Das große Ganze und das kleine Handliche

Transkript

1 Dr. Georg Wilmers, Geschäftsführer der BWI Informationstechnik GmbH Das große Ganze und das kleine Handliche Vortrag auf der Koblenzer Fachtagung Informationstechnik 2012 am 30. August mit dem Thema Mobile Computing und Cyber Defence (k)ein Widerspruch Es gilt das gesprochene Wort! 1

2 Anrede, meinen Vortrag gliedere ich wie folgt: Zuerst wenige Worte, was ich unter Mobile Computing und Cyber Defence verstehe. Dann eine Kurzdarstellung des großen Ganzen, dem IT-System HERKULES. Und zum Schluss, wie mobile Geräte heute schon in dieses IT-System eingebunden sind und was ich mir für die nahe Zukunft bis Ende der Vertragslaufzeit HERKULES, also Ende 2016 diesbezüglich noch vorstellen kann, Zuerst zu den Hauptbegriffen der Tagung. Mobile Computing ist für mich das ortsunabhängige Arbeiten mit einem Gerät, das ein eigenes Betriebssystem besitzt und Zugriff auf ein zentrales Informationssystem hat. Cyber Defence ist schon schwieriger. Offensichtlich geht es um Abwehr, und abwehren tut man traditionell Angriffe, hier Cyber-Angriffe. Diese zu umschreiben ist schwierig. Ganz allgemein kann man sagen, dass es um den Schutz eines IT- Systems wie HERKULES mit den darin verarbeiteten Daten vor Angriffen geht. Das BSI hat ein Register aktueller Cyber-Gefährdungen und Angriffsformen veröffentlicht. Das ist für mich der richtige Anknüpfungspunkt. Bei der Darstellung des großen Ganzen, des IT-Systems HERKULES, das die BWI für die Bundeswehr für das tägliche Arbeiten mit Daten bis einschließlich VS-NfD aufgebaut hat und betreibt, will ich mit dem PC bzw. Laptop als dem wahrnehmbaren Arbeitsmittel der Nutzerinnen und Nutzer im IT-System beginnen. 2

3 Anders als früher, kann die Bw an ihm grds. nicht herumfummeln, Administrationsrechte hat allein die BWI und diese werden in aller Regel zentral wahrgenommen. Das gilt auch für die Testung und Verteilung der begrenzt verfügbaren Software, der Implementierung von Sicherheitsrichtlinien oder dem Virenschutz oder Sicherheitsupdates. Was jetzt noch eingezogen wird ist ein Schnittstellenmanagement, mit dessen Hilfe dann der IT-SiBe vor Ort entscheiden kann, wer z.b. einen USB-Stick benutzen oder eine DVD lesen darf. Die Einbindung in ein System erfolgt in aller Regel über ein lokales Netz in einer Liegenschaft, über ein LAN. Die LAN s sind standardisiert und werden aus einem Netzkontrollzentrum heraus zentral gemanagt. Es gibt eine Zugangskontrolle für IT-Gerät: Nur Daten von Geräten, deren individuelle sog. MAC-Adresse bekannt und akzeptiert ist, werden überhaupt ins IT- System HERKULES hineingelassen. Zudem gibt es nach einem Konzept Verteidigung in der Tiefe weitere abgestufte Schutzmechanismen wie Firewalls. Die zentralen Serviceeinrichtungen und LAN s sind durch ein Weitverkehrsnetz, kurz WAN, miteinander verbunden. Das WAN ist homogen, ist redundant ausgelegt und wird zentral gemanagt. 3

