TIPPS UND TRICKS RUND UM KV-CONNECT VOLKER DENTEL KV TELEMATIK GMBH

Transkript

1 TIPPS UND TRICKS RUND UM KV-CONNECT VOLKER DENTEL KV TELEMATIK GMBH

2 DARUM GEHT S HEUTE: edmp: Neue Indikationskürzel ab 1. April und die Folgen Zertifikats-Gültigkeit: Neue Funktion zur Ermittlung des Ablauf- Datums Aus dem Support: SSL-Verbindungen über next generation - Firewalls Aus dem Support: Zugangs-Killer Entropie: Nichts Neues, aber kritischer denn je

3 edmp: neue Indikations-Kürzel ab Indikationskürzel bisher: AB, BK, COPD, DM1, DM2, KHK Auch schon dagewesen: ABneu, COPDneu, DM1neu, DM2neu, KHKneu Wirklich neu : AB_422 COPD_401 DM1_501 DM2_601 KHK_412

4 edmp: neue Indikations-Kürzel ab Auswirkung auf die Dateinamens-Struktur: Bisher: <bsnr>_<yyyymmtthhmmss>_n_copd.xyz Jetzt: <bsnr>_<yyyymmtthhmmss>_n_copd_401.xyz Vorsicht beim Parsen der Dateinamen!

5 Ermittlung der Zertifikats-Gültigkeit Verpflichtend: rechtzeitige Information des Nutzers über ablaufendes Zertifikat Bisher nur umständliche Ermittlung des Ablaufdatums Neu: certificate.validto.jar wird ab Client 4.4.x standardmäßig mit ausgeliefert liegt im Installationsordner unter /bin lässt sich per.bat,.cmd oder auch aus Applikation starten schreibt Ablauf-Datum in stdout optional Ausgabe in.txt und/oder.xml-datei

6 Nutzung java -jar certificate.validto.jar -keystore <keystore> : vollständiger oder relativer Pfad -pin <pin> : PIN zu User-Keystore [-type <type> : Typ des Keystores (JKS oder PKCS12, default: PKCS12)] [-export <XML TXT ALL> : Ausgabe als.txt oder.xml] Client muss nicht laufen Es wird keine Netzwerkverbindung benötigt

7 Die Ausgabe-Dateien Liegen im selben Ordner wie der keystore gueltigkeit.txt : gueltigkeit.xml : <?xml version="1.0" encoding="utf-8" standalone="yes"?> <certificate> <expiration_date> </expiration_date> </certificate>

8 Beispiel: eine einfache.bat-datei echo off set /p login=anmeldename: set /p pin=pin: java -jar certificate.validto.jar -keystore../users/%login%/mailkeystore.jks -pin %pin% -type JKS -export ALL Pause

9 Aus dem Support (1): SSL via Layer-7-Firewalls

10 Stark vereinfacht: Hallo! Ich bin ein KV-Connect Client. Beweis mir mal, dass Du der KV-Connect Server bist! Da hast Du mein Zertifikat zum Prüfen! Prüfen! Akzeptiert! Hier hast Du eine an Dich verschlüsselte Zufallszahl, die nehmen wir jetzt als Key! (verschlüsselte Kommunikation)

11 Der Mann in der Mitte (man-in-the-middle-attack) Hallo! Ich bin ein KV-Connect Client. Beweis mir mal, dass Du der KV-Connect Server bist! Aha! Gut zu wissen! Hallo! Ich bin ein KV-Connect Client. Beweis mir mal, dass Du der KV-Connect Server bist! Da hast Du (m)ein Zertifikat zum Prüfen! Prüfen??? Akzeptiert! Hier hast Du eine an Dich verschlüsselte Zufallszahl, die nehmen wir jetzt als Key! Das bau ich doch mal nach! Lesen ( Prüfen ) Entschlüsseln Verschlüsseln Lesen ( Prüfen ) Verschlüsseln Entschlüsseln Da hast Du mein Zertifikat zum Prüfen! (vermeintlich) verschlüsselte Kommunikation Entschlüsseln Verschlüsseln Lesen ( Prüfen ) (z.b. paloalto Layer-7-Firewall)

12 Was tut der Client? Hier liegen die Aussteller- Zertifikate der KVC-Server- Zertifikate. Mit denen prüft der Client, ob das, was der Server ihm anbietet, korrekt ist!

