REMOTE ACCESS - ANGRIFFSMÖGLICHKEITEN

Transkript

1 Whitepaper REMOTE ACCESS - ANGRIFFSMÖGLICHKEITEN Aktuelle Bedrohungen & geeignete Gegenmaßnahmen

2 Inhalt Übersicht 3 Bedrohungen für Remote-Verbindungen 3 Beispiele für Sicherheitslücken 4 Ursachen 5 Beispiele für Schwachstellen 6 Informationslecks 6 Caching und Duplizierung 7 Denial of Service (DoS) 7 Sicherheitsoptionen für Remote-Verbindungen 8 Authentifizierung 8 Autorisierung 8 Auditing 8 Verfügbarkeit 9 Integrität 9 Vertraulichkeit 9 Rethink Remote Access mit NCP 9 NCP Secure Management System 10 NCP Secure Enterprise Server 10 NCP Secure Enterprise Client 10 2

3 Übersicht Mobile Geräte in Firmennetzwerken haben einerseits die externe Kommunikation auch über große Distanzen hinweg erleichtert, aber andererseits die Risiken für das zentrale Datennetz erhöht. Unternehmen, die sensitive Daten austauschen und mit kostengünstigen, fremden Infrastrukturen wie dem Internet arbeiten, sehen sich mit intelligenten Angreifern konfrontiert., Das führt dazu, dass sich die Bedrohungsszenarien ständig ändern. Um jederzeit gewappnet zu sein, ist eine kontinuierliche Überwachung der Remote Access-Infrastruktur verbunden mit aktuellen Software- Updates erforderlich. Dieses Whitepaper bietet eine neue Sichtweise auf Bedrohungen und bietet Konzepte, um Unternehmensdaten in der sich stetig verändernden Welt von Remote Access und Sicherheits-Technologien zu sichern. Es beschreibt Beispiele realer Attacken, die Sicherheitsprotokolle erfolgreich umgangen haben und stellt einige der neuesten VPN- Schwachstellen, Mängel und Ursachen vor. Das Whitepaper soll auch als Leitfaden für Konfiguration und Management von VPNs dienen, mit dessen Hilfe Sicherheitslücken geschlossen werden können. Bedrohungen für Remote-Verbindungen VPNs sind heute fester Bestandteil in der externen Datenkommunikation. Nahezu jedes Unternehmen bindet Mitarbeiter und Geschäftspartner mittels dieser Sicherheits- Technologie an ihr zentrales Datennetz an. Ein attraktives Ziel für Angreifer und das aus zwei Gründen: Zunächst tunnelt und transportiert ein VPN sensible Daten über öffentliche Netzwerke. Die Erweiterung des Unternehmens-Netzwerks über seine Grenzen hinaus erlaubt den Angreifern, leichter auf die Daten zuzugreifen. Hacker brauchen zum Auffinden sensibler Daten keine räumlichen Distanzen mehr zu überwinden. Sie werden von VPNs fast magisch angezogen. Nur eine einzige Schwachstelle im Remote Access Betrieb reicht aus, um in das System einzudringen. Firewalls, Intrusion Detection Systeme, Proxy Server und andere Kontrolleinrichtungen sind die bekannten Filtermaßnahmen im eingehenden Datenverkehr - aus öffentlichen in private Netze. Sie stellen auch Filter für den ausgehenden Datenverkehr bereit. Ein VPN verfügt oft nicht über diese Kontrollen und ein internes System kann über ein privates Netzwerk mit einem fremden System außerhalb kommunizieren. Im Vergleich zu Systemen, die den Datenverkehr aus öffentlichen Netzen verarbeiten, befinden sich in internen Netzwerken oft schwächer abgesicherte Systeme. Damit werden VPNbasierte Angriffe, die eine Abwehrmaßnahme umgehen weitaus attraktiver, als solche, die direkt auf die diese abzielen. Vor dem Hintergrund dieser beiden Faktoren müssen VPNs eine Vielzahl von Schwachstellen berücksichtigen. Angreifer suchen ständig nach Wegen, um Hard- und Software für ihre Zwecke zu nutzen. Oft werden ihre Attacken dabei von einer fehlerhaften Konfiguration und/oder einem schlechten Implementierungsmanagement unterstützt. Aus diesen Gründen sind VPNs auch heute noch Gegenstand ernster Sicherheitslücken. 3

