfiguration bleibt der Mail Gateway oder Edge Transport Server innerhalb des Perimeternetzwerks (DMZ) Das iphone fordert den Zugriff auf Exchange ActiveSync-Dienste über den Port 44 (HTTPS) an. (Dieser Port wird auch für Outlook Web Access und andere sichere Web-Dienste verwendet, daher ist dieser Port in vielen Implementierungen bereits geöffnet und für den SSL-verschlüsselten HTTPS-Verkehr konfiguriert.) ISA bietet Zugriff auf den Exchange Front-End- oder Client Access-Server. ISA ist als Proxy konfiguriert oder in vielen Fällen als Reverse-Proxy, um den Verkehr zum Exchange Server abzuwickeln. Exchange Server authentifiziert den einwählenden Benutzer über den Active Directory-Dienst und den Zertifikatserver (wenn die zertifikatbasierte Authentifizierung aktiviert ist). Wenn der Benutzer das richtige Zertifikat bereitstellt und Zugriff auf die Exchange ActiveSync-Dienste hat, stellt der Front-End-Server eine Verbindung zur zugehörigen Mailbox auf dem Back-End-Server (über den globalen Katalog von Active Directory) her. Die Verbindung zu Exchange ActiveSync ist aufgebaut. Aktualisierungen/Änderungen werden kabellos auf das iphone übertragen, und Änderungen auf dem iphone werden auf dem Exchange-Server nachvollzogen. Gesendete Mail-Elemente auf dem iphone werden auch mit dem Exchange Server über Exchange ActiveSync synchronisiert (Schritt 5). Um ausgehende s an externe Empfänger weiterzuleiten, werden s normalerweise per SMTP über einen Bridgehead- (oder Hub Transport-)Server an einen externen Mail-Gateway (oder Edge Transport Server) weitergeleitet. Je nach der Netzwerkkonfiguration kann der Mail-Gateway oder Edge Transport Server innerhalb des Perimeternetzwerks oder außerhalb der angesiedelt sein. 009 Apple Inc. Alle Rechte vorbehalten. Apple und das Apple-Logo sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. iphone ist eine Marke der Apple Inc. Andere Produkt- und Firmennamen in diesem Dokument sind Eigentum ihrer jeweiligen Inhaber. Die Produktspezifikationen können sich ohne vorherige Ankündigung ändern. Diese Materialien werden ausschließlich zu Informationszwecken bereitgestellt; Apple übernimmt in Bezug auf die Verwendung der Informationen keine Haftung. Juni 009 L7757C

5 5 iphone in Unternehmen IMAP, CalDAV und LDAP Durch Unterstützung des IMAP- -Protokolls, CalDAV-Kalendern und des LDAPVerzeichnisdienstes kann das iphone in beinahe jede standardbasierte Mail-, Kontakt- und Kalenderserver-Umgebung eingebunden werden. Wenn Ihr Netzwerk für zwingende Benutzerauthentifizierung und SSL konfiguriert ist, bietet das iphone einen sehr sicheren Weg, um auf Unternehmens- , Kalender und Kontakte zuzugreifen. Empfohlene Anschlüsse IMAP/SSL: 99 IMAP/SSL: 587 LDAP/SSL: 66 CalDAV/SSL: 844 IMAP- oder POP-fähige Maillösungen Das iphone unterstützt branchenübliche IMAP4- und POP-fähige Mail-Server auf einer Vielzahl an Serverplattformen, einschließlich Windows, UNIX, Linux und Mac OS X. Zusätzliche Informationen zum IMAP4rev- Standard finden Sie unter CalDAV-Kalenderstandard Das iphone unterstützt das CalDAV- Kalenderprotokoll. Das CalDAV-Protokoll wurde von IETF standardisiert. Weitere Informationen finden Sie über das CalConnect- Konsortium unter Bei einer typischen Implementierung stellt das iphone einen direkten Zugang zu IMAP- und SMTP fähigen Servern für den kabellosen -Empfang und -Versand her. Darüber hinaus ermöglicht die Synchronisierung mit Ihrem CalDAV-Server den iphone Benutzern den kabellosen Empfang von Aktualisierungen für Ihren