13 Was heißt Prüfen? z.b. bei der Versionsabfrage :

14 Wo liegt das Problem? Browser-basierte Tests (Versionsabfrage) funktionieren korrekt, weil in den Unternehmen, die Layer-7-Firewalls einsetzen, deren Aussteller-Zertifikate routinemäßig in die Browser eingepflegt werden. Der Client akzeptiert dieses Unternehmens-Zertifikat aber nicht, sondern prüft gegen die im truststore abgelegten KV-Connect- Zertifikate. Ergebnis: Die Versionsabfrage funktioniert, der Client aber nicht.

15 Ganz praktisch:

16 Ganz praktisch:

17 Ganz praktisch: TestWall

18 Ganz praktisch: TestWall

19 Ganz praktisch: TestWall.Firewall.xy TestWall Test

20 Ganz praktisch: Dieses Zertifikat akzeptiert kein KV-Connect Client!!!

21 Aus dem Support (2): Zugangs-Killer Beim Tausch von Zugangsdaten können im Hintergrund weiterlaufende Applikationen durch laufende Nutzung alter Credentials den Zugang zum Server sperren.

22 Beispiel 1: MUA MUA sind standardmäßig oft so konfiguriert, dass eingetragene Accounts regelmäßig auf neue Nachrichten abgefragt werden (z.b. alle 10 Minuten). Was passiert? Benutzer ändert seine Credentials, ohne MUA zu stoppen, Alles funktioniert (scheinbar) problemlos, MUA meldet sich regelmäßig (erfolglos) mit alten Credentials an, Wenn nicht nach spätestens 9 Fehlversuchen vom MUA eine Benutzergesteuerte Anmeldung mit richtigen Credentials passiert, ist der Account gesperrt. Meist am nächsten Morgen

23 Beispiel 2: REST-Anwendungen Sehr ähnlich: REST-Anwendungen verwenden z.t. getrennte Tools für Administration und Kommunikations-Routine. Wenn die Funktionen der Kommunikationsroutine weiterlaufen, während über Admin-Funktionen das Passwort geändert wird, kann die Kommunikationsroutine den Zugang sperren, wenn dort das Passwort nicht schnell genug nachgezogen wird. Spezielles Szenario: Durch Unkenntnis wird mitunter die Kommunikationsroutine zuerst mit dem Einmal-Passwort eingerichtet und gestartet. Nach wenigen Minuten ist der Account blockiert. (Problem unzureichenden Verständnisses bei Servicepersonal).

24 Entropie die Dritte: wichtiger denn je Durch zunehmende Komplexität des Clients werden im Vergleich zu älteren Version noch mehr einzelne SSL-Verbindungen auf- und wieder abgebaut. Jeder Verbindungsaufbau benötigt Entropie, genau wie die Erzeugung von Schlüsseln und Zertifikaten. Mangelnde Entropie kann bereits bei der Installation zu Problemen führen, da hier Entropie zumindest zum Erzeugen des lokalen SSL- Zertifikats (local-ssl-connection.jks), aber auch für die Kommunikation zwischen einzelnen Client-Modulen verbraucht wird. Dadurch kann Entropie-Mangel zu einer später nicht lauffähigen Installation führen.

25 Was ist zu tun? Wenn bereits beim Starten des Clients oder beim Öffnen des Anmeldefensters im Browser oder während des Anmeldeprozesses Fehler auftreten, dann sollte die Menge verfügbarer Entropie erhöht werden. Hinweise dazu finden sich in der Wissensdatenbank im Partnerportal ( Erfahrung aus einschlägigen Support-Fällen: Es ist zu empfehlen, in einer solchen Situation den Client nach Verfügbarmachung von ausreichend Entropie noch einmal komplett neu zu installieren.

26