OFTP 2 Sicherer Datenaustausch über das Internet

Transkript

1 OFTP 2 Sicherer Datenaustausch über das Internet Leitfaden für den praktischen Einsatz Version 1.1 VDA DFÜ AG Dietmar Kaschmieder Seite 1 of 16

2 Historie: Version Datum Beschreibung Autor VDA Leitfaden für OFTP2-Einsatz D. Kaschmieder VDA Leitfaden für OFTP2-Einsatz Neuen Sicherheitsrichtlinien und Abläufen angepasst OFTP2 Quick-Starthilfe hinzugefügt D. Kaschmieder VDA DFÜ AG Dietmar Kaschmieder Seite 2 of 16

3 Inhalt: 1 Einführung Überblick OFTP2 Sicherheitstechnik Verbindungssicherheit Verschlüsselung der Daten Signierung und Verifizierung Odette Service TSL (Trust Service Status List) Zertifikate für die Authentifikation Self-Signed Certificate Certificate Authority CA Mutually-Signed Certificates Einrichtung einer sicheren OFTP2-Verbindung Basisverbindung mit TLS-Verschlüsselung Austausch von verschlüsselten und signierten Dateien Zertifikat beschaffen und einrichten Root Certificate von Certificate Authority (CA) beantragen Root-Zertifikat im eigenen OFTP2-System speichern Zertifikate austauschen Austausch über OFTP Austausch über und andere Medien Verifizierung und Freigabe Prozessablauf Einrichtung einer OFTP2-Verbindung Zertifikat anfordern (einmaliger Vorgang) Zertifikate in das eigene OFTP2-System einpflegen (einmaliger Vorgang) Austausch des ausgefüllten OFTP2-Datenblattes (mit jedem neuen Partner) Initialer automatisierter Austausch der Zertifikate (mit jedem neuen Partner) Verschlüsselter Datenaustausch kann gestartet werden Implementierung Funktionsumfang der OFTP2 Software Ausblick Referenzen Autor Glossar...14 Anhang: OFTP2 Quick Start Hilfe..16 VDA DFÜ AG Dietmar Kaschmieder Seite 3 of 16

4 1 Einführung Dieser Leitfaden ist als Hilfestellung für die Einrichtung der Sicherheitsmechanismen für den Austausch von technischen Daten mit dem Odette File Transfer Protokoll OFTP2 über Kommunikationsverbindungen wie Internet, ISDN und ENX gedacht. Dabei gilt es, entsprechend den Sicherheitsanforderungen der beteiligten Parteien, der firmenspezifischen Sicherheitspolitik und in Abhängigkeit der Klassifizierung der auszutauschenden Daten, Lösungswege aufzuzeigen und Entscheidungshilfen für den Praxiseinsatz zu geben. Dies gilt insbesondere für den Einsatz von OFTP2 über das Internet, jedoch kann die Verfahrensweise ebenso für den Einsatz über ISDN angewandt werden. Beim Datenaustausch über ENX sind zusätzliche Sicherheitsmassnahmen dann sinnvoll, wenn die eingesetzte OFTP2 Software einen zusätzlichen Schutz vom ENX-Router am Bordergateway der Firma bis zum OFTP2-Server bieten kann oder die Authentisierung durch Signatur nochmals verstärkt werden soll. Dieser Leitfaden soll zum einen dazu dienen, die Vorgehensweise und Nutzung der Sicherheitsmechanismen so zu beschreiben, dass der Einsatz möglichst ohne großen Aufwand, in enger Abstimmung mit der Sicherheitspolitik in den Firmen, erfolgen kann und zum anderen eine standardisierte Vorgehensweise unter den Datenaustauschpartnern sowie eine möglichst reibungslose Interoperabilität gewährleisten. Das OFTP2-Datenblattformular des VDA dient darüber hinaus dazu, durch geordneten Austausch der Parameterdaten mit dem Partner den Verbindungseinrichtungsvorgang von OFTP2 zu erleichtern. 2 Überblick In der Odette Empfehlung des Odette File Transfer Protokolls Version 2 (OFTP2) sind insbesondere Sicherheitsmechanismen wie Verschlüsselung und Signatur, aber auch Funktionen wie Datenkomprimierung und TLS Layers beschrieben. In den Odette OFTP2 Implementation Guide Lines ist der Einrichtungsprozess der Sicherheitsmechanismen in der Partnerbeziehung mit seinen Funktionen und Parametern im Detail mit Beispielen dokumentiert und dient hauptsächlich den OFTP2-Softwareentwicklern als Arbeitsgrundlage. Dieser VDA-Leitfaden ist, als Ergänzung zu der Odette Empfehlung und zu den Odette Implementation Guide Lines, als Hilfe und zum besseren Verständnis für die Verbindungseinrichtung im Engineering-Umfeld gedacht. Es wird der Prozessablauf, ohne Anspruch auf Vollständigkeit, für den Einsatz bei OEM s und großen Zulieferern, aber auch für den Einsatz bei kleineren Ingenieurbüros oder Sublieferanten dargestellt. Der Ablauf und die Vorgehensweise sind in jedem Fall mit den firmeninternen Richtlinien für Datensicherheit abzustimmen und gegebenenfalls anzugleichen. Der Leitfaden basiert auf der OFTP2 Empfehlung, der wiederum Standardsicherheitsmethoden wie X509 V3 zu Grunde liegen. VDA DFÜ AG Dietmar Kaschmieder Seite 4 of 16