Kalender. Und das iphone kann auch eine Verbindung zu LDAPv- Unternehmensverzeichnissen herstellen und den Benutzern somit Zugang zu den Kontakten des Unternehmens in -, Kontakt- und SMS-Programmen ermöglichen. Alle Netzwerkserver können sich innerhalb eines DMZ-Teilnetzes und/oder hinter einer Firmen- befinden. Mit SSL unterstützt das iphone die 8-Bit-Verschlüsselung sowie X.509-Stammzertifikate, die von führenden Zertifizierungsstellen ausgestellt werden. Netzwerkinstallation Der IT- oder Netzwerkadministrator muss die folgenden grundlegenden Schritte ausführen, um den direkten Zugriff vom iphone auf IMAP, CalDAV und LDAP zu ermöglichen: Öffnen Sie die folgenden Ports der : 99 für IMAP- , 587 für SMTP- , 66 für LDAP- Verzeichnisdienste und 844 für CalDAV-Kalenderlösungen. Dabei handelt es sich um die Standard- Ports für Kommunikation über SSL zur sicheren Verschlüsselung der Anfragen an Ihre Server während der Funkübertragung. Sie sollten außerdem die Kommunikation zwischen Proxy-Server und Back-End-IMAP-, CalDAV- und LDAP-Servern für die SSL-Verwendung konfigurieren, um sicherzustellen, dass ein von einer vertrauenswürdigen Zertifizierungsstelle (CA) wie VeriSign ausgestelltes digitales Zertifikat auf dem Server verwendet wird, um zusätzliche Sicherheit zu erhalten. Dies ist ein wichtiger Schritt, der sicherstellt, dass das iphone Ihren Proxy-Server innerhalb Ihrer Unternehmensinfrastruktur als vertrauenswürdige Einheit erkennt. Damit das iphone ausgehende SMTP- s senden kann, müssen die Ports 587, 465 oder 5 geöffnet sein. Das iphone prüft automatisch Port 587, danach Port 465 und schließlich Port 5. Port 587 ist der zuverlässigste und sicherste Port, da er eine Benutzerauthentifizierung erfordert. Port 5 erfordert keine Benutzerauthentifizierung. Er wird außerdem von einigen ISPs standardmäßig gesperrt, um Spam zu verhindern.

6 6 Implementierungsszenario Dieses Beispiel zeigt, wie das iphone eine Verbindung zu einer typischen IMAP-, CalDAV- und LDAP-Implementierung herstellt. 66 (LDAP) LDAP Directory Server 844 (CalDAV) Reverse Proxy-Server 4 CalDAV-Server Internet 99 (IMAP) 587 (SMTP) 5 Mail-Server 4 5 Das iphone fordert über die vorgegebenen Ports Zugriff auf Netzwerkdienste an. Je nach Dienst müssen sich iphone Benutzer entweder beim Reverse-Proxy oder direkt beim Server authentifizieren, um Zugang zu Unternehmensdaten zu erhalten. In jedem Fall werden die Verbindungen vom Reverse-Proxy weitergeben, der als Sicherheits-Gateway funktioniert, und sich typischerweise hinter der Internet- des Unternehmens befindet. Einmal authentifiziert können Benutzer auf den Back-End-Servern auf ihre Unternehmensdaten zugreifen. Das iphone bietet Verzeichnissuchdienste in LDAP-Verzeichnissen und ermöglicht dem Benutzer so, nach Kontakten und anderen Adressinformationen auf dem LDAP-Server zu suchen. Im Fall von CalDAV-Kalendern können Benutzer auf dem iphone auf Kalender zugreifen und diese aktualisieren. Im Fall des IMAP-Mail-Dienstes können bereits vorhandene und neue Nachrichten über die Proxy-Verbindung mit dem Mail-Server gelesen werden. Ausgehende s vom iphone werden an den SMTP-Server gesendet, wobei Kopien im "Gesendet"-Ordner des Benutzers gespeichert werden. 009 Apple Inc. Alle Rechte vorbehalten. Apple, das Apple-Logo und Mac OS sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. iphone ist eine Marke der Apple Inc. UNIX ist eine eingetragene Marke von The Open Group. Andere Produkt- und Firmennamen in diesem Dokument sind Eigentum ihrer jeweiligen Inhaber. Die Produktspezifikationen können sich ohne vorherige Ankündigung ändern. Diese Materialien werden ausschließlich zu Informationszwecken bereitgestellt. Apple übernimmt in Bezug auf die Verwendung der Informationen keine Haftung. Juni 009 L7757C

