Installationsanleitung

Transkript

1 1 Inhalt 1 Inhalt 1 2 Sicherheitshinweise Allgemeine Richtlinien und Empfehlungen Allgemeine Sicherheitskriterien 2 3 Zugriffsmöglichkeiten Browserbasierte Zugriffe auf Dienste im BVN IPSec Verbindung zum zentralen BVN Gateway 3 4 Zertifikate importieren Persönliches Zertifikat importieren Maschinenzertifikat importieren 8 5 Abbildungsverzeichnis 11 6 Bearbeitungshistorie 11

2 2 Sicherheitshinweise 2.1 Allgemeine Richtlinien und Empfehlungen Für die Nutzung von Diensten innerhalb des BVN sind folgende Richtlinien und Empfehlungen anwendbar: 1. Richtlinie für die Nutzung der elektronischen Post ( ) -TuI- -Richtlinie- vom Die Richtlinie für die Bereitstellung und Nutzung von Internet-/Intranet-Zugängen vom Sicherheitskonzept für das BVN vom Es handelt sich um ein grundlegendes, im Einzelfall Sinngemäß anzuwendendes Konzept für den Zugriff auf Dienste des BVN. Es enthält auch grundlegende Aussagen zur Fernwartung. 4. Für reguläre alternierende Telearbeit existiert als Ergebnis des vorangegangenen Pilotprojektes die Empfehlung vom Dies stellt eine Auswahl an wichtigen Dokumenten dar. BREKOM kann jedoch keine Gewähr für Vollständigkeit und Aktualität übernehmen. Die genannten Dokumente bzw. deren aktualisierte Fassungen lassen sich über die Suchfunktion im InfoSYS (zugänglich nur für BVN-Teilnehmer) jederzeit auffinden. 2.2 Allgemeine Sicherheitskriterien Für browserbasierte Zugriffe auf das BVN werden sichere Verbindungen mit Hilfe von SSL (Secure Socket Layer) bzw. TLS (Transport Layer Security) hergestellt. Dies gewährleistet, dass Daten während der Übertragung nicht gelesen oder manipuliert werden können und stellt anhand von Zertifikaten die Identität beider Kommunikationspartner sicher. Eine Verbindung mit dem SSL/TLS-Protokoll wird dadurch initiiert, dass dem bekannten http ein s (=secure, dt. sicher) in der URL der Verbindung angehängt wird. Bei jedem Aufruf einer https-seite, prüft ihr Browser, ob deren Anbieter ein gültiges, durch eine als vertrauenswürdig eingestufte Instanz ausgestelltes Zertifikat besitzt. Ist das nicht der Fall, warnt Sie Ihr Browser (s. Bild Abbildung 1 Sicherheitshinweis 1) mit einer Nachricht: "Diese Web Site kann leider nicht als sicher verifiziert werden. Wollen Sie wirklich weitermachen?" Abbildung 1 Sicherheitshinweis 1 Bei einer solchen bzw. ähnlichen Warnung Ihres Browsers sollten sie sich in jeden Fall überlegen, ob sie auf den Seiten dieses Anbieters weitersurfen wollen, da dessen Zertifikat entweder unbekannt oder ungültig ist. Diese Frage beantworten sie mit NEIN, denn hier besteht die Möglichkeit, dass sie einer Man-in-the- Middle-Attack ausgesetzt sind. Installationsanleitung_VPN.doc Seite 2 von 11

