Technische Informationen zur ZEDAL

Transkript

1 Technische Informationen zur ZEDAL Plattform ZEDAL Sicherheitskonzept Einrichtung eines Arbeitsplatzes zur Nutzung des ZEDAL Webportals Voraussetzungen zum Betrieb eines ProZEDAL - Systems Voraussetzungen zum Betrieb eines ZEDAL Inhouse-Systems ZEDAL ist ein eingetragenes Warenzeichen. Es ist in allen Ländern der europäischen Gemeinschaft geschützt.

2

3 ZEDAL Sicherheitskonzept Standard ZEDAL Installation Datensicherheit bedeutet Authentizität, Unversehrtheit, Vertraulichkeit und Verfügbarkeit von Daten. Jede ZEDAL Installation unterstützt den sachgerechten Umgang mit Daten hinsichtlich jedes dieser Gesichtspunkte unter Einbeziehung der verfügbaren Betriebsumgebungen. Jeder der Server ist paarig ausgeführt. Eine Zedal-Installation besteht also aus vier Linux Servern, derzeit mit Debian 5.0 Betriebssystem. In Zedal Systemen kommen zur Zeit Intel Serverboards mit Intel Xeon Prozessoren zum Einsatz. System und Datenpartitionen werden im Raid-Verbund betrieben um Systemausfällen bei Plattenschäden vorzubeugen. Zusätzlich existiert eine eigene Festplatte für Backup. app2 kom2 app1 kom1 Die Frontend-Server (kom1, kom2) werden idr. in einer DMZ hinter einer Firewall betrieben. Falls diese Firewall fehlt, werden die Frontend-Server gegen Angriffe aus dem Internet gehärtet und mit Firewall-Funktionalitäten ausgestattet. Die redundante Ausführung der Frontend- Server wirkt zusammen mit einer entsprechenden DNS-Administration als Lastverteilung und, bei Ausfall eines Systems, als passives Failover. Die Standardinstallation eines ZEDAL-Systems besteht aus Frontend- und Backend-Servern. Die Backend-Server (app1, app2) werden idr. in einer separaten DMZ, ohne direkten Kontakt zum Internet, wahlweise hinter einer weiteren Firewall betrieben. Die betriebsrelevanten Daten werden in lokalen Oracle RDBMS Datenbanken gehalten. Zu jeder Zeit ist einer der beiden Backend- Server als Führungssystem aktiv. Forts. umseitig

4 Der andere Backend-Server dient als Failoversystem und wird im Standby-Modus betrieben. Der Bestand des Failoversystems wird minütlich aus dem Führungssystem durch Einpflege der dort erzeugten Achivelogs aktualisiert. Es wird bei Bedarf aktiviert und damit zum Führungssystem. Der Dokumentenaustausch der Clients mit dem Zedal-System findet grundsätzlich ssl-gesichert statt. Die Daten können optional auf den Clients SigG-konform Signiert werden. Zur Absicherung der Portalfunktionen sind die Frontend-Server mit öffentlich validierbaren X509-Zertifikaten ausgestattet, durch deren Prüfung ihre Authentizität sichergestellt werden kann. Als Sicherung gegen Datendiebstahl durch physischen Zugriff auf die Server können die Daten bei Bedarf (d.h. insbesondere bei unzureichender Zutrittskontrolle) auf verschlüsselten Dateisystemen gehalten werden. Die Dateisysteme werden erst durch manuelle Aktivierung mit einem Aktivierungsschlüssel verwendbar. Der den Systemen zugehörige Schlüssel wird nicht auf ihnen hinterlegt sondern ausschließlich bei der Aktivierung eingegeben. Schutz gegen unbemerkte Manipulationen an den Systemen bietet das auf jedem Server installierte IDS (Intrusion Detection System) Tripwire, das festgestellte Änderungen per Mail kommuniziert. Als Sicherung gegen Datenverlust werden Backups der Dateisysteme komprimiert verschlüsselt und per ftp, sftp oder rsync auf einen separaten Backup-Server übertragen. Eine räumliche Trennung zwischen ZEDAL System und Backup-Server ist dringend anzuraten. Änderungsdaten der Datenbank werden in kurzen Zeitintervallen ebenfalls auf dem Backup-Server hinterlegt.