5 Die Klassifizierung und der Einsatz der Sicherheitsmassnahmen sind abhängig von Art und Vertraulichkeit der zu transferierenden Daten und dem damit verbundenen Bedarf an Sicherheitsanforderungen gegenüber unbefugtem Zugriff und Vortäuschung eines anderen Senders oder Empfängers. Dabei muss der Datensender für die auszutauschenden Daten jeweils Aufwand und Nutzen der Sicherheitslösungen anhand der in diesem Leitfaden beschriebenen Sicherheitsmechanismen abwägen und sich für die für ihn und für seinen Partner beste Lösung entscheiden. Bei der Auswahl der OFTP2-Software ist darauf zu achten, dass die angebotene Software den Prozess des Odette Interoperability Tests erfolgreich durchlaufen hat und als zertifizierte OFTP2-Software auf der Odette Homepage gelistet ist. Dies reduziert die Gefahr der Inkompatibilität beim Datenaustausch mit anderen OFTP2-Systemen. 3 OFTP2 Sicherheitstechnik Der Datentransfer über das Internet oder auch über andere Kommunikationsmedien erfordert einen hohen Sicherheitsstandard. Die Vorgehensweise und der Einsatz von Zertifikaten für die Verschlüsselung wurde von einer Odette Arbeitsgruppe SCX (Security Certificate Exchange) unter Beteiligung von europäischen OEM s, Zulieferern und Systemherstellern festgelegt. Die Ergebnisse wurden in dem Odette Dokument OFTP2 Certificate Policy festgehalten und sind Basis für die Sicherheitspolitik in den einzelnen Unternehmen. Für OFTP2 wurden drei Sicherheitsstufen definiert: 3.1 Verbindungssicherheit Es wird eine SSL/TLS-verschlüsselte TCP/IP-Verbindung hergestellt. Dabei wird jedes einzelne TCP/IP-Paket verschlüsselt. Die Zertifikate basieren auf dem X509-Format, ein wichtiger Standard für die Public-Key-Infrastruktur (PKI) und dem CMS-Format (Cryptographic Message Syntax) das dem Erstellen einer digitalen Signatur für den Datenaustausch dient. 3.2 Verschlüsselung der Daten Die Daten werden asymmetrisch verschlüsselt. Die Verschlüsselung basiert auf der Verwendung eines zusammengehörenden Schlüsselpaares (Public und Private Key), wobei ein Schlüssel zur Ver- und einer zur Entschlüsselung genutzt wird. Der öffentliche Schlüssel (Public Key) wird dabei dem Partner zugänglich gemacht, d. h. er wird ihm mitgeteilt bzw. zu ihm übertragen und damit kann er von jedem Partner dazu genutzt werden ein Datenpaket dem Besitzer des privaten Keys (Private Key) verschlüsselt zu transferieren. Nur der Empfänger ist in diesem Fall in der Lage, die Daten zu entschlüsseln. 3.3 Signierung und Verifizierung Dabei wird ein Hash der Daten erstellt. Hash-Werte erfüllen eine wichtige Aufgabe. Sie werden sowohl zum Suchen und Identifizieren von Dateien als auch zum Erkennen und Prüfen von transferierten Dateifragmenten verwendet. So lassen sich große Dateien VDA DFÜ AG Dietmar Kaschmieder Seite 5 of 16

6 zuverlässig in kleinen Segmenten austauschen. Die Hash-Werte werden mit dem eigenen privaten Schlüssel verschlüsselt (signiert). 3.4 Odette Service TSL (Trust Service Status List) Ein Ergebnis aus dem Odette-Arbeitskreis SCX ist die Etablierung eines Services der sogenannten TSL (Trust Service Status List). Dieser Service enthält eine Liste all der von Odette überprüften Zertifikatsausstellern (CA s), die nach Antragseingang nach festgelegten Kriterien überprüft werden und bei positivem Ergebnis in diese Liste aufgenommen werden. Bei Empfang eines Zertifikates von einem Partner im OFTP2- System wird von diesem online auf diese Liste zugegriffen und somit die Vertrauenswürdigkeit des Zertifikatsausstellers überprüft. 4 Zertifikate für die Authentifikation Es sind drei Mechanismen zur Erzeugung des Zertifikats beschrieben. Diese Methoden dienen dazu, die Authentisierung des Partners mit hoher Sicherheit zu ermitteln. Die eigentliche Verschlüsselungsmethode der zu versendenden Daten ist davon nicht betroffen. Folgende Methoden stehen zur Auswahl: Methode zur Erstellung eines Zertifikats Selbst ausgestelltes Zertifikat (Self-Signed Certificate) Zertifikat wird von einer Zertifikatsstelle ausgestellt Certificate Authority (CA) Gemeinsam abgezeichnetes Zertifikat (Mutually-signed certificate) Beschreibung Partner generiert sein eigenes Zertifikat. Dabei ist eine Überprüfung durch telefonische Rückfrage o. ä. unerlässlich. Partner holt sich ein Zertifikat von einer oder mehreren dafür autorisierten Zertifikatsstellen. Eine Überprüfung der Authentisierung wird empfohlen. Zertifikatsanfrage wird vom Datentransferpartner gegen gezeichnet und Zertifikat zurück geschickt. Die Sicherheit erhöht sich auch hier, wenn eine Rückversicherung der Authentisierung erfolgt. Die Zertifikate enthalten im Regelfall den öffentlichen Schlüssel und die Signatur des Partners. Sowohl für die Generierung des Zertifikates, als auch für das Einpflegen eines empfangenen Zertifikates - nach Überprüfung auf Authentisierung - sollten die dafür notwendigen Funktionen von den Systemherstellern in den Datenaustauschsystemen bereitgestellt werden. Hilfreich sind auch Schnittstellen zu externen Sicherheitssystemen, wie z. B. für den Anschluss an ein konzerneigenes Sicherheitssystem für die Zertifikatsverwaltung (Key-Server). VDA DFÜ AG Dietmar Kaschmieder Seite 6 of 16

