Sichere HTTPS Verbindungen ermöglichen Minimieren Sie die Risken der HTTPS-Nutzung zur Sicherung Ihres geschäftlichen Erfolges

Transkript

1 Sichere HTTPS Verbindungen ermöglichen Minimieren Sie die Risken der HTTPS-Nutzung zur Sicherung Ihres geschäftlichen Erfolges Clearswift Limited 2009 C

2 Einführung & Hintergrund Vertrauen ist ein wesentlicher Faktor bei allen Geschäftsprozessen und definitiv einer der wichtigsten Faktoren für die sichere Abwicklung von Geschäften über das Internet. In diesem Dokument beschäftigen wir uns mit HTTPS (Hypertext Transfer Protocol over Secure Socket Layer, häufig auch als SSL abgekürzt), das zur Bereitstellung eines sicheren und vertrauenswürdigen Kommunikationskanals über das Internet genutzt wird. Darüber hinaus erläutern wir, weshalb es so wichtig ist, dass Sie festlegen, wie in Ihrem Unternehmen mit HTTPS/SSL-Traffic umgegangen werden soll, um die sichere Nutzung von Webbrowsern in Ihrem Unternehmen zu ermöglichen. Die übliche Browser-Website-Kommunikation erfolgt über das ungeschützte HTTP (Hypertext Transfer Protocol ), bei dem alle Daten im Plaintext übertragen werden, d.h. von praktisch jedem abgefangen und gelesen werden können, der dazu technisch in der Lage ist. Durch das Hinzufügen der SSL-Komponente (Secure Socket Layer) zu HTTP wird der Datenaustausch zwischen Browser und Website verschlüsselt. Dies wird normalerweise durch die Anzeige eines gesperrten Schlosses in der Statuszeile des Browsers symbolisiert. Besonders wichtig ist die Verschlüsselung der Webbrowser-Kommunikation bei der Übermittlung von wertvollen Daten. Dies betrifft zum Beispiel alle Arten der Kommunikation, die sensible oder vertrauliche Informationen enthalten, oder Geldtransaktionen wie z.b. Online-Überweisungen, die Eingabe der Kreditkartendaten zum Bezahlen in einem Online-Shop etc. Zum Aufbau dieser sicheren, vertrauenswürdigen Verbindung nutzen sowohl der Webbrowser als auch die Ziel- Website authentifizierte Zertifikate. Durch die Verschlüsselung der Verbindung von einem Endpunkt zum anderen wird sichergestellt, dass niemand die ausgetauschten Informationen abfangen und lesen kann. Der zusätzliche Sicherheitsvorteil einer durch Zertifikate geschützten Kommunikation besteht darin, dass der Nutzer des Browsers die Authentizität des Zertifikats überprüfen und sich vergewissern kann, dass es von einer unabhängigen Zertifizierungsstelle verifiziert und der Website und dem Unternehmen zugewiesen wurde, mit dem er glaubt zu kommunizieren. Das hört sich doch alles sehr gut an warum sollte sich ein Unternehmen dann Gedanken um die HTTPS-Nutzung machen? Was sollte man über SSL wissen? Wie alle Prozesse bzw. Protokolle, die zur Bereitstellung vertrauenswürdiger, sicherer Verbindungen konzipiert wurden, hat leider auch SSL Schwachstellen, durch die es, obwohl es für vollständige Sicherheit konzipiert wurde, auch ein hohes Gefahrenpotenzial bergen kann. Wenn Sie jedoch die Probleme der SSL-Nutzung kennen und auf sie eingehen, ermöglicht SSL Ihnen eine sehr praktische, effektive und sichere Internet-Kommunikation, mit der Unternehmen ihre produktiven Geschäftsprozesse verbessern und das Internet sicher nutzen können. Problem Nr. 1 Es ist verschlüsselt Die Stärke von HTTPS/SSL ist gleichzeitig auch seine größte