KOORDINIERUNGSSTELLE FÜR IT-STANDARDS KOSIT OSCI INTERMEDIÄRE IN VERBINDUNGSNETZ UND INTERNET. Inhaltsverzeichnis. 27. August 2014

Transkript

1 KOORDINIERUNGSSTELLE FÜR IT-STANDARDS KOSIT OSCI INTERMEDIÄRE IN VERBINDUNGSNETZ UND INTERNET 27. August 2014 Inhaltsverzeichnis 1 Zu diesem Dokument Anforderungen für den Betrieb in bisheriger Form Zusammenfassung und Empfehlung... 6 KoSIT Bremen - 1

2 1 Zu diesem Dokument Für die sichere Datenübermittlung im e-government steht mit OSCI-Transport eine bewährte Technologie zur Verfügung, die seit Jahren erfolgreich eingesetzt wird. Die technische Umsetzung erfolgt beim Bund und in den meisten Ländern auf Basis der Anwendung Governikus des IT Planungsrats. Dies ist eine technische Implementierung eines OSCI- Intermediärs. Für OSCI in der Version 1.2 sind Intermediäre zwingend erforderlich. Der Standard OSCI wurde so entworfen, dass die Sicherheit der Datenübermittlung selbst bei Nutzung des unsichersten Netzes, dem Internet, gewährleistet werden kann. Er enthält integrierte Sicherheitsmechanismen, die bei einer Nutzung über sichere, verwaltungsinterne Netze abgeschaltet werden können. Deshalb gab es bisher keine Notwendigkeit der Unterscheidung zwischen landesinternen Datenübermittlungen und solchen, die zwischen verschiedenen Ländern oder mit Bundesbehörden erfolgen. Dass die dafür erforderlichen Intermediäre derzeit mit einer Ausnahme alle nur im Internet erreichbar sind, war nicht relevant. Die Sicherheit wird durch OSCI gewährleistet, unabhängig vom genutzten Netz. Dies ändert sich zum 1. Januar Gemäß 3 IT-NetzG muss der Datenaustausch zwischen dem Bund und den Ländern über das Verbindungsnetz erfolgen. Ein Teil der auf OSCI basierenden Datenübermittlungen muss aus rechtlichen Gründen in das Verbindungsnetz verlagert werden. Hierfür werden Intermediäre im Verbindungsnetz benötigt. Der Aufbau einer neuen Infrastruktur von Intermediären im Verbindungsnetz, zusätzlich zu der im Internet vorhandenen Struktur, soll aus Ressourcengründen möglichst vermieden werden. Der IT Planungsrat hat deshalb in seiner 14. Sitzung den Bund als Betreiber des Verbindungsnetzes [gebeten], in Abstimmung mit der AG "Verbindungsnetz", bis zur 15. Sitzung konkrete Vorschläge für einen Übergang der vom IT-NetzG betroffenen Kommunikationsbeziehungen auf das Verbindungsnetz vorzulegen. Hierbei sollen insbesondere die Anforderungen formuliert werden, unter denen die OSCI-Intermediäre in bisheriger Form weiter zulässig sind. Die KoSIT ist im Auftrag des IT Planungsrats für OSCI zuständig. Sie ist außerdem im Auftrag der Innenverwaltung für die elektronische Datenübermittlung in den Bereichen des Ausländer-, Personenstands-und Meldewesens zuständig, die hinsichtlich der Zuverlässigkeit und Sicherheit der Datenübermittlung auf einer funktionierenden OSCI-Infrastruktur aufbaut. Die KoSIT hat deshalb einen Workshop veranstaltet, um gemeinsam mit technischen Experten die Anforderungen zu ermitteln, unter denen die OSCI-Intermediäre in bisheriger Form weiter betrieben werden dürfen. Als Ergebnis des Workshops werden konkrete Vorschläge für einen Übergang der vom IT-NetzG betroffenen, auf OSCI basierenden Kommunikationsbeziehungen auf das Verbindungsnetz vorgelegt. Teilnehmer des Workshops waren Herr Harald Krause, Dataport Herr Jörg Apitzsch und Herr Marco Ganzer, Governikus GmbH Frau Beate Schulte und Herr Frank Steimke, KoSIT KoSIT Bremen - 2