4 Zentral hören Sie jetzt zum wiederholten Male. Zentralisierung und Standardisierung sind nicht nur ein Schlüssel für deutliche Effizienzsteigerungen und Kostensenkungen im Betrieb, sondern auch eine wesentliche Grundlage zur Gewährleistung der IT-Sicherheit. Anormalitäten z.b. durch Cyber-Angriffe - lassen sich in einem standardisierten und zentralisierte IT-System leichter erkennen und beheben bzw. bei Angriffen bekämpfen. Deshalb werden Sie das Wort zentral im weiteren Vortrag auch noch häufiger hören. Über den IT-Sicherheitsaspekt zurück zum WANBw. Es ist vollverschlüsselt, dennoch verfügt es über hohe Bandbreite und Performance und ist zu vielen Diensten fähig wie z.b. VoIP oder Multicast. Auf derselben physikalischen Leitungsstruktur laufen übrigens logisch getrennt mehrere unabhängige Netze: Das HERKULES-Netz, ein Netz der sog. grünen IT, das Netz der BWI und zukünftig ein Netz des NGN für z.b. die IP-Telefonie. Bei Bedarf sind die Netze verbunden über Gateways, dort wird der IT-Sicherheit dann wieder besondere Aufmerksamkeit gewidmet. Zur Veranschaulichung begleiten wir jetzt gedanklich ein Datenpaket z.b. Inhalte aus dem Intranet der Bundeswehr, das die BWI im IT-System HERKULES für die Bw betreibt durch das Gateway, das das HERKULES-Netz mit dem Netz der sogenannten grünen IT verbindet und gelangen ins grüne Netz. 4

5 Sie sehen in der Mitte jetzt hellgrün dieselben Wolken, die Leitungen, Router und so weiter symbolisieren, also physikalisch dasselbe Netz wie bei HERKULES, nur datenmäßig getrennt als grünes Netz. Daran angeschlossen außenherum diesmal nicht weiße, sondern grüne IT, die vollumfänglich von der Beschaffung über den Betrieb bis zur Aussonderung bzw. Verwertung in der Verantwortung der Bw liegt. Angefangen oben rechts die Satellitenverbindung in die Einsatzgebiete und alles, was IT-mäßig dort so kreucht und fleucht. Oben links - angeschlossen an einen nicht HERKULES Koppelungsport in einem LAN - z.b. eine Schulungslandschaft einer Schule. Darunter links z.b. ein Gefechtsstand. Es gibt auch nicht-herkules Ports in den Liegenschaften für Einzelgeräte, z.b. grüne PC s, die ich links unten und rechts symbolisch angeschlossen habe. Unten mittig soll der linke Kreis ein Rechenzentrum einer TSK symbolisieren und daneben habe ich das Betriebszentrum des SKUKdo aufgeführt, das von Rheinbach aus über das grüne Netz z.b. IT in den Einsatzgebieten administriert, ähnlich wie es das Netzkontrollzentrum der BWI ebenfalls in Rheinbach in der gleichen Kaserne für das weiße Netz tut. Soweit der gedankliche Ausflug ins grüne Netz. Man könnte sich auf der gleichen bundesweiten Physik z.b. auch ein blaues Netz für die Polizei vorstellen, die Bandbreite des WANBw würde das hergeben, weshalb man sich in meinen Augen fragen kann, warum für den Digitalfunk ein komplett eigenes Netz aufgebaut werden muss. Aber nun gedanklich durch das Gateway zurück vom grünen Netz ins weiße HERKULES-Netz. 5

6 Die Anbindung des IT-Systems HERKULES nach außen erfolgt über eine sogenannte Demilitarisierte Zone, das ist eine Mischung aus Hardware und Software mit ausgefeilten Sicherheitsmechanismen. Diese DMZ gibt es georedundant, also einmal doppelt an zwei Standorten. In der DMZ gibt es mehrere Zugangsbereiche. Einer für die Verbindung zwischen dem IT-System HERKULES und dem Internet allgemein. Ein anderer für die Anbindung über das Internet mit gesicherten Verbindungen von 6

7 Geschäftspartnern z.b. für die Fernwartung von Geräten oder eben auch für mobile Nutzer der Bundeswehr, ich komme darauf zurück. In diesem Bereich kann für jeden, dem man Zugang zum IT-System HERKULES von außen gewähren will, festgelegt werden, wozu oder zu wem man Zugang gewährt, der Rest bleibt verschlossen. Auch für die allgemeine Verbindung zum Internet gibt es Restriktionen. So sind z.b. sog. aktive Inhalte aus IT-Sicherheitsgründen grds. nicht zugelassen. Da sie aber weit verbreitet sind, hatte die BWI zwischenzeitlich einen gekapselten Browser für den APC entwickelt und vorgestellt, der isoliert lauffähig ist und daher die Nutzung aktiver Inhalte und ähnlicher sicherheitsgefährdender Elemente allgemein möglich machen könnte. Dafür wurde vom Vertragspartner allerdings bislang kein Bedarf artikuliert. Unter dem Aspekt des Cyber Defence möchte ich noch erwähnen, dass zusätzlich zur WAN-Vollverschlüsselung wichtige Anwendungen wie die Dateiablage auf zentralen Servern der sog. Fileservice -, der Mailverkehr, SASPF, VoIP und der sog. Replizierungsverkehr der Rechenzentren untereinander zusätzlich gesondert verschlüsselt werden. Denkt man an den Einsatz, dann kommen noch zusätzliche Verschlüsselungen aus der grünen IT hinzu, so dass dann Datenpakete schnell viermal und noch öfter auf ihrem Weg zum Ziel ver- und wieder entschlüsselt werden, was betrieblich wie von der Performance her eine besondere Herausforderung darstellt und die Frage aufwirft: Muss das alles sein? Zentrale Anwendungen wie v.a. SASPF werden in einem logischen Rechenzentrum mit einem zentralen Monitoring- und Controlcenter betrieben. Wenn Sie so wollen, dann wird hier eine Bw-Cloud betrieben. 7