7 7 iphone in Unternehmen Virtual Private Network (VPN) Der sichere Zugriff auf private Unternehmensnetzwerke vom iphone ist unter Verwendung von bewährten branchenüblichen VPN-Protokollen möglich. Die iphone unterstützt Cisco IPSec, LTP über IPSec und PPTP. Wenn Ihr Unternehmen eines dieser Protokolle unterstützt, sind keine zusätzlichen Netzwerkkonfigurationen oder Anwendungen Dritter erforderlich, um das iphone mit Ihrem VPN zu verbinden. Bei Cisco IPSec-Implementierungen kann der Vorteil der zertifikatbasierten Authentifizierung über branchenübliche digitale X.509-Zertifikate genutzt werden. Die zertifikatbasierte Authentifizierung auf dem iphone unterstützt VPN-On-Demand. VPN-On-Demand kann automatisch eine Verbindung herstellen, wenn auf vordefinierte Domains zugegriffen wird, und bietet so ein unterbrechungsfreies VPN- Verbindungserlebnis für iphone Benutzer. Das iphone unterstützt sowohl RSA Secur ID als auch CRYPTOCard für die Two-Factor-Token-basierte Authentifizierung. Benutzer geben ihre PIN und tokengenerierte, einmalige Kennwörter direkt in ihr iphone ein, wenn eine VPN-Verbindung hergestellt wird. VPN-Protokolle Cisco IPSec LTP/IPSec PPTP Authentifizierungsmethoden Kennwort (MSCHAPv) RSA SecurID: CRYPTOCard Digitale X.509-Zertifikate "Shared Secret" Das iphone unterstützt die Authentifizierung über einen gemeinsamen geheimen Schlüssel für Cisco IPSecund LTP/IPSec-Implementierungen. Für die grundlegende Authentifizierung von Benutzernamen und Kennwörtern unterstützt das iphone MS-CHAPv. Ebenso wird die VPN Proxy Auto-Configuration (PAC) unterstützt und ermöglicht es Ihnen, Proxy- Servereinstellungen für den Zugang zu bestimmten URLs festzulegen. VPN-Einrichtung Dass iphone kann in die meisten existierenden VPN-Netzwerke integriert werden, daher sollte nur eine minimale Konfiguration notwendig sein, um mit dem iphone auf Ihr Netzwerk zugreifen zu können. Der beste Weg, die Implementierung vorzubereiten ist, zu überprüfen, ob die bestehenden VPN-Protokolle und Authentifizierungsmethoden Ihres Unternehmens vom iphone unterstützt werden. Es kann auch nützlich sein, den Authentifizierungspfad zu Ihrem Authentifizierungsserver zu überprüfen, um sicherzustellen, dass die vom iphone unterstützten Standards in Ihrer Implementierung unterstützt werden. Wenn Sie eine zertifikatbasierte Authentifizierung verwenden möchten, stellen Sie sicher, dass Sie eine Public-Key-InfraStruktur konfiguriert haben, um die geräte- und benutzerbasierten Zertifikate mit dem entsprechenden Schlüsselverteilungvorgang zu unterstützen. Zusätzliche Dokumentation zu digitalen Zertifikaten für IPSec VPNs finden Sie unter: Wenn Sie URL-spezifische Proxy-Einstellungen konfigurieren möchten, platzieren Sie eine PAC-Datei, auf die über die grundlegenden VPN-Einstellungen zugegriffen werden kann, auf einem Web-Server und stellen Sie sicher, dass sie mit dem application/x-ns-proxy-autoconfig MIME-Typ gehostet wird. Setzen Sie sich mit dem Anbieter Ihrer Lösung in Verbindung, um zu überprüfen, ob Ihre Software und Geräte mit den neuesten Sicherheitspatches und der neuesten Firmware ausgestattet sind. Weitere Dokumentation zur iphone VPN-Verbindung mit Cisco Adaptive Security Appliances (ASA) finden Sie auf iphone.html.