3 Beispiel: Ein Angreifer - hier "BÖSE" hat Zugriff auf die Infrastruktur zwischen Client und Server. So kann BÖSE die Pakete des Clients abfangen und mitlesen, bei Bedarf modifizieren und an den Server weitersenden. Verhält BÖSE sich dabei konsistent, bleiben Client Server in dem Glauben, sie würden unmittelbar miteinander kommunizieren. Weil BÖSE nicht im Besitz eines vertrauenswürdigen Zertifikats für den Domainnamen des Servers ist, schlägt diese Prüfung beim Client fehl und es kommt zur beschriebenen Fehlermeldung. Leider kann es auch ohne einen solchen Angriff zu Problemen bei der Zertifikatsprüfung kommen, etwa wenn dem Client das Zertifikat der ausstellenden Instanz (CA-Zertifikat) nicht als vertrauenswürdig bekannt gemacht worden ist oder es Konfigurationsprobleme auf dem Server gibt. Folgendes ist auf der Client-Seite hierbei zu beachten: Das Zertifikat der ausstellenden CA muss im Speicher Vertrauenswürdige Zertifizierungsstellen abgelegt sein. Für die weltweit wichtigsten kommerziellen Trustcenter bringen alle gängigen Browser bereits diese Voraussetzung mit. Damit dies auch für die durch die BVN-PKI (Public Key Infrastructure des Bremischen Verwaltungsnetzes) ausgestellten Zertifikate gegeben ist, müssen die jeweils aktuellen Zertifikate der ausstellenden Instanzen (Root-CA, Benutzer-SubCA, Maschinen-SubCA) installiert sein. Diese werden zu jedem neu erstellten Zertifikat mitgeliefert, können aber auch jederzeit von folgender Seite nachinstalliert bzw. aktualisiert werden: Hier finden Sie auch die aktuellen Zertifikats-Sperrlisten. 3 Zugriffsmöglichkeiten 3.1 Browserbasierte Zugriffe auf Dienste im BVN Für einige ausgewählte Web-Dienste im BVN ist die Möglichkeit geschaffen worden, diese auf gesichertem Weg über das Internet zu erreichen. Hierfür autorisierte Benutzer benötigen ein gültiges Nutzerzertifikat, für welches der Dienst auf dem HTTPS- Gateway freigeschaltet wird. Die Installation von Nutzerzertifikaten ist in einem eigenen Kapitel (4 Zertifikate importieren) beschrieben. 3.2 IPSec Verbindung zum zentralen BVN Gateway Zum Herstellen einer IPSec Verbindung zum zentralen Gateway BVN Gateway benötigen sie hierfür geeignete Software. Die BREKOM liefert ihnen für diesen Zweck einen Mobile User VPN Client in zwei Versionen mit. Die Version Muvpn...exe enthält bereits eine Firewall (Zone Alarm). Dies ist erforderlich für Betriebssysteme, welche keine integrierte Firewall besitzen, wie z.b. Windows2000. WindowsXP ab Service Pack 2 bringt bereits selbst eine Firewall mit. Hierfür ist der VPN Client MuvpnLite...exe der richtige. Bevor sie die Software installieren, sollten sie die mitgelieferten Zertifikate importieren ( s. 4.Zertifikate importieren). Ist der VPN Client installiert, sind folgende Schritte erforderlich, damit die Verbindung ins BVN funktioniert: 1. Klicken sie mit der rechten Maustaste auf das Symbol Mobile User VPN im Systray und wählen den Menüpunkt Security Policy Editor aus. Dann erhalten sie folgende Ansicht: Abbildung 2 Security Policy Editor Installationsanleitung_VPN.doc Seite 3 von 11

4 2. Klicken sie in der Menüleiste File an und wählen sie Import Security Policy aus. Geben die Datei policy.spd als zu importierende an und importieren diese in dem sie Öffnen anklicken. Damit haben sie die Grundkonfiguration des VPN Clients vorgenommen. 3. Im Fenster Network Security Policy gehen sie auf das + vor den Eintrag BVN. Es öffnet sich ein neuer Unterpunkt. Mit der Maus klicken sie jetzt auf den Eintrag My Identity. 4. Jetzt wählen sie auf der rechten Seite unter Select Certificate ihr eigenes Zertifikat aus. 5. Mit dem Passwort für das Zertifikat haben sie von der BREKOM eine private IP Adresse zugewiesen bekommen. Diese IP Adresse (meist aus dem Bereich x.y) tragen sie in das Feld Internal Network IP Adress ein. 6. Jetzt speichern sie ihre Konfiguration indem sie auf das Symbol mit der Diskette klicken und beenden den Editor. 7. Klicken sie mit der rechten Maustaste auf das Symbol Mobile User VPN im Systray und wählen den Menüpunkt Connect... aus und klicken My Connections/BVN. Ist eine Verbindung ins Internet vorhanden, sollte jetzt der VPN-Tunnel ins BVN aufgebaut werden. 4 Zertifikate importieren 4.1 Persönliches Zertifikat importieren Ein neues Zertifikat erhalten sie als PKCS12-bzw. PFX-Datei auf einer Diskette, CD oder per . Um dieses Zertifikat zu importieren, sollten sie folgende Schritte durchführen: 1. Durch einen Doppelklick auf die Datei ([NAME].p12 /oder [NAME].pfx) erhalten sie folgendes Bild: Abbildung 3 Öffnen des Zertifikatsimport Installationsanleitung_VPN.doc Seite 4 von 11