8 Bei SASPF ist das auch von der Performance her eine sehr charmante Lösung, weil sich Datenhaltung und Rechenleistung im Rechenzentrum abspielen, zum und vom APC werden nur Bildschirminhalte und Maus- bzw. Tastaturklicks übertragen. Das erfordert wenig Bandbreite und erlaubt effektives Arbeiten mit SASPF auch im Einsatz trotz vielfacher Verschlüsselung der Datenpakete, mit denen Bildschirminhalte und Klicks übertragen werden. Soweit der Überblick über das große Ganze. Jetzt komme ich zu dem, was vermutlich am meisten interessiert: Wie sieht es denn mit dem kleinen Handlichen, nämlich der Einbettung mobiler Geräte in das IT-System HERKULES aus? Was geht, was geht nicht und was könnte gehen? Es geht die Anbindung von bis zu Laptops über das Internet an das IT-System HERKULES, die die BWI vertraglich schuldet. Wir verwenden dazu jetzt eine vom BSI zugelassene Lösung, die aus einem kleinen Kästchen besteht, an das auf der einen Seite der Laptop und auf der anderen Seite ein beliebiger Zugang zum Internet angeschlossen wird, z.b. ein DSL-Kabel vom heimischen Router, eine Mobilfunkverbindung, wenn man über UMTS verfügt oder ein zugänglicher WLAN-Hotspot, z.b. bei einer Fast-Food-Kette und dieses Kästchen sorgt dann dafür, dass eine sichere Verbindung zum IT-System HERKULES über die DMZ hergestellt wird, die es dem Nutzer im Rahmen der aktuell verfügbaren Bandbreite der Internet-Verbindung ermöglicht, mit dem Laptop so zu arbeiten, als wäre er an ein LAN angeschlossen. 8

9 Dieselbe Technik wird übrigens auch für die Anbindung der Telearbeiter genutzt, die ich aber nicht zu den mobilen Nutzern zähle, da sie i.d.r. einen stationären APC zu Hause stehen haben. Was auch geht ist die Nutzung von Barcode-Scannern bei SASPF im Bereich der Logistik. Diese werden lokal über WLAN angebunden. Allerdings ist z.t. die WLAN- Funkstärke so reduziert wohl weil man nicht möchte, dass die Signale außerhalb der Liegenschaft mitgelesen werden können -, dass in einer Lagerhalle der Scanner nicht überall Empfang hat, sondern zu scannende Teile aus dem Funkloch in einen Empfangsbereich transportiert werden müssen. In meinen Augen unverständlich, da ohnehin alle Datenpakete, die durch die Luft fliegen, mit einem mehrstufigen Sicherheitsverfahren Router-Verschlüsselung, Citrix-Verschlüsselung und virtueller Tunnel im Internet - verschlüsselt sind. Hier haben Sie m.e. ganz praktischen einen Widerspruch zwischen Cyber Defence und Mobile Computing. Sie können den im Warenkorb von HERKULES enthaltenen PDA per Kabel an einen PC anschließen und Daten synchronisieren. 9