5 Einrichtung eines Arbeitsplatzes zur Nutzung des ZEDAL Webportals Allgemeines: Damit Sie im ZEDAL Portal arbeiten können, benötigen Sie als Grundkomponente das ZEDAL Forms. Soll an dem einzurichtenden Arbeitsplatz auch digital signiert werden, muss ein zertifiziertes Kartenlesegerät (z.b. ZEDAL-Cardreader) installiert und angeschlossen werden. Bevor diese Arbeiten durchgeführt werden, sollten Sie oder Ihr EDV-Administrator folgende Punkte überprüft haben: Betriebssystem MS Windows XP, Vista,Win7 aktuelles Service Pack geprüft auf Schadsoftware Datenausführungsverhinderung ausgeschaltet Browser MS Internet Explorer Version 6.X (eingeschränkt), 7.X, 8.X Popup-Blocker deaktiviert ActiveX-Ausführung zugelassen Javascript-Ausführung zugelassen Speicherschutz deaktiviert Empfehlung: Eintrag in vertrauenswürdige Seiten Mozilla Firefox Version, 3.X ab Popup-Blocker deaktiviert Javascript-Ausführung zugelassen Formular-Anzeige ZEDAL Forms aktuelle Version Digitale Signatur Für ZEDAL zugelassene Kartenleser Für ZEDAL zugelassene Signaturkarten Aktuelle Modelle von ReinerSCT Aktuelle Modelle von TeleSec, D-Trust, S-Trust, Signtrust, sowie qsign von TrustCenter, Einfachsignaturkarten von DGN Service Maßgeblich ist die Bestätigungsurkunde sowie etwa ergänzende Herstellererklärungen. Stand: Januar 2011 Forts. umseitig Infotech Technische Dokumentation ZEDAL Infotech GmbH Holthoffstraße 122 a D Recklinghausen

6 Wichtige Hinweise: Für die Installation eines Kartenlesegerätes werden zwingend Windows-Administratorrechte benötigt. Wir empfehlen, auch die Installation des PlugIns mit Windows-Administratorrechten durchzuführen, da ansonsten nur der bei der Installation angemeldete Benutzer mit dem PlugIn arbeiten kann. Für jeden weiteren Benutzer wäre eine erneute Installation notwendig. Darüber hinaus sind in vielen Firmennetzwerken die Benutzerrechte für Softwareinstallationen deaktiviert. Die Installation bitte in folgender Reihenfolge durchführen. 1.) Kartenlesegerät (bezieht sich auf den ZEDAL-Cardreader) Soll kein Kartenlesegerät an diesem Arbeitsplatz eingesetzt werden, sofort mit Schritt 2 weitermachen. 2.) ZEDAL Forms Zu 1. Benötigt wird das ZEDAL Cardreader Setup, das im Service-Bereich von ZEDAL heruntergeladen werden kann. HINWEIS: Das Kartenlesegerät darf erst mit dem Rechner verbunden werden, wenn man durch das Setup dazu aufgefordert wird! Zu 2. Benötigt wird ein Setup, das im Service-Bereich von ZEDAL heruntergeladen werden kann. Nach dem Start des ZEDAL Forms Setup bitte den dort gegebenen Hinweisen folgen. ZEDAL Forms kann durch den Windows-Administrator für alle Benutzer, die an diesem Arbeitsplatz arbeiten, in einem einzigen Durchgang eingerichtet werden. HINWEIS: Nach Abschluss der Installation wird nach dem Pfad für die ZEDAL-Benutzerprofile gefragt. Hier muss unbedingt darauf geachtet werden, einen Speicherplatz anzugeben auf den alle Benutzer auch zugreifen können. Standardmäßig schlägt das Setup bei Installation durch den Administrator das Verzeichnis C:\Dokumente und Einstellungen\Administrator... vor, auf das andere Benutzer vermutlich nicht zugreifen dürfen! Falls ein Kartenlesegerät installiert ist, erscheint zusätzlich noch das Fenster Eigenschaften Kartenlesegeräte in dem bei Hersteller/Typ der entsprechende Kartenleser auszuwählen ist. Für den ZEDAL-Cardreader muss hier [PC/SC] REINER SCT cyber Jack pinpad ausgewählt werden. Telefonische Unterstützung erhalten Sie auch bei unserer ZEDAL-Hotline unter: Nach dem Start des Setups folgt man den dort gegebenen Hinweisen. Während der Installation werden Sie aufgefordert, das Kartenlesegerät anzuschließen. Der Rechner muss neu gestartet werden. HINWEIS: Viele Rechnersysteme ordnen beim erneuten Anstecken einen neuen USB-Port zu, was dazu führt, dass das Kartenlesegerät unter Umständen nicht gefunden wird. Kartenlesegeräte, die über den USB-Port angeschlossen werden, sollten unbedingt ständig am gleichen Port (USB- Anschluss) angeschlossen bleiben. Infotech Technische Dokumentation ZEDAL Infotech GmbH Holthoffstraße 122 a D Recklinghausen Stand: Januar 2011

