FirewallkonzeptimCampuskartenprojekt

Transkript

1 FirewallkonzeptimCampuskartenprojekt Thomas Hildmann, Thomas J. Wilke VortragzumTreffender Arbeitsgruppe Datensicherheit der TU Berlin Berlin, den ForschungszentrumInformatik,Karlsruhe

2 Gliederung SicherheitstechnischeGrundsätze Sicherheitsregeln Firewall-Architektur Zusatzanforderungen von Abteilung Ib GrafischeFirewall und Alternativen Campuskartensystemund Filterfirewall Resümee 2

3 Sicherheitstechnische Grundsätze Verständnis AbstrakteDefinition Sicherheit ist ein relatives Maß, das angibt, wiewahrscheinlich ein Ereignis(odereineGruppe von Ereignissen)in einem definierten Umfeld eintritt. Elementbezogene Definition Sicherheit ist ein Maß für dieschutzbedürftigkeitvon Objekten odersubjekten in einemdefinierten Umfeld. Die Schutzbedürftigkeit korreliert mit der(z.b. wirtschaftlichen)bedeutung, die dem Objekt odersubjekt im jeweiligen Umfeld zugeschrieben wird. 3

4 Angriffe Sicherheitstechnische Grundsätze Gefährdungsursachen innere Angriffe äußere Angriffe Kombinationaus äußeren und inneren Angriffen Fehlfunktionen Falsche Bedienung Fehlerhafte Herstellung Unzureichendes Wirkprinzip oder Konstruktion Kombination aus Fehlfunktion und Angriff 4

5 Sicherheitstechnische Grundsätze Anwendungssysteme Software Softwaresysteme sind inder Regel nicht vollständigkorrekt. D.h., diese sind auf Arbeitsprozessebene und/oder softwaretechnischer Ebene angreifbar: Trojaner, Buffer Overflow, Anwendungsmakros. Client-Serversysteme Client-Serversysteme sind aufgrund der ihnenzugrundeliegenden Wirkprinzipienangreifbar: Brute Force, Denial ofservice, Kompromittierung der Kommunikation. Anwendungsinteroperabilität Gegenwärtige Datenverarbeitungssysteme schließeneine gegenseitige Beeinflussung vonverschiedenen Anwendungenprinzipiellnicht aus. 5

6 Sicherheitstechnische Grundsätze Kommunikation / Interaktion Folgende Eigenschaften werden imcampuskartenprojektfür die Kommunikation / Interaktion zugrunde gelegt. Autentität Impliziert Sicherstellungdes korrektengebrauchseiner Identität Vertraulichkeit direkte und indirekte Korrektheit Korrekte KorrelationzwischenWillenserklärungund Kontext Verbindlichkeit Voraussetzungen: Autoentität und Korrektheit 6

7 Sicherheitsregeln Leitlinien Einbeziehung und Umsetzung von sicherheitstechnisch relevanten Leitlinien: BSI-Grundschutzhandbuch Sicherheitsrahmenkonzept dertu-berlin SicherheitstechnischeTaxonomie dersystembereiche gemäß den Leitlinien 7

8 Sicherheitsregeln Passwortautorisation Passwortautorisation ist bei erhöhtem Schutzbedarf unzureichend. organisatorischeraufwandbei zentralerverteilung: Einmal-Passwörter, Passwortverteilung, zusätzlichersupport Benutzerergonomie<->Sicherheit schwachepasswörter, Wartezeiten <-> unsichere Aufbewahrung kryptischerpasswörter UnzureichendeSchutzverfahren fürdiepwa Brute Force, Denial ofservice, Verfügbarkeit qualitativ hochwertigerwerkzeuge zur Kompromittierungdes Verfahrens 8

9 Sicherheitsregeln Reduzierung der Gefahrenkomplexität Entkopplungvon Identifikation und Autorisierung: Vermeidung vondatenspuren und Wahrungder Vertraulichkeit Beschränkungderdirekten Kommunikationsfähigkeit: Eskönnenlediglichdiejenigen Elemente direkt in Interaktiontreten, die dieszur Erbringungihrer Funktionbenötigen. BeschränkungderInformationsverfügbarkeit JedesSubjekt descampuskartensystemshat lediglichaufdie Daten Zugriff, die eszur Erbringungseiner Aufgabenbenötigt. Mehrparteienprinzip Die KomponentendesCampuskartensystemssind dezentral organisiert. Jede Komponente hat lediglichdie Informationen, diesie benötigt. 9

10 Firewall-Architektur Am Beispiel der Abteilung Ib 10

11 Firewall-Architektur Filterstaffelung beiapplikations-firewalls alle IP-Pakte dienstbezogene IP-Pakete authentisierte Daten gefilterte, authentisierte Daten äußere Firewall Gateway innere Firewall 11

12 Firewall-Architektur Zonenundsicherheitstechnische Taxonomie Allgemein unterscheidet man die externe Zone, die DMZ und die interne Zone. Spezialfall an der TU: externe Zone, DMZ, LAN und Applikationszone. 12

13 ZusatzanforderungenvonAbt.Ib Nutzungvon und WWWvon den Arbeitsplätzen aus aufdenen mit personenbezogenen Daten umgegangen werden soll. Direkter,ungefilterterZugriffaufdas DBMS mit den personenbezogenendaten. Anpassung dersoftware,z.b.mittelsdem Privacy Enhanced Access Controlsystems nicht möglich. Einsatzvon WindowsNTaufden Workstations. 13

