Sicherheitseigenschaften von WAN Verbindungen. Thomas Neumann TMR Telekommunikation Mittleres Ruhrgebiet GmbH

Transkript

1 Sicherheitseigenschaften von WAN Verbindungen Thomas Neumann TMR Telekommunikation Mittleres Ruhrgebiet GmbH

2 Zielsetzung dieses Vortrags Definition WAN Verbindung Betrachtete Sicherheitsrisiken Typische WAN Implementationen bei Netzbetreibern und deren Sicherheitseigenschaften Fazit

3 Zielsetzung Blick hinter die Kulissen bei der Einrichtung von Standleitungen durch einen Netzbetreiber Bessere Einschätzung der Sicherheit solcher Leitungen Vermittlung einiger Grundlagen, damit Sie bei Ihrer nächsten Leitungsbestellung ein paar interessante Fragen stellen können

4 Definition WAN Verbindung Jegliche Datenübertragungsleitung, deren Bestandteile sich nicht vollständig unter der eigenen Kontrolle befinden, d.h. deren Realisierung ganz oder teilweise durch Dritte / über fremde Infrastruktur erfolgt Internet-Anbindungen sind hier ausgeklammert, es geht um Intranet- Verbindungen

5 Betrachtete Risiken Abhören / Mitschneiden von Daten durch unbefugte Dritte Ungewollte Sichtbarkeit von Daten Angreifbarkeit der Übertragungsstrecke

6 Standleitungen Aus Sicht des Auftraggebers / Nutzers: Eine direkte, exklusive, nur für mich eingerichtete Datendirektverbindung zwischen zwei Endpunkten Wird eine Standleitung wirklich nach diesen Gesichtspunkten implementiert? Wie nah kommt die Realität den o.g. Erwartungen?

7 Typische Angebote an Endkunden Datendirektverbindung ( Standleitung ) MPLS VPN (Layer 2 / Layer 3)

8

9 Standleitungen Typische Produkte SDH-Leitungen E1 (2M), E3 (34M), STM-1 (155M), Kundenschnittstellen spezifisch Bandbreiten fix Verbindungsorientierter Dienst (Circuit Switched Network) Kann per Definition nicht überbucht sein (dedizierte Bandbreite) Ethernet-Leitungen Kundenschnittstelle Standard-Ethernet 10M, 100M, 1G, 10G Transport-Bandbreite kann dazwischen liegen (50M, 200M, 2G, ) Paketorientierter Dienst (Packet Switched Network)

10 Standleitungen Im Carrier (Netzbetreiber) Markt zusätzlich noch WDM Leitungen (Wavelength Division Multiplexing) CWDM (Coarse WDM) DWDM (Dense WDM)

11 Standleitungen - Topologie Wie direkt ist eine Datendirektverbindung eigentlich? N3 K N1 N2 N5 K N4 Da ist doch ein bischen was dazwischen

12 Standleitungen Topologie und Multiplexing Wie exklusiv ist die Verbindung bei einer Standleitung? N3 K N1 N2 N5 K K Trennung? N4 K

13 Standleitungen Topologie und Multiplexing N3 K N1 N2 N5 K K Trennung? N4 K Wie erfolgt die Trennung auf dem Kabel? SDH-Netz: TDM (Time Division Multiplexing) Paketorientierte Netze: Encapsulation (MPLS, VLAN, ) WDM: verschiedene optische Wellenlängen

14 Standleitungen Topologie und Multiplexing N3 K N1 N2 N5 K K Trennung? N4 K Trennung in den Netzbetreiber-Knoten N1.. N5: SDH: Add-Drop-Multiplexer (ADM) WDM: (Reconfigurable) Optical Add-Drop-Multiplexer (ROADM) MPLS: Provider-Router (IP + MPLS)

15 Trennung durch TDM (SDH Netz) Was macht Time Division Multiplexing? Ermöglicht die Übertragung mehrerer separater Dienste geringerer Bandbreite über einen gemeinsamen Übertragungsweg höherer Bandbreite Multiplexing Ein Dienst ist dabei das, was der Endkunde als seine Standleitung wahrnimmt Time Division? Vereinfacht erklärt: Die Übertragung auf der Gesamtleitung mit hoher Bandbreite wird in Zeitschlitze aufgeteilt, jeder Dienst bekommt einen dedizierten Zeitschlitz Die Anzahl der Zeitschlitze ist fix, jeder ist gleich lang (z.b. 100µs) Im ersten Zeitschlitz werden nur rote Daten übertragen, im zweiten nur grüne usw. Wenn alle einmal dran waren geht es von vorne los.

