DIE 7 Sicherheits-Mythen in Glasfasernetzwerken

Transkript

1 Version 1.0

2 Seite: 2 von 6 1 Glasfasernetzwerke Sicherheits-Mythen und Realität Moderne Glasfasernetzwerke werden bei Banken, Versicherungen, Unternehmen und öffentlichen Verwaltungen für die Verbindung von verschiedenen Standorten in Städten (MAN), für landesweite Verbindungen (WAN) wie auch für Backup- und Desaster- Recovery-Infrastrukturen (Storage Area Network, SAN) als Backbone eingesetzt. Und ausgerechnet hier sind sie leichte Beute für Wirtschaftsspione! In der aktuellen Studie sieht IDC dringenden Handlungsbedarf beim Schutz der Daten in Glasfasernetzwerken. «Optische Glasfasernetze galten lange Zeit als die schnellste, zuverlässigste und sicherste Art, Daten zwischen verschiedenen Netzwerken auszutauschen», meint IDC-Analyst Fouchereau. «Dieser Ruf hat sich als falsch erwiesen, denn neue und kostengünstige Technologien ermöglichen auf einfache Art und Weise Daten abzuhören.» Die Studie nennt mehrere Vorfälle von Lauschangriffen auf optische Glasfasernetze, wie zum Beispiel die Attacken auf das Verizon- oder das Deutsche- Telekom-Netz. Zu einer vergleichbaren Risikoeinschätzung kommt der grösste nordamerikanische Industrieverband Association of Manufacturers (NAM). Laut NAM ist das Anzapfen von Glasfaserleitungen eine weit verbreitete Methode der Wirtschaftsspionage. Diese Meinung teilt auch das Deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI). Damit stellen sie ein nicht zu unterschätzendes Sicherheitsrisiko dar. Trotzdem halten sich hartnäckig sieben Sicherheits-Mythen. Das vorliegende Whitepaper zeigt auf, dass diese allesamt nicht zutreffen. 1.1 Mythos 1 Daten in Glasfaserkabeln sind abhörsicher Ein einfacher Angriffspunkt sind Verteilerkästen der Netzwerkbetreiber, die für Wartungsarbeiten und das Verbinden der einzelnen Glasfaserkabel eingesetzt werden. Verschaffen sich Unbefugte erst einmal Zugriff auf diese ungeschützten Wartungskästen, können sie mit einem Biegekoppler problemlos den unverschlüsselten Datenstrom aufzeichnen und analysieren. Biegekoppler gehören zur Standardausrüstung der Wartungstechniker, die damit den Zustand und die Funktion der Lichtwellenleiter testen. Da diese Angriffsmethode den Netzwerkbetrieb kaum beeinträchtigt, wird dieser Abhörversuch wohl nicht bemerkt. Überhaupt nicht nachweisbar sind indes Einbrüche, die den direkten Kontakt mit der Datenleitung vermeiden. Diese Angriffsmethode macht sich zunutze, dass aus jedem Kabel minimale Lichtmengen strahlen auch ohne die Glasfaser zu biegen. Empfindliche Fotodetektoren fangen diese sogenannte Rayleigh-Streuung auf und verstärken sie. Die Auswertung der Daten erfolgt anschliessend über Daten- und Spektralanalyser, die anhand bestimmter Kriterien den Datenstrom aufzeichnen, überwachen und in Echtzeit analysieren. Detaillierte Informationen hierzu finden Sie in unserem Whitepaper «Risiken und Gefahren bei optischen Datenleitungen» unter

3 Seite: 3 von Mythos 2 Das Datenvolumen ist für einen gezielten Angriff zu gross Entgegen der weit verbreiteten Meinung bieten riesige Datenmengen allein keinen Schutz. Um einzelne Informationen aus einer grossen Datenmenge zu extrahieren, reichen bereits entsprechende IP-Nummern oder Schlüsselbegriffe. Anhand der Ziffern lässt sich mit Packet-Sniffer-Programmen die gewünschte Information ganz einfach aus dem Datenstrom herausfiltern und in Echtzeit speichern. Ein Packet- Sniffer ist ein Programm, das Netzwerkdaten aufzeichnet, überwacht und analysiert. Gemäss einem internen AT&T-Papier aus dem Jahre 2002 ist ersichtlich, dass das systematische Abhören von Glasfaserkabeln Realität ist. So wurden in diversen Städten der USA im Auftrag der Regierung «secret rooms» aufgebaut, um gezielt die Kommunikation zu analysieren. Für die Datenanalyse wurden dabei kommerzielle Produkte eingesetzt, welche damals schon den Datenverkehr bis zu einer Übertragungsgeschwindigkeit von 10Gbps analysieren konnten unabhängig ob es sich dabei um Ethernet-, Fibre Channel / FICON- oder SDH / SONET-Traffic handelt. 1.3 Mythos 3 Daten in WDM-Netzwerken können nicht analysiert werden Ein weiterer Mythos ist die vermeintliche Sicherheit der Daten in einem WDM-Netzwerk (Wavelength Division Multiplexing). Zur Optimierung der Übertragungsbandbreite werden dabei die Datenströme in einem Lichtwellenleiter in unterschiedlichen Spektralfarben übertragen. Somit können gleichzeitig mehrere Kanäle über eine einzige Glasfaser übertragen werden, wodurch sich die Bandbreitenkapazität enorm vergrössert und so kosteneffizient genutzt werden kann. Durch diese zusätzliche Komplexität und noch grössere Gesamtdatenmenge wiegen sich viele Nutzer der WDM-Technologie in Sicherheit. In Wahrheit wird die Komplexität beim Einsatz von Multiplexern nur unwesentlich erhöht und eine Separierung der einzelnen Kanäle ist mit handelsüblichen Spektralanalyzern und optischen Filtern (tuneable oder fix) problemlos möglich. Die anschliessende Datenanalyse ist, wie oben geschildert, danach auch kein Hindernis mehr.