7 Voraussetzungen zum Betrieb eines ProZEDAL -Systems Allgemein: ProZedal wird benötigt, um Datenaustausch zwischen ZEDAL Systemen und beliebigen externen Systemen zu ermöglichen. ProZedal ist als Client-Server System ausgeführt. Es existieren pro ProZedal System ein Server und beliebig viele Clients. Zur Überwachung und Steuerung des ProZedal Serverbetriebs existiert außerdem ein spezieller Client, der Leitstand. Server und die Clients können auf dem selben System betrieben werden. Datenaustausch zwischen dem externen System und ZEDAL geschieht über den Server. Schnittstelle zwischen dem externen System und ProZedal ist ein Übergabeverzeichnis im Dateisystem des Pro- Zedal Servers. Dies kann auch ein Netzlaufwerk sein. Die Daten werden in Dateiform übergeben. Die Kommunikation zwischen ProZedal und Zedal ist über Webservices (ein eigenes Protokoll) abgebildet. Systemanforderung Server: Der ProZEDAL 2 Server läuft unter den Betriebssystemen Windows 2000 und höher sowie auf Linux 2.4 und höher mit libc6- und pthread- Bibliotheken. Die für die Betriebssysteme empfohlene Hardwareausstattung ist ausreichend. Unter Windows ist es zusätzlich erforderlich, die Datenausführungsverhinderung für alle Pro- ZEDAL-Prozesse zu deaktivieren. Die Kommunikation zwischen ProZEDAL 2 Client bzw. Leitstand und Server benötigt neben funktionierender Namensauflösung via DNS jeweils einen freien TCPv4-Port, der nicht durch Firewalls o.ä. geblockt wird. Weiterhin benötigt der Server zur Anbindung an ZEDAL Zugang zu den ZEDAL-Servern im Internet (via HTTP / HTTPS; Verwendung eines HTTP-Proxyservers ist möglich). Die Datenverzeichnisse des ProZEDAL 2 Servers sollten möglichst auf einem lokalen Datenträger liegen, um Probleme durch Netzwerk-Dateizugriffe zu vermeiden. Systemanforderung Client: Der ProZEDAL 2 Client läuft unter den Betriebssystemen Windows 2000 und höher. Die für die Betriebssysteme empfohlene Hardwareausstattung ist ausreichend; zur digitalen Signatur ist darüber hinaus ein Kartenlesegerät sowie eine Signaturkarte erforderlich. Zusätzlich ist es nötig, die Datenausführungsverhinderung für den ProZEDAL-Clientprozess sowie die Prozesse des ZEDAL-Plugins zu deaktivieren. Die Kommunikation zwischen ProZEDAL 2 Client und Server benötigt neben funktionierender Namensauflösung via DNS einen freien TCPv4-Port, der nicht durch Firewalls o.ä. geblockt wird. Forts. umseitig

8 Konnektivität: Die zum Betrieb von ProZedal benötigten Konnektivitäten sind im Folgenden aufgeführt. In Klammern ist jeweils Port und Protokoll angegeben. Bei den mit einem Sternchen markierten Ports ist der Port konfigurierbar und hier sind lediglich Defaultwerte angegeben. Der Datenaustausch per https kann entweder direkt oder per http-proxy geschehen. Technische Änderungen vorbehalten

