VPN-Technologien gestern und heute Entwicklungen, Tendenzen und Fakten

Transkript

1 VPN-Technologien gestern und heute Entwicklungen, Tendenzen und Fakten Dr. Matthias Rosche Manager Security Consulting 1

2 Agenda VPN-Technologien Kundenwünsche und Praxis Neue Lösungsansätze Empfehlungen 2

3 Kommunikationswege über das Internet Heimarbeitsplätze Kunden Mobile Anwender Branch Offices Internet Geschäftspartner Outcourcing z.b. Datacenter 3

4 Grundlegende VPN-Ansätze IPSec Tunnel auf Netzwerkebene Gateway IPSec Gateway Verbindung auf Netzwerkebene (OSI Layer 3) IPSec-Verschlüsselung jeglicher TCP/IP-Verkehr wird getunnelt Hardware oder Software-Client 4

5 Grundlegende VPN-Ansätze SSL Tunnel auf Anwendungsebene SSL Server SSL-Client oder Browser Verbindung auf Anwendungsebene (OSI Layer 5) SSL/TLS-Verschlüsselung Kommunikation über einen dedizierten Port (443) über Standardsoftware wie Browser oder Mail-Client 5

6 Prioritäten unserer Kunden Sicherheit auf den Clients Flexibler Zugang und Authentisierung Zugriff auf beliebige Anwendungen Rollenbasierte Zugriffskontrolle Aufwand bei Administration und Deployment Transparenz und Benutzerfreundlichkeit Skalierbarkeit, Verfügbarkeit, Performance 6

7 Sicherheit auf den Clients + Desktop-Firewall im IPSec- Client garantiert Sicherheit auch offline und für alle Netzwerkadapter - Würmer/Viren auf dem Client können IPSec-Tunnel nutzen + einige Produkte unterstützen einen Basissicherheitscheck + Virtueller Desktop mit eigenem Cache-Directory, kein Zugriff zwischen den beiden Desktops - eventuell werden Administratorrechte benötigt 7

8 Flexibler Zugang und Authentisierung + Authentisierung über Passwort, OTP-Token bis hin zu.509 Zertifikaten + Authentisierung über Passwort, OTP-Token bis hin zu.509 Zertifikaten - Firewall im Clientnetz muss ausgehende Verbindungen erlauben + Zugang über den normalen SSL-Port kaum Probleme mit Firewall - kaum Macintosh, Linux und PDA-Unterstützung + alle Systeme mit Browsersupport bei Einsatz eines Netzwerkadapter nur Windows 8

9 Zugriff auf beliebige Anwendungen + keine Einschränkung, da auf IP-Ebene angesiedelt + Geeignet auch für VoIP, Multimedia und Datenbankanwendungen - Einschränkung auf Webanwendungen und unterstützte C/S- Anwendungen - Anpassung von einigen C/S- Anwendungen notwendig + vollautomatische Installation als lokaler Netzwerkadapter (Win) + transparenter Zugriff über SSL getunnelt 9

10 Rollenbasierte Zugriffskontrolle - der große Schwachpunkt kaum möglich + Granulare Zugriffskontrolle auf allen Ebenen - eventuell über IP-Adress- Schema, aber limitiert z.b. auf Rechnerebene + Rollen-basiert, Lokationbasiert, Protection-basiert, Device-basiert - kaum SSO Möglichkeiten + SSO für Webanwendungen oder Windows 10

11 Aufwand bei Administration und Deployment - Deployment für jeden Client notwendig - mögliche Probleme bei NATed Devices oder Interferenzen mit lokalen Anwendungen + Policy-basierte Kontrolle über Devices + kein Deployment auf Client- Seite + wenig fehleranfällig geringer Support notwendig - für Installation von SSL OC/Applets Administratorrechte notwendig + zentrales Logging der Clients möglich 11

12 Transparenz und Benutzerfreundlichkeit - lokale Clientsoftware notwendig + keine Extrasoftware notwendig + arbeitet meist im transparenten Modus - Authentisierung am Client notwendig + eingebettet in den Browser + intuitive Benutzung durch bekanntes Browserinterface - weniger für administrative Zwecke geeignet 12

13 Skalierbarkeit, Verfügbarkeit, Performance + Stateful Failover - keine Session geht beim Umschalten verloren + ausgefeilte Third-Party- Lösungen für Balancing verfügbar + schlankes Protokoll + Stateful Failover wie IPSec + einfache Migration - Umzug sämtlicher Clients per DNS- Eintrag + Skalierung erfolgt zentral am Hauptstandort, keine weitere Komponenten in den Clients - zusätzliches Datenaufkommen durch SSL Protokoll 13

14 Alles auf einen Blick Sicherheit auf den Clients Flexibler Zugang und Authentisierung Zugriff auf beliebige Anwendungen Rollenbasierte Zugriffskontrolle Aufwand bei Administration und Deployment Transparenz und Benutzerfreundlichkeit Skalierbarkeit, Verfügbarkeit, Performance o + o + o

15 Entscheidungsmatrix Nach Anwendungen Anwendungen Voice over IP Site-to-Site VPN Netze ohne Zugriffskontrolle auf Anwendungsebene Netze mit Zugriffskontrolle auf Anwendungsebene Webanwendungen - abhängig vom Client File Server und FTP 15

16 Entscheidungsmatrix Nach Einsatzgebieten Einsatzgebiete Mobile Anwender Externe Dienstleister Kunden Geschäftspartner Heimarbeitsplätze Outsourcing z.b. Datacenter Branch Offices 16

17 Was sagen die Gurus? By 2005/06, SSL based solutions will be the dominant method for remote access, with 80% of users utilizing SSL by CY05, we project that annual revenue [for SSL-based remote access] will hit $986M We project that by 2004, 60% of corporate users will use SSL for remote access at least some of the time. Forrester expects SSL VPN s will enjoy dominant market share by

18 Integralis Empfehlungen SSL und sind als komplementär anzusehen können bei hohen Administrations- und Wartungskosten eine gute Alternative sein existierende IPSec Infrastruktur bei trusted Anwendern und Clients beibehalten z.b. Mitarbeiter mit Firmenlaptop für non-trusted Anwender und Clients einsetzen z.b. Kunden, Partner 18

19 Fragen und Diskussion Weitere Informationen und Workshops zu diesem und anderen Themen finden Sie unter Vielen Dank für Ihre Aufmerksamkeit. Dr. Matthias Rosche Manager Security Consulting 19