Schwäche, wenn es darum geht, seine freie Nutzung zu erlauben. Da der Datenaustausch zwischen dem Anwender und der Website (und umgekehrt) verschlüsselt ist, kann jede Art von Informationen im Verborgenen kommuniziert werden. Der Großteil der Kommunikation wird erlaubt sein, aber schon ein einziger unerlaubter Datenaustausch kann großen Schaden anrichten. Wenn man bedenkt, dass viele legitime Webmail- und Web 2.0-Services SSL für ihre gesamte Kommunikation nutzen (nicht nur zum Einloggen), ist die Gefahr des Austauschs unerlaubter Inhalte enorm. Ganz zu schweigen von der Tatsache, dass jeder in Ihrem Unternehmen seine Website für weniger als 100 auf HTTPS umstellen und dann unerkannt z.b. Pornos oder Malware auf ihr hosten könnte! Problem Nr. 2 Es erfordert die Öffnung der Firewall Für die Nutzung von SSL müssen Sie einen bestimmten Firewall-Port für den ein- und ausgehenden, verschlüsselten SSL-Verkehr freigeben (normalerweise 443, obwohl auch andere Ports genutzt werden können). Aber wenn dieser Verkehr verschlüsselt ist, wie können Sie ihn dann überprüfen? Noch dazu kann jedermann mit bösen Absichten diesen Port nutzen, um unerkannt Daten in Ihr Netzwerk zu senden, die Verheerendes anrichten können! Den Firewall-Port für HTTPS zu öffnen, ohne in der Lage zu sein, den Verkehr zu erfassen, zu entschlüsseln und auf Malware und unerlaubte Inhalte zu überprüfen, ist vergleichbar damit, alle Wertgegenstände in Ihrem Safe zu sichern, aber die Haustür unverschlossen zu lassen nicht sehr empfehlenswert. Problem Nr. 3 Man kann HTTPS-Zertifikaten nicht immer trauen Die Netcraft Secure Server Survey vom Januar 2008 kam zu dem Ergebnis, dass von insgesamt 2,45 Millionen überprüften SSL-Servern nur 34,4 Prozent mit einem gültigen SSL-Zertifikat antworteten. Mehr als 25 Prozent 2

3 waren selbst-signiert, was bedeutet, dass keine Zertifizierungsstelle (Certificate Authority - CA) verifiziert hatte, dass die Seite wirklich die war, die sie vorgab zu sein. Weitere 22 Prozent antworteten mit einem name mismatch, einer klaren Warnung vor einer Spoofing-/Phishing-Website. Und dann gab es noch die abgelaufenen Zertifikate, die das große Sicherheitsrisiko bergen, dass es sich um widerrufene Zertifikate handelt, abgesehen davon, dass man einem abgelaufenen Zertifikat ohnehin kein Vertrauen schenken sollte! Eine weitere 2007 von Venafi durchgeführte Studie untersuchte anhand einer für eine statistisch gültige Untersuchung ausreichenden Anzahl von Teilnehmern die Nutzung von SSL in den Fortune 1000-Unternehmen. Das Ergebnis war, dass 48 Prozent der Nutzer Browser-Warnmeldungen einfach ignorierten, wenn sie das Gefühl hatten, sie könnten der Website vertrauen. 44 Prozent verließen sich auf das Look and Feel der Website, um zu wissen, dass sie die war, die sie vorgab zu sein. Führt man die Ergebnisse der Studien von Venafi und Netcraft zusammen, zeichnet sich ein außerordentlich hohes Risiko ab, da 65 Prozent der SSL-Server ungültige Zertifikate verwenden und knapp 50 Prozent der Nutzer Warnmeldungen ignorieren und sich auf ihr Bauchgefühl verlassen, wenn es darum geht, der Echtheit einer Website zu vertrauen. Während der Arbeit an diesem White Papers wurde ein weiterer Fall bekannt. Einem Team von Sicherheitsforschern ist es gelungen, in