8 8 VPN-Implementierungsszenario Dieses Beispiel zeigt die typische Implementierung in einen VPN-Server/-Konzentrator sowie die Zugangssteuerung von Unternehmensnetzwerkdiensten durch einen Authentifizierungsserver. a b Authentifizierung Zertifikat oder Token VPN-Authentifizierungsserver Token-Generierung oder Zertifikatsverteilung Verzeichnisdienst 4 VPN-Server/-Konzentrator Privates Netzwerk Zertifikat, Token oder Kennwort Öffentliches Internet Proxy-Server 5 a b 4 5 Das iphone fordert den Zugriff auf Netzwerkdienste an (normalerweise über eine PPP-Verbindung). Der VPN-Server/-Konzentrator erhält eine Anforderung und leitet diese anschließend an den Authentifizierungsserver weiter. In einer Two-Factor-Token-Umgebung verwaltet der Authentifizierungsserver eine zeitsynchronisierte Token-Schlüsselgenerierung beim Schlüsselserver. Ist eine Zertifikat-Authentifizierungsmethode implementiert, muss vor der Authentifizierung ein Identitätszertifikat and das iphone übermittelt werden. Ist eine Kennwort-Methode implementiert, wird der Authentifizierungsprozess mit der Benutzervalidierung fortgesetzt. Ist der Benutzer authentifiziert, validiert der Authentifizierungsserver die Benutzer und Gruppenrichtlinien. Nach der Validierung von Benutzer- und Gruppenrichtlinien bietet der VPN-Server einen getunnelten und verschlüsselten Zugriff auf Netzwerkdienste (normalerweise über IPSec). Wird ein Proxy-Server verwendet, erfolgt die Verbindung des iphone für den Zugang zu Informationen außerhalb der über den Proxy-Server. 009 Apple Inc. Alle Rechte vorbehalten. Apple und das Apple-Logo sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. iphone ist eine Marke der Apple Inc. Andere Produkt- und Firmennamen in diesem Dokument sind Eigentum ihrer jeweiligen Inhaber. Die Produktspezifikationen können sich ohne vorherige Ankündigung ändern. Diese Materialien werden ausschließlich zu Informationszwecken bereitgestellt. Apple übernimmt in Bezug auf die Verwendung der Informationen keine Haftung. Juni 009 L7758C

9 9 iphone in Unternehmen WPA Enterprise/80.X Das iphone unterstützt WPA Enterprise und garantiert somit, dass sicher auf Drahtlosnetzwerke von Unternehmen zugegriffen werden kann. WPA Enterprise verwendet eine 8-Bit-AES-Verschlüsselung, eine bewährte, blockbasierte Verschlüsselungsmethode, die den Benutzern garantiert, dass ihre Daten stets geschützt bleiben. Durch den Support von 80.X kann das iphone in eine große Anzahl an RADIUS- Authentifizierungsumgebungen integriert werden. Zu den vom iphone unterstützen drahtlosen 80.X-Authentifizierungsmethoden gehören EAP-TLS, EAP-TTLS, EAP-FAST, EAP-SIM, PEAPv0, PEAPv und LEAP. Drahtlossicherheitsprotokolle WEP WPA Personal WPA Enterprise WPA Personal WPA Enterprise 80.x-Authentifizierungsmethoden EAP-TLS EAP-TTLS EAP-FAST EAP-SIM PEAPv0 (EAP-MS-CHAPv) PEAPv (EAP-GTC) LEAP Für ein schnelles Setup und eine schnelle Implementierung können die Drahtlosnetzwerk-, Sicherheits- und Authentifizierungseinstellungen mithilfe von Konfigurationsprofilen konfiguriert werden. Weitere Informationen finden Sie im iphone Device Configuration Overview (Überblick über die iphone Gerätekonfiguration). WPA Enterprise Setup Überprüfen Sie die