4 Beispiele für Lücken Das unrühmlichste Beispiel für eine VPN-Schwachstelle war der Zwischenfall bei Heartland Payment Systems im Jahr Das Zahlungssystem mit äußerst sensiblen Daten wurde teilweise über ein VPN gehackt. Zunächst erlaubte ein SQL-Injection- Angriff den Hackern, die Kontrolle über das System bei Heartland zu übernehmen. Dies gelang jedoch nicht für die Umgebung, welche die Zahlungstransaktionen verarbeitet. 1 Die Angreifer nutzten das interne System um ihre Zugriffsberechtigung auszuweiten. Da Systeme wie beispielsweise Workstations nicht in gleichem Umfang abgesichert waren, wie Systeme mit sensiblen Daten, war dies relativ einfach. Über diese Workstations drangen nun die Angreifer in die Systeme für die Zahlungstransaktionen ein und bemächtigten sich der gewünschten Daten. Ein ähnlicher Zwischenfall traf Google im Januar Als Folge der technisch ausgefeilten und zielgerichteten Angriffe - die vermutlich aus China kamen wies Google seine Nutzer an, Notfalländerungen an den VPN-Einstellungen vorzunehmen. 3 Später hieß es die Angriffe wären auf nicht gepatchte Browserschwachstellen gerichtet gewesen 4. Das Timing der Konfigurationsänderung konnte darauf schließen lassen, dass es einen Zusammenhang zwischen den internen Systemen mit ungepatchter Software und einem VPN-Zugriff auf interne Netzwerke und sensible Daten gab. 5 Segmentierung, Proxies und Filter, wie auch Monitoring hätten diesen Zwischenfall möglicherweise verhindern können. Einspielen von Patches (Upgrade des Browsers)hätten es wahrscheinlich ebenfalls verhindern können. Die vorgeschlagenen Änderungen zeigen, wie wichtig mehrstufige Sicherheit und durchdachtes Management und nicht nur Konfigurationseinstellungen - für die Sicherheit eines VPN sind. Ironischerweise schlug Google 3 Monate nach dem Angriff seinen Nutzern in China vor, VPN-Technologie zum Umgehen der Kontrollmaßnahmen und zur Sicherstellung des weiteren Zugriffs auf die Google-Dienste auf dem chinesischen Festland einzusetzen. 6 Ein weiteres Beispiel unzureichenden VPN-Managements geht auf einen gekündigten Mitarbeiter eines Versorgungsunternehmens, der Energy Future Holdings, zurück. Der Mitarbeiter konnte das VPN auch nach seiner Entlassung nutzen, um auf die unternehmensinternen Systeme zur Vorhersage des Verbraucherbedarfs zuzugreifen. 7 Der ehemalige Mitarbeiter nutzte seinen Zugang zur Datenkorruption, was einen Schaden in Höhe von USD allein an entgangenen Geschäften verursachte. Diese Verletzung zeigt, dass es absolut notwendig ist, den VPN-Zugang für gekündigte und ehemalige Mitarbeiter so schnell wie möglich zu sperren. Der beste Weg dazu ist, das Benutzermanagement und die Identitätssysteme mit der VPN-Administration zu verbinden. Auch Einzelhandelsketten sollten über umfangreiche Kenntnisse im Remote Access- Management verfügen, da gerade dort die Fluktuation sehr hoch ist. Trotzdem ließ Walmart, eine der weltweit größten Einzelhandelsketten, den VPN-Zugang eines Mitarbeiters, der nicht mehr für das Unternehmen arbeitete, im Jahr 2005 offen. 8 Anders als bei der vorher beschriebenen Lücke, die nur einen Tag bestand, lief der Missbrauch bei Walmart über einen Zeitraum von 17 Monaten! In dieser Zeit griff der gekündigte Mitarbeiter auf Zahlungskartensysteme zu. Der Angriff wurde nur durch die fehlgeschlagene Installation eines Password Dump Tools entdeckt, die dazu führte,