Besitz eines gefälschten CA-Zertifikats zu gelangen, wodurch die Grundidee der vertrauenswürdigen Websites zunichte gemacht wird. Sie konnten mit diesem Zertifikat ein Herausgeberzwischenzertifikat erstellen, das alle wichtigen Internet-Browser als vertrauenswürdig einstufen. Dennoch ist dies vermutlich kein Grund zur Sorge, da dieses Sicherheitsloch hoffentlich bereits gestopft sein wird, wenn Sie dieses Dokument lesen! Nichtsdestotrotz ist es eine sehr effektive Sicherheitsstrategie, Zertifikate und ihren Status zu überprüfen, bevor man mit einer Website kommuniziert. Wenn Sie dies allerdings Ihren Nutzern überlassen, laufen Sie Gefahr, dass sie die Warnmeldungen nicht verstehen und einfach die Enter-Taste drücken oder auf Ja klicken. Problem Nr. 4 HTTPS/SSL ist inzwischen weit verbreitet Noch vor wenigen Jahren trafen Anwender meistens nur auf HTTPS/SSL, wenn sie in einem Online-Shop eine Bestellung aufgaben. Heute haben wir eine ganz andere Situation. Aufgrund der Zunahme des Cloud Computing und der Tatsache, dass immer mehr Unternehmen jeder Größe sichere Portale für Partner- und Lieferanten- Transaktionen, CRM-Systeme, Informationsaustausch und Zusammenarbeit anbieten, hat auch die Nutzung von SSL stark zugenommen. Daher ist das Blockieren von SSL-Verkehr mit Ausnahme einiger festgelegter Websites eher hinderlich, wenn Sie Ihren Mitarbeitern ein produktives Arbeiten im Internet ermöglichen wollen, es sei denn, Sie wollen nur eine sehr eingeschränkte Nutzung des Internet zu beruflichen Zwecken erlauben. Problem Nr. 5 Web-Malware ist überall Zu guter Letzt stellt sich noch das Problem der geradezu explosionsartigen Zunahme von Web-Malware und Spyware wie Backdoors, Trojanern und Keyloggern, die längst nicht mehr nur auf verdächtigen Websites zu finden sind, sondern von den Hackern inzwischen häufig auch auf vermeintlich sicheren Seiten platziert werden (70 der Top 100 Websites - Januar 2009). Malware ist überall: von Social Networking-, Unternehmens- und Nachrichten- Sites bis hin zu Sportseiten einfach überall, wo sie unerkannt platziert werden kann. Wenn Sie SSL-Traffic also nicht entschlüsseln und auf Malware überprüfen können, setzen Sie Ihre Nutzer einem hohen Risiko aus. Die obigen Ausführungen machen deutlich, was passiert, wenn Sie sich nicht darum kümmern, wie in Ihrem Unternehmen mit HTTPS/SSL-Traffic umgegangen werden soll. Sie setzen sich dadurch den folgenden Risiken aus: 1. Nutzern können durch Malware, die per HTTPS platziert wurde, sensible Informationen gestohlen werden 2. Nutzer können vorsätzlich Informationen weitergeben und HTTPS-Verschlüsselung nutzen, um ihre Spuren zu verwischen 3. Anwender können dazu verleitet werden, auf Spoofing-Websites mit widerrufenen Zertifikaten Informationen einzugeben 4. Malware, die sich durch Verschlüsselung vor Scans und Filtern versteckt, kann in Ihr Netzwerk eindringen oder den Browser durch gefälschte Zertifikate kompromittieren 5. Verschlüsselter Datenverkehr kann Ihre Firewall passieren, ohne vernünftig geprüft worden zu sein SSL-verschlüsselten Web-Traffic ermöglichen und seine Risiken minimieren Das erste große Risiko von SSL, mit dem man sich beschäftigen muss, sind die Authentifizierungs- und Zertifizierungsprozesse, die stattfinden, wenn der Benutzer in seinem Browser eine Website aufruft. In dieser Phase müssen Sie überprüfen, ob das Zertifikat gültig ist, die Zertifikatinhalte mit dem von der Zertifizierungsstelle ausgestellten Zertifikat übereinstimmen und ob das Zertifikat von der Zertifizierungsstelle widerrufen wurde. Die 3