7 4.1 Self-Signed Certificate Das Self-Signed Certificate ist ein verhältnismäßig einfaches Verfahren der Zertifikatsgenerierung. Dieses kann selbst durchgeführt werden und im Regelfall entstehen dafür keine Kosten. Der Nachteil besteht darin, dass die Authentifizierung eines solchen Zertifikates für den Partner nicht transparent und sehr aufwendig ist. Dies wäre bei einem Zertifikat von einem autorisierten Service Provider (CA) nicht der Fall. Bevor solch ein Zertifikat im OFTP2-System eingepflegt wird, ist immer eine Überprüfung der Authentisierung des Partners, z. B. durch einen Telefonanruf vorzunehmen. Die Nutzung eines Self-Signed Certificates wird auf Grund des höheren manuellen Überprüfungsaufwandes von Odette nicht empfohlen. 4.2 Certificate Authority CA In diesem Falle wird ein Zertifikat von einer autorisierten Stelle (zertifizierter Service Provider) nach Anforderung ausgestellt und dem Antragsteller zur Verfügung gestellt. Dies wird einmalig vor Einrichtung eines OFTP2-Systems vorgenommen und ist mit geringen Kosten verbunden. Darüber hinaus ist zu entscheiden, welche autorisierte Stelle (CA) für diesen Dienst genutzt werden soll. Es stehen eine Reihe Service Provider wie VeriSign, ValiCert, etc. zur Verfügung. Odette International bietet diesen Service ebenfalls an. Einige OEM s verstehen sich selbst auch als Certificate Authority und stellen die generierten Root- Zertifikate den Partnern zur Verfügung. 4.3 Mutually-Signed Certificates Bei gemeinsam unterzeichneten Zertifikaten ist der Ablauf zunächst so, dass ein Zertifikat-Request an den Partner gestellt wird. Nach der Authentisierung wird der Request vom anderen Partner gegengezeichnet und auf sicherem Wege als Zertifikat zurückgesendet. Erst dann kann das Zertifikat vom ursprünglichen Sender des Requests eingepflegt werden und mit seinem privaten Schlüssel eingehende Daten entschlüsselt werden. 5 Einrichtung einer sicheren OFTP2-Verbindung OFTP2 ist für die Einrichtung und Nutzung von sicheren Partnerverbindungen und somit für einen sicheren Datenaustausch über diese Verbindungen entwickelt worden. Bei einer verschlüsselten Datenübertragung muss jeweils der Auftragnehmer der Geschäftsbeziehung aktiv werden und ein Zertifikat vom Partner anfordern, wenn dies nicht schon bei der Einrichtung der Verbindung ausgetauscht und in seinem System bereits eingepflegt wurde. Er übernimmt also in der folgenden Prozessablaufbeschreibungen die Rolle des Partner A. Die Zertifikatseinrichtung sollte von der OFTP2-Software funktional als ein weitgehend automatisierter Prozess unterstützt werden. VDA DFÜ AG Dietmar Kaschmieder Seite 7 of 16