5 dass ein System offline ging. Erst durch diesen Ausfall wurden Mitarbeiter des Betriebs alarmiert. Ein Angriff dieses Ausmaßes war nötig, um letztlich den VPN-Zugang des Mitarbeiters zu schließen. Jedoch war es dem Angreifer noch immer möglich auf das System zuzugreifen. Noch einmal, der beste Weg zur Vermeidung einer solchen Krise die Verbindung von Benutzermanagement und Identitätssystemen mit der VPN- Administration. Eine weitere Möglichkeit wäre eine Segmentierung, die zusätzliche Kontrollen für den VPN-Zugriff auf sensible Daten schafft. Walmart sollte eigentlich ein warnendes Beispiel für andere Einzelhändler darstellen. Dennoch kam es 3 Jahre später zu einem ähnlichen Zwischenfall bei Stryker Instruments, einem Hersteller für medizinische Geräte. 9 Der Angreifer, verdächtigt wurde ein gekündigter Mitarbeiter, nutzte über mehrere Monate mehrfach VPN- Verbindungen. Als das Unternehmen den Angriff entdeckte, musste es natürlich seine Kunden (in 48 Staaten) davon unterrichten. Das offizielle Schreiben des Unternehmens wies auf Schwachstellen im VPN-Management und die Notwendigkeit zum Wechsel auf eine sicherere VPN-Lösung hin. Obwohl Stryker einen gekündigten Mitarbeiter verdächtigte, konnte der Schuldige nicht eindeutig identifiziert werden. Das kann auch an unsachgemäßer Entsorgung von VPN-Equipment liegen, so geschehen bei Kirklees Council. 10 In diesem Fall kaufte ein IT-Sicherheitsfachmann ein gebrauchtes VPN-Gateway für unter 2$. Nach der Installation des Geräts stellte sich heraus, dass es immer noch für den Zugriff auf das interne Netzwerk des vorherigen Eigentümers konfiguriert war. Ursachen Die genaue Betrachtung der Angriffe auf die oben beschriebenen Sicherheitslücken kann in drei Kategorien unterteilt werden. Qualität: VPN-Systeme müssen komplexen Sicherheitsanforderungen in einer nicht vertrauenswürdigen Umgebung genügen, insbesondere wenn sie als erweiterte Form der Datensicherheit im Netzwerk angeboten werden. Es sind Schwachstellen zu erwarten, wenn nicht schon beim Engineering besonders sorgfältig vorgegangen wird und ausführliche Tests durchgeführt werden. Das heißt, dass nicht alle VPN-Produkte auf gleiche Art und Weise erstellt werden und man könnte eine Differenzierung vornehmen, welcher Wert auf Qualität und Sicherheit gelegt wird. Design: Die Sicherheitsanforderungen sind von Kunde zu Kunde verschieden. Einige benötigen strengere Kontrolle und Überwachung als andere. Deshalb stehen bei Standardkonfigurationen eher der leichte Einsatz und die Konnektivität als die Sicherheit im Vordergrund. Das Ziel einiger VPN-Produkte ist, private Netzwerke über große Distanzen auszudehnen, um Kosten im Vergleich mit physikalischen Leitungen einzusparen. Sicherheit steht optional zur Verfügung. Deshalb werden nicht alle VPN- Produkte nach den gleichen Grundeinstellungen installiert oder verfügen über dieselben Optionen. Management: Die Komplexität der Netzwerke verlangt spezialisierte und professionelle Installation, Konfiguration und Management aller Komponenten. Ein VPN ist Teil eines Netzwerks und benötigt ebenfalls Befugnisse in Sachen Domainsicherheit mit Authentifizierung und Autorisierungssystemen, die mit Protokollen wie SSL und IPsec gekoppelt sind. Die Unterschiede zwischen der Diffie