Netzwerkprogramme auf ihre Kompatibilität und wählen Sie einen Authentifizierungstyp (EAP-Typ) aus, der vom iphone unterstützt wird. Stellen Sie sicher, dass 80.X auf dem Authentifizierungsserver aktiviert ist. Installieren Sie wenn nötig ein Sicherheitszertifikat und weisen Sie den Benutzern und Gruppen Netzwerkzugriffsberechtigungen zu. Konfigurieren Sie drahtlose Zugangspunkte für die 80.X-Authentifizierung und geben Sie die entsprechenden RADIUS-Serverinformationen ein. Testen Sie Ihre 80.X-Implementierung mit einem Mac oder PC, um sicherzustellen, dass die RADIUS-Authentifizierung ordnungsgemäß konfiguriert wurde. Soll eine zertifikatbasierte Authentifizierung verwendet werden, stellen Sie sicher, dass Ihre Public-Key-Infrastruktur für geräte- und benutzerbasierte Zertifikate und die dazugehörigen Schlüsselverteilungsprozesse konfiguriert ist. Überprüfen Sie das Zertifikatsformat und die Kompatibilität des Authentifizierungsservers. iphone unterstützt PKCS# (.cer,.crt,.der) und PKCS#. Setzen Sie sich mit dem Anbieter Ihrer Lösung in Verbindung, um zu überprüfen, ob Ihre Software und Geräte mit den neuesten Sicherheitspatches und der neuesten Firmware ausgestattet sind. Zusätzliche Dokumentation zu Drahtlosnetzwerkstandards und Wi-Fi Protected Access (WPA) finden Sie unter

10 0 WPA Enterprise/80.X Implementierungsszenario Dieses Beispiel stellt eine typische sichere Drahtlosimplementierung dar, die die RADIUS-basierte Authentifizierung nutzt. Authentifizierungsserver mit 80.x-Support (RADIUS) Verzeichnisdienste 4 Zertifikat oder Kennwort basierend auf EAP-Typ Drahtloszugriffspunkt mit 80.x-Unterstützung Netzwerkdienste 4 Das iphone fordert Zugriff auf Netzwerkdienste an. Bei Auswahl eines Drahtlosnetzwerks oder bei der Zugangskonfiguration einer speziellen SSID initiiert das iphone die Verbindung. Nach dem Empfang der Anforderung vom Zugangspunkt wird sie zur Authentifizierung an den RADIUS-Server weitergeleitet. Der RADIUS-Server überprüft das Benutzerkonto mithilfe des Verzeichnisdienstes. Nach der Benutzeridentifizierung bietet der Zugangspunkt unter Berücksichtigung der Richtlinien und Berechtigungen, die vom RADIUS-Server vorgegeben werden, Zugriff auf das Netzwerk. 009 Apple Inc. Alle Rechte vorbehalten. Apple und das Apple-Logo sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. iphone ist eine Marke der Apple Inc. Andere Produkt- und Firmennamen in diesem Dokument sind Eigentum ihrer jeweiligen Inhaber. Die Produktspezifikationen können sich ohne vorherige Ankündigung ändern. Diese Materialien werden ausschließlich zu Informationszwecken bereitgestellt; Apple übernimmt in Bezug auf die Verwendung der Informationen keine Haftung. Juni 009 L7757C

11 iphone in Unternehmen Digitale Zertifikate Das iphone unterstützt digitale Zertifikate für einen sicheren, effizienteren Zugang zu Unternehmensdiensten. Ein digitales Zertifikat besteht aus einem öffentlichen und einem privaten Schlüssel sowie Informationen zu Ihrer Identität und der Zertifizierungsstelle, von der das Zertifikat ausgestellt wurde. Digitale Zertifikate sind eine Form der Identifizierung, die die Authentifizierung, Datenintegrität und Verschlüsselung optimieren. Zertifikate können zur Signierung