8 Da im Regelfall in einer Datenaustauschbeziehung Daten in beiden Richtungen transferiert werden, ist es zu empfehlen, dass beide Partner ein Zertifikat erstellen lassen, bzw. ein bereits erstelltes Zertifikat jeweils dem anderen Partner zukommen lassen bevor der Versand der CAD-Daten durchgeführt wird. Beim Austausch von Daten mit weniger hohen Sicherheitsanforderungen genügt bereits eine Verschlüsselung der aufgebauten OFTP2-Verbindung wie unter 5.1 beschrieben. 5.1 Basisverbindung mit TLS-Verschlüsselung Die einfachste Einrichtung einer sicheren OFTP2-Verbindung über TCP/IP ist die Verschlüsselung des Datenstroms (TLS), d. h. es wird nur die Punkt-zu-Punkt Verbindung jedoch nicht die Daten selbst vor der Übertragung verschlüsselt. Darüber hinaus wird auch keine Authentisierung der Datenpakete durch Signaturüberprüfung durchgeführt. Die Datenfiles selbst werden also weder verschlüsselt noch signiert. Die Kompression der Daten kann als Option des OFTP2-Systems genutzt werden. Dies ist besonders bei der Übertragung von großen Datenmengen zu empfehlen. Beim Sitzungsaufbau wird ein Zertifikat automatisiert ausgetauscht. Bei Self-Signed Certificate muss jedoch einmal vorab ein Zertifikat mit dem Partner ausgetauscht werden. Im Falle der Nutzung eines Root Certificates von einem CA ist dies nicht notwendig. Der Ablauf ist dann im Sinne von Chain of Trust automatisiert. Es sollte im Einzelfall von den Partnern entschieden werden ob die Datenstromverschlüsselung bezüglich Vertraulichkeit und Authentisierung für die zu transferierenden Daten ausreichend ist. 5.2 Austausch von verschlüsselten und signierten Dateien Als vorbereitende Maßnahme müssen für diesen Fall zuerst Zertifikate generiert bzw. von einer Certification Authority (CA) ein Root-Zertifikat beschafft werden und mit dem Partner ausgetauscht werden. 5.3 Zertifikat beschaffen und einrichten Im Regelfall wird außerhalb des OFTP2-Systems, von einem der in der Odette TSL gelisteten CA s, ein Zertifikat beantragt. Dabei können verschiedene Zertifikatsstufen, in Abhängigkeit der eigenen Sicherheitsanforderungen, angefordert werden. Wird Odette International als Zertifikatsausteller (CA) gewählt, kann der Antrag online ausgefüllt werden. Odette leitet den Antrag zur Überprüfung des Antragsstellers an die nationale Automobilorganisation weiter, z. B. für deutsche Firmen an den VDA, der wiederum nach festgelegten Kriterien den Antragssteller auf Vertrauenswürdigkeit überprüft. Dieser Vorgang wird im Regelfall in wenigen Tagen online abgewickelt und erhöht die Sicherheit für alle beteiligten Partner, die Odette International als CA gewählt haben Root Certificate von Certificate Authority (CA) beantragen Bei der Beantragung eines Zertifikates sollte überlegt werden, ob nur ein Zertifikat für Leitungsverschlüsselung (TLS) oder auch eines für Dateienverschlüsselung und Signierung beantragt werden sollte. Vorausschauend wäre in diesem Fall die Beantragung der vollen Funktionalität. VDA DFÜ AG Dietmar Kaschmieder Seite 8 of 16

9 5.3.2 Root-Zertifikat im eigenen OFTP2-System speichern Nach Erhalt des beantragten Zertifikates sollte dieses in das eigene OFTP2-System eingepflegt werden. Es sollte eine Selbstverständlichkeit sein dieses im System vor fremden Zugriff zu schützen und nur wenigen, dafür autorisierten Personen, zugänglich gemacht zu werden. Eine sichere Möglichkeit wäre das Zertifikat bzw. der Private Key in einem dafür speziell eingerichteten Key Server einzuspeichern, sowie einen sicheren Zugriff darauf im OFTP2-System einzurichten. 5.4 Zertifikate austauschen Austausch über OFTP2 Der Zertifikatseigner übermittelt dem Partner den öffentlichen Teil des Zertifikates (Public Key). Der Empfänger des Zertifikates wird dieses in seinem Datenaustauschsystem, unter zur Hilfename seiner OFTP2-Software, die auf die TSL-Liste zugreift und auf Gültigkeit überprüft, in seine Partnerdatenbank einpflegen. Damit ist er in der Lage verschlüsselte Daten an den Zertifikatssender zu übermitteln. Bei der Ersteinrichtung einer verschlüsselten Datenübertragung ist ein automatisierter Weg über OFTP2 mit Verifizierung über , Fax oder Telefon zu nutzen. Bei Widerruf (Revoke) des Schlüssels oder bei turnusmäßiger Erneuerung sind immer automatisierte Wege zu bevorzugen. Der Austausch des Zertifikates (Public Key) ist nur einmal vor Beginn des ersten Datentransfers mit jedem Partner mit speziellen Befehlen über die OFTP2-Verbindung durchzuführen und sollte zur Sicherheit parallel über andere Medien (Telefon, Fax oder ) begleitet und verifiziert werden. Die Software muss in der Lage sein spezielle Zertifikatskommandos zu erkennen und - verbunden mit der entsprechenden Bedienoberfläche - den gesamten Vorgang von Zertifikatsmanagement, Austausch und Installation zu unterstützen. Mit einer automatischen Generierung von separaten Nachrichten wie zum Beispiel einem Fax, zur Verifizierung der Authentisierung des Zertifikates ist der Austausch somit sehr komfortabel durchführbar Austausch über und andere Medien Das Versenden des Zertifikates über ist nur bei gleichzeitiger manueller Verifizierung der Authentisierung des Zertifikates durch den Empfänger ein zulässiger Prozess. Zur sicheren Zuordnung und Authentifizierung des Zertifikatssenders muss dem Administrator des Zertifikatempfängers parallel zur immer ein Fax mit dem Zertifikatshinweis zugeschickt bzw. ein Anruf zur Verifizierung getätigt werden Vom Zertifikatsempfänger sollte eine Rückmeldung an den Zertifikatssender per , Telefon oder Fax mit der Nachricht, dass er bereit ist verschlüsselte Daten zu versenden und dies ab sofort in seinem Datenaustauschprozess mit dem Partner wirksam wird erfolgen. Zertifikate können auch über Offline-Medien wie CDs ausgetauscht werden. Hierbei wird jedoch empfohlen diese Medien persönlich oder über einen vertrauenswürdigen Kurierdienst zu übermitteln. Der restliche Ablauf der Rückmeldung sollte wie bereits beschrieben erfolgen. VDA DFÜ AG Dietmar Kaschmieder Seite 9 of 16