5 2. Installation des Zertifikats. Bitte klicken sie jetzt die Schaltfläche Weiter an, danach erscheint folgendes Bild. Im Feld Dateiname erscheint der Name der für den Import bestimmten Datei. Abbildung 4 Importdateiname 3. Nachdem sie die Schaltfläche Weiter betätigt haben, erscheint folgendes Fenster. Im Feld Kennwort geben sie das zu diesem Zertifikat gehörende (mitgelieferte) Kennwort ein. Danach klicken sie auf Weiter. Abbildung 5 Passworteingabe Installationsanleitung_VPN.doc Seite 5 von 11

6 4. Im folgenden Bild überprüfen sie nur die Einstellungen und klicken auf die Schaltfläche Weiter. Abbildung 6 Zertifikatspeicher 5. Das folgende Bild dient nur der Überprüfung. Bitte klicken sie die Schaltfläche Fertig stellen. Abbildung 7 Fertigmeldung Installationsanleitung_VPN.doc Seite 6 von 11

7 6. Jetzt erscheint eine Sicherheitswarnung. Nachdem sie diese Meldung gelesen haben, bestätigen sie bitte diese mit einem Klick auf die Schaltfläche Ja. Abbildung 8 Sicherheitswarnung 7. Jetzt haben sie ihr Zertifikat erfolgreich installiert und erhalten folgende Abbildung. Bitte bestätigen sie es mit einem Klick auf die Schaltfläche OK. Der Import des neuen Zertifikats ist erfolgreich abgeschlossen. Abbildung 9 Import erfolgreich Installationsanleitung_VPN.doc Seite 7 von 11

8 4.2 Maschinenzertifikat importieren Für den Zugriff auf Dienste des BVN benötigen sie zusätzlich das Zertifikat der Instanz, welche die Maschinenzertifikate ausstellt (Machine Sub CA). Dieses Zertifikat erhalten sie entweder mit dem neuen Nutzerzertifikat geliefert oder können dieses auch von den Webseiten der BREKOM ( downloaden. Das Zertifikat hat den Dateinamen... _Freie Hansestadt Bremen Machine SubCA-01.crt bzw...._freie Hansestadt Bremen Machine SubCA-01(1).crt Achtung!!! wenn Sie ein Zertifikat haben, das vor erstellt wurde, brauchen Sie ein Zertifikat von der SubCA-Maschine mit dem Namen:... _Freie Hansestadt Bremen Machine SubCA-01.crt zu installieren. Für alle neue Zertifikate, die nach dem erstellt wurden, brauchen Sie ein SubCA- Zertifikat mit dem Namen:... _Freie Hansestadt Bremen Machine SubCA-01(1).crt. Im Folgendem wird beschrieben, wie dieses Zertifikat importiert wird. 1. Das zu importierende Zertifikat hat den Namen..._Freie Hansestadt Bremen Machine SubCA- 01.crt bzw..._freie Hansestadt Bremen Machine SubCA-01(1).crt. Durch einen Doppelklick auf das Zertifikat erhalten sie folgendes Bild. Bitte betätigen sie die Schaltfläche Zertifikat installieren. Abbildung 10 Zertifikatsinformationen 2. Die folgende vier Bilder zeigen ihnen den Ablauf der Installation. Bitte betätigen sie jeweils die Schaltfläche Weiter, bzw. Fertig stellen und beenden sie den Import des Zertifikats mit der Schaltfläche OK. Installationsanleitung_VPN.doc Seite 8 von 11

9 Abbildung 11 Zertifikatsimport-Assistent Abbildung 12 Zertifikatsspeicher Installationsanleitung_VPN.doc Seite 9 von 11

10 Abbildung 13 Fertig stellen Abbildung 14 Importvorgang beendet Installationsanleitung_VPN.doc Seite 10 von 11

11 5 Abbildungsverzeichnis Abbildung 1 Sicherheitshinweis Abbildung 2 Security Policy Editor... 3 Abbildung 3 Öffnen des Zertifikatsimport... 4 Abbildung 4 Importdateiname... 5 Abbildung 5 Passworteingabe... 5 Abbildung 6 Zertifikatspeicher... 6 Abbildung 7 Fertigmeldung... 6 Abbildung 8 Sicherheitswarnung... 7 Abbildung 9 Import erfolgreich... 7 Abbildung 10 Zertifikatsinformationen... 8 Abbildung 11 Zertifikatsimport-Assistent... 9 Abbildung 12 Zertifikatsspeicher... 9 Abbildung 13 Fertig stellen Abbildung 14 Importvorgang beendet Bearbeitungshistorie Bearbeiter Bearbeitungsdatum Version Koschmieder 26. Oktober Pfeiffer / Koschmieder 31. März Pfeiffer / Koschmieder 12. April Niglus 13. November Niglus 28. Dezember Niglus 09. Januar Installationsanleitung_VPN.doc Seite 11 von 11