6 Hellman 11 Gruppe 1 und Gruppe 2 beispielsweise werden zumeist unbekannt sein, obwohl die Wahl der falschen Gruppe bei einem einfachen Schwachstellen-Scan eines IPsec VPNs sichtbar wird. Ein weiteres Beispiel ist ein versehentlich aktiviert gebliebenes VPN-Gerät oder ein nach der Kündigung eines Mitarbeiters weiter bestehender Zugang. Ein System kann, wenn es mit einem VPN verbunden ist, genutzt werden um Angreifern den Zugang zum privaten Netzwerk zu erlauben. Der Einsatz eines VPN kann reichlich komplex sein. Es bedarf einer guten und durchdachten Verwaltung, um ein angemessenes Sicherheitsniveau zu gewährleisten. Obwohl die überwiegende Mehrheit dieser Angriffe auch auf Managementprobleme zurückzuführen ist, bleiben Design und Qualität die besten Merkmale, anhand derer VPN-Produkte und Lösungen unterschieden werden können. Beispiele für Schwachstellen Schwachstellen in VPNs können beispielsweise den Supportseiten der Hersteller oder Sicherheitsmitteilungen wie denen von Secunia 12 oder US NVD 13 entnommen werden. Hersteller informieren ihre Kunden über Schwächen, nachdem der Fix erstellt wurde. Manchmal besteht die Möglichkeit, bereits vorher durch Monitoring entsprechender Sicherheitsforen Informationen darüber zu erhalten. 14 Eine Vorabinformation ist immer dann sinnvoll, wenn es sich um Schwachstellen mit hohem Dringlichkeits- und Schweregrad handelt, die sofortige Gegenmaßnahmen erfordern. Informationslecks Nach Installation der VPN-Software kann der Netzwerkverkehr noch immer über andere Schnittstellen erfolgen. Im Jahr 2010 wurde eine wesentliche Schwachstelle, die durch die Kombination von IPv6 und PPTP-basiertem VPN entstand, bekannt gegeben. Diese Schwachstelle offenbarte die IP-Adresse, MAC-Adresse und den Namen des Computers von Anwendern. 15 Das Findnot.com-VPN leitete 2006 den Datenverkehr unverschlüsselt in das öffentliche Netz, sobald seine Server überlastet waren - ohne seine Nutzer darüber zu informieren. Ein ähnliches Problem kann nach der Installation mehrerer, nicht reibungslos zusammen arbeitender VPNs entstehen. Wird der Datenverkehr nicht sauber getrennt, kann es zu Informationslecks innerhalb der VPNs kommen. Das war bei Cisco der Fall, deren VPNs einen Fehler beim 16 Verarbeiten großer Communities hatten. Die Cisco VPNs verwendeten fälschlicherweise ein korruptes Route Target (RT), um den Datenverkehr weiterzuleiten, was zu einem Leck - von einem VPN auf ein anderes - führte. Die Lösung zur Schließung solcher Lecks, abgesehen von den Patches des Herstellers, ist ein System speziell zur Vermeidung von Routing-Fehlern, DNS- und IP-Lecks außerhalb einer VPN-Verbindung zu konfigurieren, das auch nach Ausfall der bevorzugten VPN- Verbindung arbeitet. Eine weitere, kürzlich bekannt gewordene Schwachstelle in diesem Bereich bezieht sich auf Client lose VPN-Produkte. Diese Systeme beziehen Inhalte von verschiedenen Webseiten und liefern dann entsprechende Daten. Dabei scheint es so, als ob diese Daten aus dem SSL VPN stammen würden. Dadurch werden Beschränkungen gemäß der Same-Origin-Policy umgangen. Eine "Same Origin Policy" zielt darauf ab, vertrauenswürdige Domains durchzusetzen und bösartige Skripte zu blockieren. Das