10 Von Odette wird empfohlen, diesen Weg nur dann zu wählen wenn die OFTP2-Software keinen automatisierten Austausch unterstützt. 5.5 Verifizierung und Freigabe Verifizierung und Freigabe der Zertifikatseinpflege liegt in der Verantwortung des Zertifikatsempfängers. Er sollte sich im Zweifelsfall für eine sichere Authentisierung des Partners über Telefon oder Fax Gewissheit verschaffen bevor eine Freigabe für den produktiven Einsatz erfolgt. 5.6 Prozessablauf Einrichtung einer OFTP2-Verbindung Von Odette wird, wenn nicht eigene Sicherheitssysteme in großen Unternehmen vorgeschrieben sind, die Nutzung der Dienstleistung eines CAs für die Zertifikatserstellung empfohlen. Wie bereits oben erwähnt, muss der ausgewählte CA in der Odette TSL- Liste als vertrauenswürdig geführt sein oder es sollte direkt die CA-Dienstleistung von Odette in Anspruch genommen werden. Entscheidungen für die Ausstellung eines Zertifikatsantrages: Zertifikat bei welchem CA beantragen (nur CA s die in der Odette TSL-Liste aufgeführt sind oder bei Odette selbst) Welches Zertifikat o TLS (Leitungsverschlüsselung) o mit Dateienverschlüsselung o mit Signatur (Überprüfung der Datenauthentizität) Dieser Vorgang wird nur einmal bei der Installation des OFTP2-Systems durchgeführt. Auf die Gültigkeit des ausgestellten Zertifikates, im Regelfall zwei Jahre und auf die Verwaltung hat der Zertifikatseigner selbst zu achten Zertifikat anfordern (einmaliger Vorgang) CA CA Online-Formular ausfüllen Zertifikat beantragen Formular Partner A A Zertifikat Zertifikat B Formular Online-Formular ausfüllen Partner B Zertifikat beantragen Bemerkung: Die Partner A und B können selbstverständlich auch beim gleichen CA ein Zertifikat beantragen. VDA DFÜ AG Dietmar Kaschmieder Seite 10 of 16

11 5.6.2 Zertifikate in das eigene OFTP2-System einpflegen (einmaliger Vorgang) Partner A Zertifikat Zertifikat Partner B OFTP2 System OFTP2 System Das Einpflegen des erhaltenen Zertifikates in das eigene OFTP2-System erfolgt im Regelfall manuell mit Systemunterstützung Austausch des ausgefüllten OFTP2-Datenblattes (mit jedem neuen Partner) Partner A OFTP2 Datenblatt Partner A oder Fax Partner B Fax oder OFTP2 Datenblatt Partner B Das OFTP-Formular (Datenblatt) dient als Vorlage für den Austausch der OFTP- Parameter mit dem Partner. Es sind jeweils die für einen OFTP-Verbindungsaufbau notwendigen Informationen einzutragen. Für OFTP2-Verbindungen müssen zusätzlich Informationen über die eigene und die vom Partner erwartete Verschlüsselungsart, wie z. B. nur Leitungsverschlüsselung, Dateienverschlüsselung oder auch Signatur der Dateien eingetragen werden Initialer automatisierter Austausch der Zertifikate (mit jedem neuen Partner) Dies ist eine Standard OFTP2-Funktion die auf Knopfdruck durchgeführt wird. Der Sender erhält eine Quittung über den erfolgreichen Austausch und damit auch die Rückmeldung, dass das System für den verschlüsselten Datentransfer bereit ist. Partner A Partner B Public Key OFTP2 System Public Key OFTP2 System Eine Zertifikatsanfrage von einem OFTP2-System zum anderen ist ebenfalls möglich. Die Anfrage wird automatisiert an den Partner gesendet und es wird dann automatisch ein Zertifikat des Partners zurück gesendet wenn der Partner sein Zertifikat in seinem System eingepflegt hat. VDA DFÜ AG Dietmar Kaschmieder Seite 11 of 16