16 Trennung durch WDM (CWDM/DWDM Netz) Was macht Wavelength Division Multiplexing? Ermöglicht die Übertragung mehrerer separater Dienste geringerer Bandbreite über einen gemeinsamen Übertragungsweg höherer Bandbreite Multiplexing Ein Dienst ist dabei das, was der Endkunde als seine Standleitung wahrnimmt Wavelength Division? Vereinfacht erklärt: Ein optischer Multiplexer nimmt Signale unterschiedlicher Wellenlängen von mehreren Kundenleitungen (Ports) auf und sendet diese gemeinsam über ein Uplink-Faserpaar Am anderen Ende der Leitung nimmt der entgegengesetzte Multiplexer den gesamten Datenstrom entgegen und teilt diesen gemäß den Wellenlängen wieder auf einzelne Kunden (Ports) auf

17 Trennung durch WDM (CWDM/DWDM Netz) Passiver Multiplexer

18 Trennung durch WDM (CWDM/DWDM Netz) Passiver Multiplexer

19 Trennung durch MPLS (Provider Router) Provider-Router (MPLS) K1 K2 VRF blau Kunde 1 VRF orange Kunde 2 push zwei MPLS Label -Transport Label (grau) -VPN Label (blau, orange, lila) K3 VRF lila Kunde 3

20 Trennung durch MPLS (Provider Router)? Trennnung der Instanzen (Dienste, Kunden) blau, orange und violet ist rein Software/Konfigurationsbasiert Bei unsachgemäßer Konfiguration oder Softwarefehlern ist ein Übergang von Daten zwischen Instanzen/Kunden nicht auszuschließen Das kann sogar in MPLS VPNs bewusst gewollt sein, von daher können die Router das auf jeden Fall Sorgfalt des Netzbetreibers ist gefragt!

21 Multiplexing² Die vorgestellten Technologien (SDH/TDM, WDM, MPLS) sind miteinander kombinierbar / ineinander verschachtelbar. Das wird in der Praxis auch gemacht! Auf einem Faserpaar laufen: Über WDM Multiplexer 8 bis 32 optische Wellenlängen In jeder dieser Wellenlängen z.b. ein Ethernet- oder ein SDH Dienst Über jeden der Ethernet- oder SDH Dienste läuft jeweils ein MPLS Netz, das nichts von den MPLS Netzen (oder Fibre Chanel etc.) Verbindungen auf den anderen Wellenlängen weiß In jedem der MPLS Netze können dutzende oder hunderte VPNs oder virtuelle Punkt-zu-Punkt Ethernet-Leitungen laufen So können tausende von Standleitungen über ein Faserpaar laufen! Im Übrigen: Ja, auch das böse Internet. Das läuft da einfach als einer der vielen Kanäle mit über die selben Leitungen!

22 Verschlüsselung? Keine der genannten Technologien bringt von sich aus irgendeine Form von Verschlüsselung mit sich! Aber MPLS-VPN ist doch ein VPN? Ja, aber eines ohne Verschlüsselung d.h. wenn jemand die Leitung anzapft, kann relativ einfach mitgelesen werden Kann angezapft werden? Klar, relativ einfach sogar

23 Anzapfen von Leitungen Der Netzbetreiber kann auf den Netzknoten (SDH- Multiplexern, WDM Multiplexern, MPLS Routern) relativ einfach, teilweise nur per Konfiguration Daten ausleiten (ggf. notwendig für Behördenüberwachung) Die gesamte Glasfaser kann unterbrechungsfrei parasitär ausgelesen werden, wenn man physischen Zugriff darauf hat -> Micro Bending / Optical Tap

24 Micro Bending / Optical Tap

25 Micro Bending / Optical Tap

26

27 Fazit Netztechnisch ist eine Datendirektverbindung / Standleitung auch nur ein Mitläufer mit vielen anderen Diensten auf einer gemeinsamen Infrastruktur Aufgrund fehlender Verschlüsselung müssen Sie dem von Ihnen beauftragten Netzbetreiber vertrauen, ansonsten können Sie auch auf einer Datendirektverbindung verschlüsseln! Datendirektverbindungen und MPLS-VPNs haben natürlich trotzdem Ihren Sinn, die inhärente Sicherheit ist aber ggf. schwächer als Sie bisher dachten

28 Vielen Dank! Fragen?