4 Clearswift Web Appliance geht auf diese Weise vor. Sie ermöglicht Ihnen, Nutzerrichtlinien für das Browsen auf SSL-verschlüsselten Websites und akzeptable Web-Zertifikate zu erstellen, mit denen Sie das Risiko reduzieren, dass Nutzer Spoofing-Websites aufrufen oder gefälschte Zertifikate in ihrem Browser installiert werden. Die nächste Sicherheitsmaßnahme und wichtigste Voraussetzung für die sichere Nutzung von HTTPS ist, dass man in der Lage sein muss, den gesamten HTTPS/SSL-verschlüsselten Datenverkehr zu identifizieren, abzufangen und vorübergehend zu entschlüsseln. Dies ermöglicht Malware-Scans in Echtzeit und eine Inhalts-bezogene, lückenlose Filterung des Datenverkehrs, ohne den Sicherheits-Level zu beeinträchtigen, den Sie Ihren Nutzern für die ein- und ausgehende Datenübertragung beim Browsen im Web anbieten wollen. Für Clearswift bedeutet dies, dass wir zunächst unsere Entschlüsselungssoftware verwenden, damit der gesamte Datenverkehr im Plaintext vorliegt, und als nächstes mit unserer Content-sensitiven MIMEsweeper-Technologie alle Inhalte in ihre Einzelteile zerlegen, wobei alle nicht identifizierbaren Elemente blockiert und gemeldet werden. Wenn wir Datenverkehr nicht identifizieren können, ist er zunächst einmal verdächtig, und ihn zu blockieren bietet zuverlässigen Zero-Day-Schutz vor neuer Malware. Der nächste Schritt besteht darin, den zerlegten* Datenverkehr einer leistungsfähigen Malware- und Spyware- Analyse zu unterziehen. *Zerlegung bedeutet für uns nicht nur die akkurate Erkennung von Datei- und Datentypen anhand der wahren Binärtypen, sondern auch die tatsächliche Zerlegung dieser Dateien in ihre einzelnen Bestandteile für den Fall, dass eine Datei in eine andere eingebettet ist. Es bedeutet auch, Websites in ihre Bestandteile zu zerlegen, beginnend bei den URL-Headern, HTML-Text, ActiveX-Elementen, JPEG-Bildern etc. Oder - zum Beispiel im Fall einer heruntergeladenen Acrobat-Datei - sich deren Eigenschaften, Texte, Bilder oder andere Informationen genau anzusehen, die in das PDF eingebettet sind. Die Content-sensitive MIMEsweeper-Technologie erledigt diese Aufgaben effektiver, gründlicher und schneller als jeder andere Filter. Durch die Zerlegung der Dateien in ihre Bestandteile erhöhen wir auch die Effektivität und Genauigkeit von Malware- und Spyware-Scans und verbessern die Erkennung bösartiger Inhalte gegenüber der Analyse unzerlegten Datenverkehrs enorm. Dadurch minimieren wir das mit solchen Gefahren verbundene Risiko fast auf Null. Dann analysieren wir den Web-Traffic auf nutzerspezifische Verstöße gegen Sicherheits-, Data Loss Prevention (DLP) und andere Richtlinien. Dazu gehören zum Beispiel die Verwendung und Weitergabe obszöner Inhalte sowie die Verwendung von Kreditkartennummern oder anderen persönlichen Daten wie Versicherungs- und Krankenversicherungsnummern. Zur Verhinderung von Datenverlusten führen wir außerdem anhand integrierter und benutzerspezifischer verwalteter Listen vollständige lexikalische