12 Es ist auch ein Austausch von mehreren Zertifikaten mit einem Partner mit verschiedenen Attributen möglich. Dies ist dann sinnvoll, wenn Daten mit unterschiedlicher Geheimhaltungsstufe transferiert werden Verschlüsselter Datenaustausch kann gestartet werden Verschlüsselter Datenaustausch eingerichtet OFTP2-Datentransfer kann gestartet werden 6 Implementierung Vor der Implementierung einer OFTP2-Software sind von dem Betriebsverantwortlichen, zusammen mit dem Sicherheitsverantwortlichen, folgende Fragen zu klären: Welcher Sicherheitslevel ist mit welchem Partner zu vereinbaren bzw. ist durch den Partner vorgegeben? Genügt die Verschlüsselung der Verbindung oder müssen die Daten selbst ebenfalls verschlüsselt und eventuell auch signiert werden? Welches Kommunikationsmedium (Internet, ISDN, ENX) unterstützt der Partner? Wird ein bestehender Key-Server bei der Verschlüsselung genutzt, oder wird das in der OFTP2-Software integrierte Key-Management System eingesetzt? Bei kleineren Installationen sollten Aufwand und Kosten für einen vollautomatischen Zertifikatsaustausch mit unterstütztem Verifizierungsablauf, einem halbautomatischen Ablauf mit z.b. manueller Verifizierung, gegenübergestellt werden Es sollten die Hardware-Resourcen für das OFTP2-System überprüft werden, da die Verschlüsselung der zu transferierenden Daten und die Entschlüsselung der empfangenen Daten nicht unerhebliche Computer-Resourcen in Anspruch nehmen. Ein Pilot mit einigen Partnern schafft auch hier mehr Sicherheit und Erfahrung für einen reibungslosen, störungsfreien Betrieb in der vom Anwender geforderten ausreichenden Performance. Eine in Schritten durchgeführte Einführung der Verschlüsselung ist auch deshalb leicht möglich, da OFTP2 abwärts kompatibel ist, d. h. OFTP V1.4 oder ältere Versionen werden nach wie vor mit OFTP2 unterstützt. Für den Austausch der OFTP-Parameter zur Einrichtung der OFTP2-Verbindung sollte entweder das in der Anlage der OFTP2 Implementation Guide Lines zur Verfügung gestellte Formblatt oder das etwas vereinfachte VDA-Formular genutzt werden. Diese Formulare unterstützen und beschleunigen die schnelle Einrichtung einer Datenaustauschverbindung durch vorgegebene Parameterfelder und zu markierende Optionen. VDA DFÜ AG Dietmar Kaschmieder Seite 12 of 16

13 7 Funktionsumfang der OFTP2 Software In der OFTP2-Software ist neben der eigentlichen Datenübertragung folgender Funktionsumfang vorgesehen: Unterstütztes Einpflegen des eigenen Zertifikates Automatisierter Austausch von Zertifikaten Aufbau sicherer Verbindungen über Internet, ISDN und ENX Validierung nach jedem OFTP2 Verbindungsaufbau in TSL und CA-Liste, ob das Partner-Zertifikat Gültigkeit hat Neben der Einrichtung von sicherheitsrelevanten Funktionen beim Verbindungsaufbau sind für den effizienten Datentransfer noch weitere Funktionen integriert die als Optionen genutzt werden können: Datenkompression / Dekompression Verschlüsseln / Entschlüsseln der Datenfiles Signieren von Datenfiles (Authentisierung) / Überprüfung der Authentisierung Überprüfung von CRL s (Certificate Revocation List) auf Gültigkeit der Zertifikate Transfer von großvolumigen Datenpaketen Darüber hinaus ist OFTP2 abwärts kompatibel und unterstützt auch Datentransferverbindungen mit Partnern unter OFTP V1.x mit dem zugehörigen Funktionsumfang und Sicherheitslevel. 8 Ausblick Durch die Nutzung des Internets für den Datentransfer hat OFTP2 bereits eine hohe Bedeutung in Europa und auch darüber hinaus erreicht. Die eingebauten Sicherheitsmechanismen machen den OFTP-Datentransfer nicht nur über das Internet, sondern auch über die bisherigen Kommunikationsmedien wie ISDN und ENX sicherer. Eine einfache Handhabung der Sicherheitsfunktionen und deren Einrichtung nach einer von allen Partnern akzeptierten Vorgehensweise weitgehend automatisiert ist entscheidend für einen erfolgreichen breiten weltweiten Einsatz. Dabei müssen die Sicherheitsmassnahmen und die in der Software implementierte Technik sich transparent für die Betriebsverantwortlichen darstellen, um damit dem hohen Anspruch an einen sicheren, performanten Datenaustausch jederzeit Rechnung zu tragen. 9 Referenzen RFC 2204 (Request for Comments) of the Network Working Group by Odette OFTP2 Working Group Odette OFTP2 Implementation Guide Lines Request for Registration on Odette s Trust-Service Status List (TSL) SCX Proposal for Odette recommended CA s VDA DFÜ AG Dietmar Kaschmieder Seite 13 of 16