3 2 Anforderungen für den Betrieb in bisheriger Form In diesem Abschnitt wird untersucht, welche Maßnahmen erforderlich sind, um Intermediäre in bisheriger Form weiter betreiben zu können. Dabei gehen wir von folgender Darstellung aus, die für die auf OSCI 1.2 basierende Infrastruktur in der Innenverwaltung typisch ist. Eine Übertragung auf den Justizbereich, in dem nicht DVDV, sondern S. A. F. E als Verzeichnisdienst zum Einsatz kommt, führt zu keinen grundlegend anderen Schlussfolgerungen. Abbildung 1: Schematische Darstellung der Komponenten einer OSCI 1.2 Infrastruktur Sender A Intermediär für Empfänger B Empfänger B Ermittlung von Zertifikaten und technischen Adressen Verzeichnisdienst DVDV Eine Nachricht ist vom Sender (A) an einen Empfänger (B) zu übermitteln. Die dafür erforderlichen Zertifikate und technischen Adressen des Empfängers erfährt A durch eine Anfrage beim Verzeichnisdienst (DVDV). Die Daten werden von A an den für B zuständigen Intermediär übermittelt. Im Falle der asynchronen Kommunikation werden die Daten auf dem Intermediär aufbewahrt und von B abgeholt. Im Falle der synchronen Datenübermittlung werden die Daten vom Intermediär unmittelbar an B weitergeleitet. Anschließend wird geprüft, welche Veränderungen der Infrastruktur erforderlich sind, wenn manche Datenübermittlungen zukünftig über das Verbindungsnetz erfolgen müssen. 2.1 OSCI-Intermediäre Die derzeit bereits vorhandenen Intermediäre sollen zukünftig sowohl im Internet, als auch im Verbindungsnetz adressiert werden können. Folgende Voraussetzungen müssen erfüllt sein, damit der Betrieb von Intermediären in der bisherigen Form weiter zulässig ist. Abbildung 2: Intermediäre im Internet und in verwaltungseigene Netzen / Verbindungsnetz DMZ Internet Intermediär Weiche Verbindungsnetz KoSIT Bremen - 3

4 Anbindung an Internet bzw. verwaltungseigene Netze / Verbindungsnetz jeweils mittels proxy und reverse proxy: o o Der jeweilige reverse proxy wird genutzt, wenn der Intermediär adressiert wird. Der jeweilige proxy wird genutzt, wenn der Intermediär Daten versendet. Die reverse proxies sind als protokollspezifische Dienstprogramme (dedicated procies) so ausgelegt, dass ausschließlich OSCI-Transport Pakete sowie das XKMS-Protokoll (zwecks Überprüfung von Zertifikaten) vermittelt werden. Nur solche Pakete können die Grenze zwischen verwaltungseigenem Netz und Internet passieren. Betrieb von (reverse) proxies und Intermediär auf unterschiedlichen Maschinen. Betrieb der genannten Komponenten in einer DMZ (demilitarisierten Zone) Zu beachten ist, dass eine dynamische Adressierung mehrerer Proxies je nach Übertragungsweg bzw. Netz möglich sein muss. IT-Verfahren der Verwaltung sind aus Sicherheitsgründen grundsätzlich nicht direkt an das unterliegende Netz angebunden, sondern stets über einen. Allerdings ist üblicherweise die Adresse des fest eingetragen. Sie kann im Normalfall nicht einfach im laufenden Betrieb geändert werden. Die Verpflichtung zur Nutzung des Verbindungsnetzes bezieht sich nur auf den Datenaustausch zwischen dem Bund und den Ländern. In anderen Fällen darf oder muss das Internet genutzt werden. Deshalb wird es erforderlich sein, dynamisch im laufenden Betrieb unterschiedliche Netze über deren jeweilige Proxies zu adressieren. In Abbildung 3 haben wir die dafür erforderliche Erweiterung als Weiche bezeichnet. Die grau hinterlegten Bereiche repräsentieren technische Systeme bzw. Maschinen. 2.2 Unterstützung der Umsetzung Die sorgfältige Abstimmung und Konfiguration der in Abbildung 2 dargestellten Komponenten wird für die Sicherheit des Gesamtsystems entscheidend sein. Daher schlagen wir vor, die vom IT Planungsrat betriebene Anwendung Governikus so zu erweitern, dass sie als ein Paket aufeinander abgestimmter Komponenten den sicheren Betrieb der OSCI-Intermediäre sowohl in verwaltungseigene Netzen, als auch im Internet gewährleistet. Es geht nicht darum, die oben genannten Komponenten zu einem Softwareprodukt zu verschmelzen. Der Betrieb auf unterschiedlichen Maschinen bleibt unberührt. Abbildung 3: Erweiterte Anwendung Governikus Erweiterte Anwendung Governikus (Betrieb in DMZ) Verbindungsnetz Intermediär Internet Weiche Landesnetz KoSIT Bremen - 4