und Verschlüsselung verschiedenster Datentypen verwendet werden. Mit digitalen Zertifikaten signierte Daten unterstützen Sie dabei, sicherzustellen, dass die Dateien nicht ausgetauscht oder verändert wurden, und können die Identität des Autors oder "Unterzeichners" garantieren. Darüber hinaus können Zertifikate genutzt werden, um Konfigurationsprofile und Netzwerkkommunikation zu verschlüsseln und so vertrauliche oder private Informationen noch besser zu schützen. Unterstützte Zertifikat- und Identifikationsformate: Das iphone unterstützt X.509-Zertifikate mit RSA-Schlüssel. Es erkennt Dateien mit den Endungen.cer,.crt,.der,.p und.pfx. Stammzertifikate Im Lieferzustand sind einige Stammzertifikate auf dem iphone vorinstalliert Eine Liste der vorinstallierten Systemstammzertifikate finden Sie im Apple Support Artikel unter Wenn Sie nicht vorinstallierte Stammzertifikate verwenden, beispielsweise eigens signierte Stammzertifikate Ihres Unternehmens, können Sie diese mit einer der Methoden im Abschnitt "Verteilung und Installation von Zertifikaten" in diesem Dokument auf das iphone übertragen. Verwendung digitaler Zertifikate auf dem iphone Identitätszertifikate Digitale Zertifikate können zur sicheren Authentifizierung von Benutzern an Unternehmensdiensten verwendet werden ohne die Notwendigkeit von Benutzernamen, Kennwörtern oder Tokens. Auf dem iphone wird die zertifikatbasierte Authentifizierung für den Zugang zu Microsoft Exchange ActiveSync, Cisco IPSec VPN, und WPA Enterprise Wi-Fi-Netzwerken unterstützt. Zertifizierungsstelle Authentifizierungsanfrage Unternehmensdienste Verzeichnisdienst Intranet, , VPN, Wi-Fi Serverzertifikate Digitale Zertifikate können auch zur Validierung und Verschlüsselung von Netzwerkkommunikation verwendet werden. Dies ermöglicht eine sichere Kommunikation mit internen Websites sowie Websites im öffentlichen Internet. Der Safari Browser kann die Validität des übermittelten digitalen Zertifikats X.509 überprüfen und eine sichere Verbindung mit 8-Bit-SSL-Verschlüsselung herstellen. So wird überprüft, ob es sich um eine legitime Website handelt, und sichergestellt, dass Ihre Kommunikation mit der Website geschützt ist, um zu verhindern, dass persönliche oder vertrauliche Daten unbefugt abgefangen werden. HTTPS- Anfrage Netzwerkdienste Zertifizierungsstelle

12 Verteilung und Installation von Zertifikaten Die Übermittlung von Zertifikaten an das iphone ist einfach. Wenn Sie ein Zertifikat empfangen, kann es für die spätere Verwendung in den Schlüsselbund importiert werden. Bei der Installation eines Identitätszertifikats wird der Benutzer nach dem erforderlichen Kennwort gefragt. Wenn die Authentizität eines Zertifikats nicht bestätigt werden kann, wird eine Warnung angezeigt, bevor es zum Schlüsselbund hinzugefügt wird. Zertifikate können auf vier verschiedene Arten an das iphone übermittelt werden. Installation von Zertifikaten über ein Konfigurationsprofil Wenn die Einstellungen für Unternehmensdienste wie Exchange, VPN oder Wi-Fi mittels Konfigurationsprofilen übermittelt werden, können für eine optimierte Implementierung auch Zertifikate zu diesen Profilen hinzugefügt werden. Werden mehrere Konfigurationsprofile verwendet, muss