9 Voraussetzungen zum Betrieb eines ZEDAL Inhouse-Systems Allgemein: Ein ZEDAL Serversystem besteht im Normalfall aus vier Servermaschinen. Es gibt zwei Kommunikations- und Webserver, im folgenden Kom genannt und zwei Applikations- und Datenbankserver, im folgenden App genannt. Die Kom s müssen über Konnektivität zum Internet verfügen und als Webserver auch aus dem Internet erreichbar sein. Die App s können ohne direkte Konnektivität mit dem Internet betrieben werden. Neben dieser Konfiguration ist es möglich, die gesamte Installation auf zwei oder auf einer einzelnen Maschine zu betreiben. Die dazu notwendigen Voraussetzungen werden im Folgenden umrissen. Umgebung: Als Anschluss- und abzuführende Wärmeleistung sind pro Maschine bis zu 590W anzunehmen. Die Spannungsversorgung sollte durch eine USV gepuffert sein. Pro Rechner wird ein Ethernet 100Base-TX Netzwerkanschluss benötigt. Für die Kom s wird darüber eine Anbindung ins Internet mit einer Mindestbandbreite von 2mbit/s für Up- und Downstream empfohlen. Je nach Netzwerktopologie ist es sinnvoll, die Kom s mit einem äusseren und einem inneren Interface auszustatten. Dies kann sowohl mit je zwei physisch getrennten Interfaces als auch per V-Lan realisiert werden. Dadurch kann sich die Anzahl der benötigten Ethernet Anschlüsse erhöhen. Wenn die Hardware von der Abfallmanagement AG beschafft wird, ist von einem Platzbedarf von 1he pro Kom und 2he pro App und USV auszugehen. Hardware: Für ZEDAL Systeme ist der Einsatz von Serverhardware notwendig. Als Plattensubsysteme kommen SATA2 und SAS in Frage. Hier die weiteren notwendigen Hardwaremindestvoraussetzungen: ZEDAL SE (Betrieb auf einer Maschine): 4 GB Hauptspeicher ein aktueller Intel Core 2 Quad Prozessor ca. 64 GB Plattenplatz ZEDAL ME (Betrieb auf zwei oder vier Maschinen): 4 GB Hauptspeicher ein aktueller Intel Core 2 Duo Prozessor ca. 64 GB Plattenplatz (Die Angaben gelten pro Maschine) Der Plattenplatz sollte durch den Betrieb eines Raid 1/10 abgesichert sein. Der gleiche Plattenplatz muss noch einmal auf unterschiedlichen Platten zur Verfügung gestellt werden. Die ZEDAL Systeme erstellen dann selbstständig Sicherungen von System und Nutzdaten. System: Für die ZEDAL Systeme kommen folgende Betriebs- und Datenbanksysteme zum Einsatz: ZEDAL Debian Linux 5.0 Perl DBI DBD-Oracle-1.21 Oracle (Serverinstallation auf den App s, Clientinstallation auf den Kom s) Forts. umseitig

10 Konnektivität: Die zum Betrieb von ZEDAL benötigten Konnektivitäten sind im Folgenden aufgeführt. In Klammern ist jeweils Port und Protokoll angegeben. Bei den mit einem Sternchen markierten Ports ist der Port konfigurierbar und hier sind lediglich Defaultwerte angegeben. Mail, Dns und Timeservice können von den Kom s direkt durch Internetservices realisiert werden. Alternativ dazu können auch entsprechende Intranetserver genutzt werden. Datensicherheit/Redundanz: ZEDAL Systeme sind gegen Hardwareausfälle durch Hardwareredundanzen und Datensicherung geschützt. Neben der im Punkt Hardware schon geforderten Plattenredundanz ist beim Vollausbau mit vier Servern der Ausfall einer beliebigen Maschine abgedeckt. Außerdem werden System und Nutzdaten regelmäßig in eine externe Datensenke gesichert. Diese kann durch ein Bandlaufwerk realisiert werden. Die Sicherung wird dann täglich durchgeführt. Als Datensenke ist ebenfalls im Intranet bereitgestellter Plattenplatz denkbar. Neben der täglichen Sicherung werden dann in kurzen Abständen (z.b.: 5 min) die Datenbank-Differenzdaten gesichert. Beim Betrieb mit zwei oder einer Maschine ist dies zwingend erforderlich um bei Ausfall einer Maschine Datenverlust zu vermeiden. Technische Änderungen vorbehalten.