5 Vielmehr kann durch Erweiterung der in Abbildung 2 gezeigten Architektur die um entsprechend konfigurierten Proxies erweiterte Anwendung Governikus als Sicherheitsgateway verstanden werden, das für OSCI Anwendungen das Internet, das Verbindungsnetz und Landesnetze sicher verbindet. Die Abstimmung, Paketierung und Dokumentation der hierfür erforderlichen Komponenten kann z. B. durch Zusammenarbeit zwischen dem Governikus Lenkungskreis, der AG Verbindungsnetz und dem Bund / BSI gewährleistet werden. Die Tatsache, dass das skizzierte Gesamtsystem ein Sicherheitsgateway im Sinne der vom IT-Planungsrat festzulegenden Anschlussbedingungen ist, sollte durch eine Zertifizierung bestätigt werden. So bietet der IT-Planungsrat den Organisationseinheiten bei Bund, Ländern und Kommunen konkrete Unterstützung in einer technisch komplexen Situation. 2.3 Verzeichnisdienst DVDV Im Verzeichnisdienst DVDV werden Daten über die Erreichbarkeit elektronischer Dienste vorgehalten. Insbesondere ist den Angaben zu entnehmen, wie der Intermediär erreicht werden kann, der dem Empfänger (B) zugeordnet ist. Das technische Format, in dem die Verbindungsparameter im DVDV hinterlegt sind, ist das der WSDL-Datei. Es erlaubt grundsätzlich die Angabe unterschiedlicher Kommunikationsparameter für einen Dienst und ist damit für die Erweiterung um einen zusätzlichen Kanal (Verbindungsnetz) gerüstet. Der aktuellen Infrastruktur entsprechend sind jedoch für nahezu alle im DVDV hinterlegten Dienste ausschließlich Angaben zur Erreichbarkeit über das Internet hinterlegt. Zukünftig wird zu unterscheiden sein: 1. Dienste, die ausschließlich im Verbindungsnetz erreichbar sind. Zum Beispiel Dienste von Bundesbehörden, die ausschließlich von anderen Behörden in Anspruch genommen werden können. In diesem Fall sind die derzeit noch vorhandenen Angaben zur Erreichbarkeit über das Internet zu ersetzen durch die Angaben zur Erreichbarkeit über das Verbindungsnetz. 2. Dienste, die ausschließlich im Internet erreichbar sind. Zum Beispiel Dienste von Stellen außerhalb der öffentlichen Verwaltung, welche die formalen Anschlussbedingungen für das Verbindungsnetz nicht erfüllen. In diesem Fall gibt es keinen Handlungsbedarf. 3. Dienste, die sowohl im Verbindungsnetz als auch im Internet angeboten werden. Zum Beispiel Dienste, die sowohl von öffentlichen als auch von privaten Stellen in Anspruch genommen werden können. Ebenso Dienste, die für andere Behörden des gleichen Bundeslandes im Internet zur Verfügung gestellt werden. In diesem Fall sind die bereits vorhandenen Daten um die Kommunikationsparameter für das Verbindungsnetz zu ergänzen. Als Ergebnis einer Abfrage erhält das sendende System die Kommunikationsparameter des Empfängers. Im Fall 3) ist es Aufgabe des sendenden Systems zu entscheiden, welche der angebotenen Alternativen zu nutzen ist. Es ist die Verantwortung der Fach- bzw. Transportverfahren, die Auswahl gemäß der rechtlichen Vorgaben des IT-NetzG zu treffen. Eine Möglichkeit der technischen Unterstützung zur Durchsetzung der Regeln des IT-NetzG sehen wir erst mit DVDV 2 und OSCI 2. Dies ist im folgenden Abschnitt dargestellt. KoSIT Bremen - 5