7 Design von SSL VPN durchbricht dies in dem es versucht, Daten von Remote-Seiten mit unterschiedlichen Domains als eigene darzustellen. Ein Angreifer, der im Besitz einer bösartigen Webseite ist, die über ein clientless VPN aufgerufen wird, kann die Sitzung des Anwenders übernehmen oder die Tastaturanschläge mitschneiden. Man sollte daher SSL VPN Clients so konfigurieren, dass sie nur auf vertrauenswürdige Domains zugreifen können. IKE Aggressive Mode (AM) besitzt eine Schwachstelle, die zu schwerwiegenden Sicherheitslücken führen kann. Angreifer können Passwort-Hashes auslesen und die Brute-Force-Methode anhand der ausgegebenen gültigen und ungültigen Benutzernamen anwenden. Dies wird dadurch vermieden, indem Geräte so konfiguriert werden, dass sie IKE AM Verbindungen grundsätzlich zurückweisen und niemals aktivieren. Caching und Duplizierung VPN Clients speichern oft Authentifizierungsdaten (z. B. Benutzername und Passwort), um den Zugriff auf das Firmennetz bequemer zu machen. Dies ist in einigen VPN- Produkten eine Standardeinstellung, was zu einer starken Gefährdung sensibler Daten führt. Ein Angreifer kann nach lokal gespeicherten Daten suchen, um in das VPN einzudringen. Das kann so einfach sein wie das Aufspüren von Klartextpasswörtern im Speicher oder in der Registry. So hatte im Jahr 2007 eine Schwachstelle mit der CheckPoint VPN-1 SecuRemote/Secure Client Auto-Login-Funktion zu tun. Authentifizierungsdaten waren in der Windows Registry (Subkey "Credentials" unter HKLM\Software\Checkpoint\SecuRemote) gespeichert. Ein lokaler Nutzer konnte leicht auf diese Daten zugreifen und sich im VPN als Zielnutzer authentifizieren. 17 Ein ähnliches Problem entsteht, wenn viele VPN Clients unverschlüsselte ("verschleierte") Passwörter verwenden, die ein Hacker sehr leicht finden kann. Weiter besteht die Gefahr, dass sensible Daten nach Beendigung einer VPN-Sitzung auf dem System zurückgelassen werden. Passwörter müssen immer geschützt und der Cache eines Endgerätes, über das ein VPN-Zugriff erfolgt ist, nach jeder Sitzung geleert werden. Vervielfältigung oder erneutes Wiedereinspielen (Replay) des VPN-Verkehrs ist ebenfalls noch immer eine wesentliche Schwachstelle. Daten können für die Kommunikation verschlüsselt und Signaturen zur Authentifizierung der einzelnen Pakete verwendet werden. Für einen guten Hacker besteht jedoch weiterhin die Möglichkeit den Datenverkehr erfolgreich zu wiederholen. IPsec VPN- Implementierungen weisen deshalb jedem Paket mit Encapsulated Security Payload (ESP) eine laufende Nummer zu. Eine entsprechende Tabelle wird vom Zielhost gepflegt und für die Suche nach duplizierten Paketen und unerlaubtem Datenverkehr verwendet. Das System funktioniert nur, wenn die laufende Nummer zusätzlich verschlüsselt oder signiert ist. Andernfalls, wäre es für einen Hacker ein Leichtes, die Sequenzmuster auszulesen. Die beiden geschilderten Schwachstellen demonstrieren den hohen Stellenwert, den die Qualität und das sorgfältige Design von VPN-Produkten einnehmen. Denial of Service Vorsätzlich fehlerhaft geformte Pakete oder solche, die den RFC-Spezifikationen nicht entsprechen, können sich in Buffern stauen und den Service durch Überlastung der Ressource zum Erliegen bringen. Ein VPN ist davon genauso betroffen, wie alle anderen Netzwerksysteme