10 Übers Netz ist aber keine Synchronisation möglich und mit einem Handy oder Smartphone geht es auch nicht. Insofern ist der Nutzen überschaubar und nicht weiter verwunderlich, dass nur wenige von dieser Möglichkeit Gebrauch machen. Was geht nicht? Alles, was mit i anfängt geht gar nicht. Die Geheimniskrämerei und der Würgegriff von Apple um seine Geräte ist mit dem IT-Sicherheitskonzept von HERKULES derzeit nicht vereinbar. Was könnte in absehbarer Zeit, also vor Ende HERKULES Ende 2016 gehen? Die Anbindung eines Smartphone mit einem sog. Mikrokern, der so klein ist, dass man sein Funktionieren vollständig durchschauen kann und der exklusiv für ein sicheres Betriebssystem und eine sichere Anbindung an das IT-System HERKULES genutzt werden könnte. Selbst wenn der Rest des Prozessors für was auch immer genutzt wird, kann dieser Teil nicht schädlich auf den dienstlich genutzten Teil einwirken, wenn der Mikrokern sicherheitstechnisch voll beherrscht wird. Wenn das BSI so etwas zulässt, dann kann ich mir eine Anbindung solcher Smartphones unter der Voraussetzung, dass das sichere Betriebssystem zentral administriert wird - an das IT-System HERKULES gut vorstellen. Obwohl Im HERKULES-Vertrag ein Forschungs- und Entwicklungsauftrag der BWI nicht enthalten ist, beobachtet die BWI natürlich dennoch ständig sowohl die 10

11 Marktentwicklung verfügbarer Produkte als auch die technologische Entwicklung und macht sich ihre Gedanken zum möglichen Einsatz im IT-System HERKULES. Ein gedanklicher Ansatz für die zukünftige Anbindung von mobilen Geräten wie Smartphones, der auch für private Geräte, sogar solche mit einem i vorne, nutzbar wäre, ist folgender: (Dieses Bild wäre im übrigen auch für die Anbindung eines Smartphones mit einem Mikrokern richtig). Auf ein Smartphone wird ein Link geschickt. Wird der Link aktiviert, startet eine Device Management Software, die das Smartphone in Beschlag nimmt und die bisherige private Nutzung in Quarantäne stellt und ausschließt. Das einzige, was noch zulässig ist, ist der Aufbau einer gesicherten Verbindung zu einem IT-System wie HERKULES, wo man dann (nur) das Arbeiten in einer Cloud und mit einem speziellen App-Store zulässt, die auf einem Server im Rechenzentrum etabliert werden können. Eine dauerhafte Speicherung von Daten auf dem Smartphone könnte ausgeschlossen werden, Datenspeicherung und Rechenleistung könnten wie bei SASPF grds. auf die Cloud beschränkt werden. Wenn die Device Management Software das Smartphone wieder frei gibt, dann ist die Verbindung beendet, Daten sind auf dem Smartphone nicht gespeichert und die vorherige (private) Nutzung ist wieder möglich. So könnte man einem praktischen Einsatzbedürfnis Rechnung tragen, das der stv. Befehlshaber des Einsatzführungskommandos der Bundeswehr, GM Kriesel, vor kurzem in einem Interview plastisch dargelegt hat. 11

12 Wenn man IT-Sicherheit ganz groß schreibt, dann könnte man dabei auch Cloud und APP-Store vom IT-System trennen und eine gesonderte Cloud und App-Store etablieren, im nachfolgenden Bild an die DMZ angehängt. Den App-Store könnte man zusätzlich nur mit Apps befüllen, die vorab geprüft und freigegeben wurden, wobei die Freigabe daran geknüpft werden könnte, dass die Apps nicht auf das Betriebssystem des Smartphones zugreifen. Mit dieser Entkoppelung hätte man dann vielleicht annähernd ein Sicherheitsniveau erreicht, was man durch Nutzung von Smartphones mit einem Mikrokern erreichen will, nur dass man kein spezielles Smartphone dafür benötigt, sondern jeder auch sein privates Gerät dafür nutzen könnte. Oder man befüllt Cloud und Store nur mit Inhalten, die nicht eingestuft sind und deren Gefährdung als wenig kritisch angesehen wird. Wie viel Sinn das dann noch macht ist wiederum die andere Frage, Sie merken, hier wird der Widerspruch zwischen Cyber Defence und Mobile Computing schnell wieder ganz praktisch. Mit dieser Überleitung zum Gesamtthema des heutigen Tages möchte ich meinen Vortrag schließen und bedanke mich für die Aufmerksamkeit. 12