14 10 Autor Dietmar Kaschmieder, KCS Consulting & Services Im Auftrag der Arbeitsgruppe DFÜ des VDA und in Zusammenarbeit mit den deutschen Mitgliedern der Odette Arbeitsgruppe OFTP2-Support. 11 Glossar Asymmetrisch verschlüsselt: Beim asymmetrischen verschlüsseln hat jeder der kommunizierenden Parteien ein Schlüsselpaar das aus einem geheimen Teil (privater Schlüssel) und einem nicht geheimen Teil (öffentlicher Schlüssel) besteht. Der private Schlüssel ermöglicht es seinem Inhaber z.b., Daten zu entschlüsseln, digitale Signaturen zu erzeugen oder sich zu authentifizieren. Der öffentliche Schlüssel ermöglicht es jedermann Daten für den Schlüsselinhaber zu verschlüsseln, dessen digitale Signaturen zu prüfen oder ihn zu authentifizieren. Authentisierung: Ist der Vorgang eine Identität zu einem bestimmten Sicherheitsniveau zu beweisen. Das heißt die Authentität eines Partners fest zustellen Border Gateway: Steuert und kontrolliert die Verfügbarkeit von Verbindungswegen zwischen den Netzen autonomer Systeme Certification Authority (CA): Ist eine autorisierte Organisation die digitale Zertifikate für die Nutzung bei beiden anderen Parteien ausstellt. CAD-Daten: Digitale Konstruktionsdaten Certificate: Zertifikat für die Verschlüsselung von Daten Chain of Trust: (Herkunft): Vertrauenswürdigkeit wird hergestellt durch Überprüfung aller beteiligten Komponenten und Abläufe CMS-Format: (Cryptographic Message Syntax): Beschreibt die Verschlüsselungssyntax für den Datenschutz durch Nutzung von digitaler Signatur und Verschlüsselung CRL: (Certifikat Revocation List): Eine Liste von Zertifikaten (genauer ihrer Seriennummer) welche ungültig wurden und somit nicht mehr verlässlich für die Nutzung in Computersystemen sind. Datenkompression / Dekompression: Datenkomprimierung (Verdichtung) / Datendekomprimierung für effiziente Datenspeicherung oder Übertragung Digitale Signatur: Ein kryptografisches Verfahren, bei dem zu einer "Nachricht" (d.h. zu beliebigen Daten) eine Zahl (die "digitale Signatur") berechnet wird deren Urheberschaft und Zugehörigkeit zur Nachricht durch jeden geprüft werden können. Engineering-Daten: Daten technischen Inhaltes wie z.b. CAD-Daten ENX: Steht für European Network Exchange und ist das Kommunikationsnetzwerk der europäischen Automobilindustrie. ENX-Router: Ist ein dem ENX-Netzwerk zugeordneter Router für die Kontrolle von Netzwerkabschnitten Hash der Daten: Ist eine reproduzierbare Methode um Daten in eine relative kleine Zahl zu wandeln, den so genannter Fingerprint oder auch Hash Value. Internet: von engl. Interconnected: miteinander verbunden und Networks: Netzwerke ). Ist eine elektronische Verbindung von Rechnernetzwerken mit dem Ziel Verbindungen zwischen einzelnen Computern herzustellen und so Daten auszutauschen. ISDN: Integrated Services Digital Network (ISDN). Ist ein internationaler Standard für ein digitales Telekommunikationsnetz.. IP-Adresse: Internet-Protocol-Adresse, ist eine Nummer, die die Adressierung von Rechnern und anderen Geräten in einem IP-Netzwerk erlaubt. Key-Server: Ein zentraler Rechner als Sicherheitssystem für die Zertifikatsverwaltung VDA DFÜ AG Dietmar Kaschmieder Seite 14 of 16