8 SSL-basierte VPNs können auf Standard-TCP-Verbindungen basieren. Sie können jedoch auch für UDP konfiguriert werden, um möglicherweise eine bessere Performance zu erzielen. UDP erschwert jedoch das Blockieren und Auffinden eines Denial of Service-Angriffs. Ebenso erlaubt UDP das leichte Auffinden eines VPN in einem Netzwerk (TCP-basierter Verkehr kann leichter verschleiert werden - Verkehr auf Port 443 sieht aus wie HTTPS). Ein Angriff auf Nortel-VPNs konnte aufgrund eines fehlerhaft geformten ISAKMP-Headers erfolgen, der von Intrusion-Detection-Systemen nicht gefunden werden konnte, da er einem Standard-IKE-Header ähnlich war. 18 Die versteckten Angriffspakete verursachten einen sofortigen Absturz, der das Gerät entweder zum Neustart zwang (5 Minuten Ausfall) oder das Gerät hing für unbestimmte Zeit. Eine andere Form eines Denial of Service Angriffes ist die Überlastung der Ressource durch viele Daten-Pakete, die dazu führen, dass dem VPN-Server keine Übertragungsslots mehr zur Verfügung stehen. Dadurch kann der Server keine legitimen Verbindungen mehr verarbeiten. Cisco s VPN 3000 war anfällig, wenn schädlicher Verkehr auf einen bestimmten Port, in diesem Fall der Port 80, gesendet wurde. Bereits ein kleiner Stream von weniger als 50 Pakete reichte aus, um das System in eine Endlosschleife zu zwingen. 19 Sicherheitsoptionen für Remote-Verbindungen Jedes Unternehmen das in einer gemeinsamen Netzwerkumgebung ein VPN für Wide- Area-Verbindungen, insbesondere mit unternehmenskritischen Applikationen, einsetzt, profitiert von einer Reihe Basissicherheitsanforderungen, die unabhängig von der für den VPN-Aufbau eingesetzten Technologie Gültigkeit haben. Authentifizierung Die Authentifizierung des VPN-Clients durch den VPN-Server ist für eine effiziente Sicherheit unerlässlich. Die Authentifizierung geschieht normalerweise auf zwei Ebenen: einem Zertifikat oder einem Password. Die Authentifizierung per Zertifikat wird über den Austausch von Zertifikaten und/oder vorher festgelegter, gemeinsamer Schlüssel für die VPN-Endpunkte geregelt. Passwörter können über eine Datenbank authentifiziert werden oder über ein zentrales Verzeichnis wie Microsoft Active Directory, RADIUS oder LDAP geregelt werden. ZweiFaktoren-Authentifizierung ist in Umgebungen, die besonders hohen Sicherheitsanforderungen genügen müssen, erforderlich. Die Kombination aus etwas, das der Nutzer kennt (Passwort) und einem Authentifizierungszertifikat oder Token (im Besitz des Anwenders) verhindert viele VPN-Angriffe, die auf preisgegebenen Passwörtern basieren. Viele VPNs unterstützen Tokens, die ein einmal zu verwendendes Passwort generieren. Starke Message-Digest-Algorithmen wie SHA sind ebenfalls erforderlich, um die Gültigkeit der Authentifizierungsdaten der Nutzer zu prüfen (darauf wird im Abschnitt Integrität eingegangen). Autorisierung Ein Anwender oder ein System werden für den Zugriff auf bestimmte Netzwerkressourcen erst dann zugelassen, nachdem sie die Authentifizierung erfolgreich abgeschlossen haben. Die üblichen Freigabesysteme zur Integration sind Microsoft Active Directory und RADIUS. Der Einsatz eines zentralisierten Systems darf nicht unterschätzt werden. Es ermöglicht ein besseres VPN-Management und den leichteren Zugriff. Umgekehrt müssen die Freigaben regelmäßig geprüft und so schnell wie möglich entfernt werden, um ein System vor einem Angriff wie oben beschrieben, zu schützen ls=%26solutionid=sk