Analysen nach Schlüsselwörtern und typischen Redewendungen durch. Neben bestimmten geschäftlichen Ausdrücken und Projektnamen enthalten diese Listen auch spezielle Lexika für die Einhaltung von SEC-, SOX-, HIPAA- und anderen Compliance- Anforderungen. Zusätzlich ermöglicht die Clearswift-Lösung CONTENTsafe¹ das Speichern von Fingerprints vertraulicher Informationen, mit deren Hilfe der gesamte Datenverkehr auf die Weitergabe selbst von Teilen sensibler Daten überprüft werden kann und im Falle von Web-Traffic ein solcher Datenaustausch automatisch blockiert und gemeldet werden kann. (¹ab 2009) Und schließlich wird, nachdem alle Sicherheits- und Richtlinienprüfungen durchgeführt wurden, der ein- oder ausgehende Datenverkehr wieder verschlüsselt und ohne merkliche Verzögerung an den Browser oder die Website weitergeleitet. Durch die Fähigkeit, all diese nutzerbasierten Richtlinienkontrollen in Echtzeit durchzuführen, können die Hauptrisiken der Nutzung von HTTPS/SSL zuverlässig eliminiert werden. Fazit Clearswift ist der Überzeugung, dass Ihr geschäftlicher Erfolg davon abhängt, dass Sie den Anwendern in Ihrem Unternehmen ermöglichen, auf effiziente Weise zu kommunizieren und Informationen auszutauschen. Die Content-sensitive Technologie von Clearswift ist in der Lage, die Informationen und die Web-Kommunikation Ihres Unternehmens abzusichern, und ermöglicht Ihren Mitarbeitern, uneingeschränkt miteinander zu kommunizieren und zu arbeiten. Die detaillierten Richtlinienprüfungen können auf einfache Weise an einzelne Nutzer oder Abteilungen angepasst werden, um ihnen die Befugnisse zu geben, die für den maximalen Geschäftserfolg Ihres Unternehmen erforderlich sind. Die Risiken der Nutzung von HTTPS/SSL im Internet zu minimieren, ist nur eine der vielen Möglichkeiten, mit denen die Content-sensitiven Lösungen von Clearswift Unternehmen unterstützen und dafür sorgen, dass ihre Sicherheit nie gefährdet ist. 4

5 Kontakt Clearswift Clearswift Corporation (US HQ) 161 Gaither Drive Centerpointe Suite 101 Mt. Laurel, NJ USA Tel.: , Fax: Clearswift Limited 1310 Waterside, Arlington Business Park Theale, Reading Berkshire, RG7 4SA GROSSBRITANNIEN Reg.-Nr.: Tel.: Fax: Clearswift GmbH Amsinckstrasse Hamburg DEUTSCHLAND Tel.: Fax: Clearswift 5th Floor 165 Walker Street North Sydney New South Wales, 2060 AUSTRALIEN Tel.: Fax: info@clearswift.com.au Clearswift K.K Hanai Bldg. 7F 1-2-9, Shiba Kouen Minato-ku Tokyo-to, JAPAN Tel.: +81 (3) Fax: +81 (3) info.jp@clearswift.co.jp Clearswift España S.L. Cerro de los Gamos 1, Edif Pozuelo de Alarcón Madrid SPANIEN Tel.: / Fax: info.es@clearswift.com Clearswift Appliance Clearswift Web Appliance Clearswift CONTENTsafe MIMEsweeper for SMTP EXCHANGEmanager IMAGEmanager 2009 Clearswift Ltd. All rights reserved. The Clearswift Logo and Clearswift product names including Clearswift Appliance, Clearswift Web Appliance, MIMEsweeper, EXCHANGEmanager, CONTENTsafe, IMAGEmanager, ClearSupport, ClearLearning, TRUSTmanager, SpamLogic, ThreatLab are trademarks of Clearswift Ltd. All other trademarks are the property of their respective owners. Clearswift Ltd. (registered number ) is registered in Britain with registered offices at 1310 Waterside, Arlington Business Park, Theale, Reading, Berkshire RG7 4SA, England. 5