14 Grafische Firewall undalternativen Alternative Lösungsansätze 1. TrennungderVerarbeitungsumgebungvon sicherheitstechnischdivergierenden Anwendungen.(zweigetrennteNetzwerkegemäßBSIGrundschutzhandbuch) 2. GrafischeFirewall 3. SicherungderClientsdurch Anschluss andas ZUV- Netz 14

15 Grafische Firewall undalternativen Getrennte Verarbeitungsumgebung Vorteil: DieSicherheit der personenbezogenen Daten wird auf keinen Fallgefährdet. Nachteile: DoppelterPlatz undwartungsaufwand Vergleichsweise hohekosten Keine idealen Arbeitsbedingungen 15

16 Ω DRIVEN ULTRASPARC EN TER PRISE 3000 Ω SD Grafische Firewall undalternativen Funktionsprinzip einer grafischen Firewall Arbeitsplatzsysteme: Anwendungen im inneren Netz (hellblau) Clients für die Darstellung der Grafikdaten beliebige Anwendungsdaten Grafikdaten Anwendungen die mit dem Internet kommunizieren inners Netz mit hoher Schutzbedürftigkeit Sun Daten aus dem Internet DMZ Anwendungs -server grafische Firewall (Save Cunduct-Server) Arbeitsplatzsysteme: Anwendungen im inneren Netz (hellblau) Clients für die Darstellung der Grafikdaten Pfeilspitzen zeigen auf denjenigen, Kommunikationspartner, der einen Verbindungswunsch entegen nimmt. 16

17 Grafische Firewall undalternativen Funktionsprinzip einer grafischen Firewall Regelwerk erlaubt Anwendungen des SCS auf Internet-Dienste zuzugreifen. Alle Internetanwendungen laufen physikalisch auf dem SCS. Mittels Remote Display System kann die Darstellung der Programme auf die Arbeitsplatzrechner übertragen werden. Diese sehen also nur das Bild der Internet-Anwendungen. Regelwerk erlaubt nur Zugriff auf Remote Display System Server von den Arbeitsplatzrechnern Internet-Anwendungen werden alle ausdem Remote Display System Client heraus gestartet. Arbeitsplatzrechner 1 Firewall Safe Conduct Server Firewall RemoteDisplay SystemClient Web-Client Web-Client RemoteDisplay SystemServer RemoteDisplay SystemServer Arbeitsplatzrechner 2 RemoteDisplay SystemClient -Cleint Web-Client RemoteDisplay SystemServer Arbeitsplatzrechner 3 RemoteDisplay SystemClient 17

18 Grafische Firewall undalternativen Firewallkonfiguration 18

19 Grafische Firewall undalternativen Gegenüberstellung: GFW versus FFW Esfindet keindirekter Datenaustauschzuwischenoffenemund internemnetz statt. DatenausdemoffenenNetz werdenaufder GFW verarbeitet. LediglichBilddatenerreichen interne Netzknoten. Keine derartig mögliche Gefährdung Interne Netzknotensind immer Verbindungsinitiator. Esfindet eindirekter Datenaustauschzwischenoffenemund internemnetz statt. DatenausdemoffenenNetz werdenaufinternennetzknoten verarbeitet. DatenausoffenemNetz werdennur gefiltert &erreicheninterne Netzknoten (Filterregeln). Filterregelnsind konfigurierbar. Externe Netzknotenkönnen Verbindungsinitiatorensein. 19

20 Grafische Firewall undalternativen Gegenüberstellung: GFW versus FFW InternesNetzist vor unbekannten Angriffen geschützt. Kompromittierungsbereichaufeine Sitzungbzw. aufgfw begrenzt. Mehrere strukturell unterschiedliche Kompromittierungsverfahren sind nötig, umdasinterne Netz zu erreichen. MehrstufigesSicherungsverfahren GFW muss über hohe Rechenleistung verfügen. Keine Implikationenbei Einführung neuer Applikationen InternesNetzkannnur vor bekannten Angriffengeschützt werden. Kompromittierungsbereichkann sichaufbiszualle internen Netzknotenerstrecken. Mit einemkompromittierungsverfahrenkanndasinnere Netz erreicht werden. EinstufigesSicherungsverfahren Bei Kontenfilterung muss FFW über hohe Rechenleistungverfügen. Gegebenfalls hoher Aufwand bei Einführung neuer Applikationen. 20

21 Campuskartensystem undffw Funktionsverfahrendes Campuskartensystems erfordern eineoffenereffw-konfigurationalsdiejenigen,diedas Sicherheitskonzept derzuvvorsieht. Filterfirewalls können diekompromittierungvon Bereichen mit hoherschutzbedürftigkeit nicht im vergleichbaren Maßeverhindern wiegfwaufgrund der unterschiedlichen Wirkungsprinzipien. 21

22 Resümee DerBereich Ibhat einehoheschutzbedürftigkeit aufgrund derdortverarbeitetenpersonenbezogenen Daten.Es sollen dortsicherheitskritischeanwendungen zumeinsatzkommen. Das Konzept dergrafischen Firewall ist diekonsequente Weiterentwicklungder Urfirewallsysteme.Mit ihm wird eine galvanische Trennungvon Computernetzen realisiert. Funktionsverfahrendes Campuskartensystems funktionieren nicht mit dergegenwärtigen ZUV-FW-konfig. 22

23 Weiter Informationen Ansprechpartner / Vortrag Ansprechpartner: Thomas Hildmann hildmann@prz.tu-berlin.de Thomas J.Wilke tjw@prz.tu-berlin.de Vortrag: 23