9 Auditing VPN-Protokolle sind nicht nur zur Fehlersuche hilfreich, sondern auch beim Auffinden und Beheben von Zwischenfällen. Eine Liste erleichtert die Konfiguration der spezifischen Ereignisse, die gesammelt, geprüft und archiviert werden sollen. Sie beinhaltet beispielsweise Informationen über: 1. Benutzer 2. Datum, Uhrzeit und Befehl 3. Systemstandort 4. Authentifizierung erfolgreich/fehlgeschlagen 5. Autorisierung erfolgreich/fehlgeschlagen 6. Konfigurationsänderung, insbesondere zum Schutz (Anti-Virus und Intrusion Detection) 7. Privilegierter Zugang 8. Netzwerkadressen und Protokolle Da die Daten der einzelnen Bereiche wichtig sind, erfolgt die Untersuchung eines VPN- Angriffs anhand von Prüfprotokollen, um festzustellen, wer, was, wann und wo durchgeführt hat. Verfügbarkeit Die Verfügbarkeit oder Uptime bezieht sich auf den Prozentsatz der Zeit, während der ein VPN-Service arbeitet. Verbindungen, die nicht mehr genutzt werden können, bergen das Risiko eines Informationslecks oder Denial of Service. Es wird empfohlen, ein VPN-System sich selbst überwachen zu lassen und im Falle eines Fehlers die Verbindungen automatisch d.h. ohne den Eingriff eines Administrators, auf ein anderes VPN-System zu migrieren. Ein solches Failover erlaubt den Anwendern, ihre Arbeit ohne Datenkorruption oder sich erneut authentifizieren zu müssen, fortzusetzen. Integrität Die Integrität wird durch Kontrollen, die eine Modifizierung der Daten verhindern, sichergestellt. VPNs verwenden drei Methoden zur Integritätskontrolle. Die erste Methode ist eine unidirektionale Hash-Funktion, die Eingaben jeder beliebigen Länge aufnimmt und einen Ausgabewert mit fester Länge erstellt. Dieser Wert lässt sich für eine Datei leicht berechnen, aber es ist schwer, eine Datei zu erstellen, die zu genau demselben Wert führt. Es wird daher erschwert Daten unbemerkt zu modifizieren. Der Empfänger einer Datei kann deren Integrität durch das Erstellen eines Hash prüfen, den er mit dem vom Absender erstellten und mit der Datei versendeten, vergleicht. Ein VPN kann integrierte Hash-Mechanismen zur Generierung einer einmaligen Signatur für die zu übertragenden Daten bereitstellen - wenn diese Daten modifiziert werden, gleicht ihre Signatur nicht mehr den ursprünglichen Daten. Die beiden oft von VPN genutzten Algorithmen zur Datenprüfung sind MD5 und SHA. MD5 hat sich allerdings inzwischen als unzuverlässig erwiesen, so dass der letztere die bessere Option darstellt. Die zweite Methode verwendet Message-Authentification-Codes (MACs), die einer Hash-Funktion einen Schlüssel zuordnen. Die MAC wird mit einem von Sender und Empfänger gemeinsam genutzten Schlüssel berechnet. Der Absender generiert die MAC aus einer Datei und sendet sie mit der Datei an den Empfänger. Auch digitale Signaturen können die Datenintegrität in einem VPN gewährleisten. Die digitalen Signaturen arbeiten mit der Kryptographie öffentlicher Schlüssel. Ein Dokument wird vom Absender mit einem privaten Schlüssel digital "unterschrieben", der Empfänger verwendet den öffentlichen Schlüssel des Absenders, um das Dokument zu verifizieren. 9