6 2.4 Technische Unterstützung von Vorgaben des IT-NetzG Zukünftig wird es in einer Vielzahl von Fällen dazu kommen, dass als Ergebnis einer DVDV Abfrage zur Adressierung des jeweiligen Intermediärs zwei alternative Wege zurückgeliefert werden: via Internet und via Verbindungsnetz. Daher sind Fach- bzw. Transportverfahren so zu erweitern, dass eine Auswahl unter Beachtung der Vorgaben des IT-NetzG getroffen wird. Eine technische Unterstützung der Vorgaben des IT-NetzG, und damit eine Entlastung der Fachverfahren, könnte erfolgen, wenn in der Anfrage an den Verzeichnisdienst detaillierte Informationen über den designierten Sender der Nachricht enthalten wären. Dann könnte automatisiert entschieden werden, ob die Datenübermittlung gemäß IT-NetzG über das Verbindungsnetz erfolgen muss oder nicht, und nur die zutreffenden Verbindungsparameter zurückgeliefert werden. Mit den Mechanismen von OSCI 1.2 und dem derzeit aktuellen DVDV ist dies nicht möglich. Technisch wäre es erforderlich, die Kommunikationspartner mittels SAML Token zu identifizieren. Das derzeit in Planung befindliche DVDV 2 bietet entsprechende Möglichkeiten, ebenso wie OSCI in der Version 2. Wir schlagen daher vor, mittelfristig die Migration in Richtung OSCI 2 zu betreiben, damit im Zusammenspiel mit DVDV 2 eine technische Unterstützung der rechtlichen Vorgaben des IT-NetzG erfolgen kann. 3 Zusammenfassung und Empfehlung 3.1 Anbindung von Intermediären an die Netze Die Anbindung an das Internet bzw. verwaltungseigene Netze / Verbindungsnetz muss jeweils mittels proxy und speziell für OSCI konfiguriertem reverse proxy erfolgen. Diese müssen auf unterschiedlichen Maschinen in einer DMZ betrieben werden. Zur Unterstützung der Umsetzung schlagen wir vor, die vom IT-Planungsrat betriebene Anwendung Governikus zu erweitern und ein Gesamtpaket inklusive der entsprechend konfigurierten Proxies zu schnüren. Durch eine entsprechende Zertifizierung soll bestätigt werden, dass die erweiterte Anwendung ein Sicherheitsgateway im Sinne der vom IT Planungsrat festzulegenden Anschlussbedingungen ist, welches für OSCI-Datenübermittlungen für die Verbindung von Landes- an Verbindungsnetze sowie das Internet geeignet ist. 3.2 DVDV Technische Veränderungen an den DVDV Servern sind nicht notwendig. Jedoch sind die vorhandenen Daten zu überprüfen und einem der drei in Abschnitt 2.2 genannten Fälle zuzuordnen. Der dafür erforderliche Aufwand kann hoch sein, dies ist rechtzeitig einzuplanen. Zuständig sind die pflegenden Stellen in Abstimmung mit den Betreibern der jeweiligen XÖV- Standards. Die Arbeit kann erst stattfinden, nachdem alle technischen Kommunikationsparameter der Intermediäre im Verbindungsnetz festgelegt worden sind. Es sollte geprüft werden, ob der Umstellungsaufwand durch (Teil-) Automatisierung reduziert werden kann. Wir schlagen außerdem vor, mittelfristig die Migration der bestehenden Infrastruktur in Richtung DVDV 2 und OSCI 2 zu betreiben, damit m Zusammenspiel mit einem Identity Server die rechtlichen Vorgaben des IT-NetzG technisch umgesetzt werden können. KoSIT Bremen - 6

7 Material Wir haben für den Workshop folgende Dokumente herangezogen: Anschlussbedingungen für das Verbindungsnetz, Entwurf vom 10. März 2014 Diskussionsvorschlag IT-NetzG und OSCI, Fraunhofer FOKUS ÖFIT, interne Entwurfsfassung vom Sichere Anbindung von lokalen Netzen an das Internet (ISi-LANA) / BSI-Leitlinie zur Internet-Sicherheit (ISi-L), BSI 2007 Absicherung eines Servers(ISi-Server) / BSI-Studie zur Internet-Sicherheit, BSI 2013 Konzeption von Sicherheitsgateways, Version 1.0, BSI KoSIT Bremen - 7