15 Odette: Organization for Data exchange by Tele Transmission in Europe ist eine Non-Profit-Organisation der Autound Autozuliefererindustrie mit Sitz in Großbritannien. Sie setzt sich für Standards im Bereich der Logistik, EDI und Konstruktionsdatenaustausch ein. OEM: Original Equipment Manufacturer. Ein Originalgerätehersteller hier ein Automobilhersteller Offline-Medien: Datenspeichermedien wie CD s, DVD s, Tapes die transportiert und in EDV-Geräten beschrieben bzw. gelesen werden können OFTP-Parameter: Paramter die für die Einrichtung einer OFTP-Verbindung mit Partnern ausgetauscht bzw. in das OFTP-System eingegeben werden. OFTP2 Implementation Guidelines: Von der Odette Arbeitsgruppe OFTP2 erarbeitete Richtlinie für die Implementierung der OFTP2 Software. OFTP V1.4, V1.x: Ältere Softwareversionen die für den Austausch von technischen und Geschäftsdaten eingesetzt wird. PKI: engl. Public Key Infrastructure. Bezeichnet in der Kryptologie und Kryptografie ein System welches es ermöglicht digitale Zertifikate auszustellen, zu verteilen und zu prüfen. Die innerhalb einer PKI ausgestellten Zertifikate werden zur Absicherung computergestützter Kommunikation verwendet. Public-Key: Öffentlicher Schlüssel des Datenempfängers für das Verschlüsseln von Daten vor dem Senden der Daten an den Empfänger. Revoke: Widerruf eines Public Keys wenn die Authentität oder Missbrauchs des Keys befürchtet wird. Kann auch periodisch nach einem bestimmten Zeitrahmen erfolgen. Root Certificate: Ist ein nichtsigniertes Public Key Zertifikat oder ein Self-Signed Certificate und ist Teil von der Public Key Infrastruktur. SCX: Security Certificate Exchange Ist ein von der Odette Arbeitsgruppe SCX erlassene Vorschrift für die Handhabung von Zertifikaten für den sicheren Datenaustausch mit OFTP2. Secure Session https: Steht für HyperText Transfer Protocol Secure und ist ein URI-Schema das eine zusätzliche Schicht zwischen HTTP und TCP definiert. HTTPS wurde von Netscape entwickelt und zusammen mit SSL 1.0 im August 1994 mit deren Browser veröffentlicht. Dient zur Verschlüsselung und zur Authentifizierung der Kommunikation zwischen Webserver und Browser im World Wide Web. Self -Signed certificate: Ist ein Identity Certificate das von dem Erzeuger des Zertifikates selbst signiert ist. Die Person die das Zertifikat erzeugt hat bestätigt auch die Legitimität des Zertifikats. Service Provider: Dienstleister, der in diesem Zusammenhang IT-Dienste anbietet. Signatur: Unterschrift, hier die digitale Signatur eines Datentransfers SSL/TLS: Secure Sockets Layer (SSL) oder Transport Layer Security (TLS) ist ein Verschlüsselungsprotokoll für Datenübertragungen im Internet. TCP/IP: Steht für Transmission Control Protocol (TCP) und das Internet Protocol (IP) und ist die Basis für die Netzkommunikation im Internet. TLS Layer: Transport Layer Security (TLS) ist Vorgänger des Secure Sockets Layer (SSL) und ist ein kryptographisches Protokoll welches sichere Kommunikation im Internet gewährleistet wie für das Web-Browsing, s, Internetfaxen oder andere Daten. TLS-Verschlüsselung: Verschlüsselungsprotokoll für Datenübertragungen im Internet. TSL: Trust Service Status List, eine Liste von Odette International zertifizierten CA s. Nur diese CA s sind für die Ausstellung von Zertifikaten für den OFTP2-Einsatz zugelassen X509 V3: Ist ein Standard für Public Key Infrastructure (PKI) Zertifikat: Hier ein digitales Zertifikat für die Einrichtung einer Verschlüsselung Zertifikat-Request: Zertifikatsanforderung VDA DFÜ AG Dietmar Kaschmieder Seite 15 of 16

16 Anhang: OFTP2 Quick Start Hilfe Check-Liste als Hilfe für den OFTP2-Systemadministrator für die Einrichtung einer OFTP2- Verbindung Aktion Erledigt Bemerkung 1 OFTP2-System beschaffen Nur von Odette zertifizierte Software auswählen. Liste auf Odette Homepage einsehbar, 2 Odette ID beantragen wenn noch keine OFTP-Verbindung besteht 3 Zertifikat beschaffen Wählen des Sicherheits-Levels für verschlüsselte Datenübertragung (vom Partner sollte gleicher Level gewählt werden) OFTP2 Datenblatt ausfüllen und an Partner senden per Fax oder (Umfang Partner A oder B abhängig von Sender oder Empfänger des Formulars) OFTP2 Datenblatt ausgefüllt vom Partner zurück erhalten 7 OFTP2 Basisverbindung einrichten SSID, SFID, etc Eigenes Zertifikate nach Erhalt in OFTP2-System einpflegen Eigenes Zertifikat (öffentlicher Teil) an Partner senden Zertifikate (öffentlicher Teil) von Partner erhalten Partnerzertifikat nach Prüfung über Odette TSL-Liste in eigenes System einpflegen Fertigstellung der Verbindungseinrichtung an Partner melden und Test vereinbaren 13 Testdatenaustausch durchführen 14 Nach erfolgreichem Test: Bereit für produktiven Datenaustausch Bei Odette direkt oder bei anderen, in der Odette Trust Service Liste (TSL) aufgeführten Certification Authorities (CA) Auswahl entsprechend der geforderten Sicherheitsqualität bei der Datenübertragung Siehe OFTP / OFTP2 Daten- und Parameterblatt des VDA Daten des Partners vor Einrichtung der Verbindung überprüfen Automatisiertes Einpflegen sollte vom OFTP2- System unterstützt werden Automatisiertes Versenden durch OFTP2-System Automatisierter Empfang durch OFTP2-System Automatisiertes Einpflegen nach Überprüfung in Odette TSL-Liste durch OFTP2-System Per Telefon oder Fax Verschlüsselter Datenaustausch in beide Richtungen Rückmeldung an Partner wird empfohlen VDA DFÜ AG Dietmar Kaschmieder Seite 16 of 16