sichergestellt sein, dass die Zertifikate nicht mehrfach übermittelt werden. Es ist nicht möglich, mehrere Kopien eines Zertifikats zu installieren.. Klicken Sie auf dem Tab "Zertifikate" im iphone Konfigurationsprogramm auf "Konfigurieren".. Wählen Sie im angezeigten Dateifenster eine PKCS#- oder PKCS#-Datei, und klicken Sie auf "Öffnen". * Um mehrere Zertifikate zu einem Konfigurationsprofil hinzuzufügen, klicken Sie auf die Taste "Hinzufügen" (+). Mac OS X Befindet sich das Zertifikat oder die Identifikation, die Sie installieren möchten, in Ihrem Schlüsselbund, verwenden Sie die Schlüsselbund-Einstellungen, um das Zertifikat in das.p-format zu exportieren, bevor Sie das Profil erstellen. Windows Wenn das Zertifikat nicht in Ihrem persönlichen Zertifikatspeicher vorhanden ist, müssen Sie es vor der Erstellung des Profils hinzufügen, und der private Schlüssel muss im entsprechenden Schritt im Zertifikatimportierungsassistenten als exportierbar gekennzeichnet werden. Beachten Sie, dass für das Hinzufügen von Stammzertifikaten ein Administratorzugang auf dem Computer benötigt wird und das Zertifikat zum persönlichen Speicher hinzugefügt werden muss. Zertifikatinstallation über Mail Wird ein Zertifikat in einer gesendet, wird es als Anhang angezeigt. Der Benutzer tippt zur Überprüfung einfach auf den Anhang und anschließend auf "Installieren", um das Zertifikat auf dem Gerät hinzuzufügen. Zertifikatinstallation über Safari Safari kann zum Herunterladen von Zertifikaten von einer Webseite genutzt werden. Stellen Sie die Zertifikate auf einer sicheren Website bereit, und geben Sie die URL zum Herunterladen des Zertifikats auf das Gerät an die Benutzer weiter. Installation über Simple Certificate Enrollment Protocol (SCEP) SCEP ist ein Internet Draft der Internet Engineering Task Force (IETF) und dafür ausgelegt, eine vereinfachte Möglichkeit für die Zertifikatverteilung im Rahmen groß angelegter Implementierungen zu bieten. Es ermöglicht die kabellose Verteilung von Identitätszertifikaten an das iphone, die für die Authentifizierung an Unternehmensdiensten genutzt werden können. Entfernung und Sperrung von Zertifikaten Um ein installiertes Zertifikat zu entfernen, wählen Sie "Einstellungen" > "Allgemein" > "Profile". Wenn Sie ein Zertifikat entfernen, dass für den Zugang zu einem Account oder Netzwerk benötigt wird, kann Ihr Gerät keine Verbindung mehr zu diesen Diensten herstellen. Außerdem wird das Online Certificate Status Protocol (OCSP) zur Überprüfung des Status von Zertifikaten unterstützt. Wenn ein OSCP-fähiges Zertifikat verwendet wird, wird es vor dem Ausführen der Anfrage validiert, um sicherzustellen, dass es nicht gesperrt wurde. 009 Apple Inc. Alle Rechte vorbehalten. Apple, das Apple Logo und ipod sind Marken der Apple Inc., die in den USA und weiteren Ländern eingetragen sind. iphone ist eine Marke der Apple Inc. Andere Produkt- und Firmennamen in diesem Dokument sind Eigentum ihrer jeweiligen Inhaber. Die Produktspezifikationen können sich ohne vorherige Ankündigung ändern. Diese Materialien werden ausschließlich zu Informationszwecken bereitgestellt; Apple übernimmt in Bezug auf die Verwendung der Informationen keine Haftung. Juni 009 L4049A