10 Vertraulichkeit Die Daten werden von einem VPN verschlüsselt, um deren Offenlegung während der Übertragung auf einem gemeinsamen oder öffentlichen Übertragungsnetz zu verhindern. Das Schlüssel-Management und ein starker Verschlüsselungs-Algorithmus bilden die Basis für eine effektive Verschlüsselung. Dabei ist die Länge des Schlüssels von besonderer Wichtigkeit. Es wird empfohlen, immer den längsten vertretbaren Schlüssel zu wählen. Rethink Remote Access mit NCPs Next Generation Network Access Technology NCP bietet eine Software-basierte Remote Access VPN-Lösung, die für Unternehmen mit mittleren oder großen Netzwerken konzipiert ist. Diese Technologie erlaubt volle Netzwerktransparenz, Kontrolle und Monitoring aller VPN-Verbindungen von und zu einem zentralen Punkt im Netzwerk. Sie unterstützt sowohl IPsec als auch SSL und ist Mittelpunkt für hochsichere Datenkommunikation mit mobilen und stationären Geräten sowie Remote VPN-Gateways z.b.in Niederlassungen. Die umfassendste, leicht verwaltbare VPN-Lösung auf dem Weltmarkt wurde komplett von NCP entwickelt. Reibungslose Interoperabilität mit einer bereits vorhandenen IT- Infrastruktur ist gegeben. Die modulare Lösung kombiniert sowohl SSL- als auch IPsec-Management mit starkem Policy Enforcement. Anwender können sich mit allen Endgeräten, von beliebigen Standorten, auf dem heimischen Netzwerk über einen sicheren VPN-Tunnel mit nur einem Klick verbinden, egal, ob sie dies über WLAN-, LAN- oder Mobilfunk via Internet tun. Die Software kann problemlos in VPNs von Cisco, Juniper, Check Point, SonicWall oder anderer wichtiger Hersteller integriert werden, die vorhandenes Equipment braucht nicht ausgetauscht zu werden. Praktische Unterstützung der NAC-Funktion und VPN Management werden bei der Installation des Secure Enterprise Systems bereitgestellt. NCP Secure Enterprise Management System Eine zentral gesteuerte Softwarelösung, die Netzwerkadministratoren mit einem Single Point of Administration für das gesamte IPsec und SSL VPN-Netzwerk des Unternehmens und allen praktischen NAC-Funktionen ausstattet. Alle Statusinformationen stehen auf dem Systemmonitor in Echtzeit graphisch zur Verfügung. Plug-in, Updates und Konfigurationseinstellungen können einfach gesteuert und verteilt werden. Nutzerdaten können über standardisierte Schnittstellen von vorhandenen Directory Services und Identify And Access Management Systemen (IAMs) eingelesen werden. Die High Availability Services stellen die Redundanz der Systeme sicher und garantiert die hohe Verfügbarkeit des Management Systems. Kostspielige Ausfallzeiten und der Verlust der Policy-Einstellungen werden vermieden. NCP Secure Enterprise Server Ein hybrides IPsec und SSL Gateway, das alle VPN-Verbindung von und zu dem zentralen Datennetzwerk kontrolliert. Es bietet eine hochverfügbare Clustering-Lösung zur Aufrechterhaltung der Performance-Geschwindigkeiten des Netzwerks und erlaubt den Administratoren, mehr als VPN-Sessions gleichzeitig zu aktivieren. Der NCP Secure Enterprise Server unterstützt die in der Branche größte Bandbreite an Endpoint-Plattformen und jedes IPsec-basierte Gerät, einschließlich des iphones. NCP Secure Enterprise Client Eine VPN Client-Suite, inkl. dynamischer Personal Firewall und Dialer, erlaubt die sichere Connectivity für eine große Anzahl an Plattformen: Windows-basierte- Betriebssysteme (7/XP/Vista (alle 32/64 Bit), Mobile 5/6x, CE); Mac OS X; Symbian (S60 3rd Edition) und Linux-. Der universelle IPsec-Client verfügt über die 10

11 Zertifizierungen FIPS Inside und BSI Einsatzempfehlung. Er ist kompatibel mit nahezu jedem auf dem Markt angebotenen IPsec-Gateway. Die benutzerfreundliche GUI sowie das intelligente Policy Enforcement bieten allen Anwendern eine echte One-Click-Solution nur ein Click und man ist im heimischen Netz! 11