4 Seite: 4 von Mythos 4 Das Fibre Channel-Protokoll ist zu komplex und somit sicher Um die riesige Datenflut zu verwalten und zu speichern, betreiben Unternehmen eine Storage Area Network (SAN) Infrastruktur. Aufgrund von Disaster Recovery Überlegungen besteht eine solche Infrastruktur aus zwei oder mehreren geografisch abgesetzten SAN-Inseln, welche über ein Fibre Channel-Netzwerk miteinander verbunden sind. Die weitverbreitete Annahme, dass FC-Daten keine interpretier- und lesbaren Informationen enthalten, beruht vor allem auf der Komplexität des FC-Protokolls und der blockbasierten Datenübertragung. Um zu beweisen, dass ein erfolgreicher Abhörangriff auf eine SAN- Infrastruktur sehr wohl möglich ist, hat InfoGuard in Zusammenarbeit mit dem Storage- Spezialisten Brocade einen entsprechenden Abhörversuch durchgeführt. Der Abhörangriff erfolgte mit einem Biegekoppler auf der Glasfaserleitung. Dabei wurden die Datenpakete ausgekoppelt und mit einem Fibre Channel Analyzer unbemerkt aufgezeichnet. Zusätzlich protokollierte und zeichnete der Analyser auch alle Lese- und Schreibbefehle des SCSI-Protokolls auf, ohne dabei den eigentlichen Datenstrom zu beeinträchtigen. Bereits ohne zusätzliche Auswertungssoftware konnten auf dem Analyser innerhalb der abgefangenen FC- Frames lesbare Informationen im Klartext ermittelt werden. Mit Hilfe eines einfachen Scripts konnten die aufgezeichneten Daten in eine komplette virtuelle Disk umgewandelt werden, wodurch wir eine vollständige Kopie des Disk Arrays erstellt werden konnte. Den detaillierten Erfahrungsbericht finden Sie in unserem Whitepaper «Fibre Channel- Verbindungen abhören viel leichter als gedacht!» unter Mythos 5 Eine eigene Dark-Fibre ist sicher Viele Nutzer von «eigenen» Dark-Fibre-Verbindungen glauben, dass hier kein Risiko durch einen Tapping-Angriff besteht. Sie vergessen dabei, dass sich die Bezeichnung «eigene» nur auf die übertragenen Daten bezieht und nicht auf die Infrastruktur. Auch bei Dark-Fibre-Verbindungen wird die Verfügbarkeit der Infrastruktur von einem Drittlieferanten sichergestellt und auch ein Dark-Fibre-Link wird über die Verteilerkästen der ISPs geführt (siehe Mythos 1). An diesen Stellen unterliegt die Dark-Fibre nicht nur den gleichen Risiken wie ein Managed Service, sondern es ist für einen Angreifer noch einfacher an die gewünschten Informationen zu kommen, da die Leitung nur Daten von einem dedizierten Kunden überträgt.

5 Seite: 5 von Mythos 6 Durch die Überwachung der Leitungsdämpfung erkennt man jeden Angriff Die Überwachung der Glasfaser mittels optischen Kennzahlen, wie beispielsweise der Dämpfung, ist eine gängige Methode, um die Verfügbarkeit und Qualität der Leitung zu messen. Oftmals herrscht die Meinung vor, dass das Tapping auf einer Glasfaserverbindung eine genügend grosse Dämpfung verursacht, so dass diese von einem optischen Monitoring-Tool erkannt wird. Daraus zieht man den Schluss, dass die Überwachung der Faser einen ausreichend sicheren Schutz bietet. Doch wie gross ist diese Beeinträchtigung wirklich? Optische Monitoring-Tools haben einen Toleranzwert zwischen 0.5 und 1dBm, so dass sie resistent gegen Laserungleichheiten, Temperaturunterschiede und andere äussere Einflüsse sind. Solange sich die Störung innerhalb dieses Toleranzwertes bewegt, wird ein Angriff deshalb mit Sicherheit nicht erkannt. Befindet sich zum Beispiel eine Y-Bridge oder auch ein Biegekoppler bereits fix im Netz, so wird deren Dämpfung zum Referenzwert hinzugerechnet und fällt nicht mehr negativ auf. Zudem weisen professionelle Biegekoppler, welche zu Spionagezwecke eingesetzt werden, eine Dämpfung von klar unter 0.5dB auf. Nicht zu vergessen sind die hochmodernen Abhörmethoden basierend auf der «Non-Touching» Technologie, welche überhaupt keine zusätzliche Dämpfung verursachen. Unter diesen Aspekten ist es zwar sinnvoll, eine permanente optische Überwachung der Glasfaser im Sinne einer Qualitätsüberprüfung durchzuführen, sie kann aber nicht zur Gewährleistung der Vertraulichkeit der Daten herangezogen werden! 1.7 Mythos 7 Die Verschlüsselung verursacht Performance- und Latenzzeiten-Probleme Beim abhörsicheren Austausch digitaler Informationen war IPSec bis vor einigen Jahren die gängigste Übertragungstechnologie. IPSec-Übertragungen laufen auf der Vermittlungsschicht Layer-3 des OSI-Modells, was sich aber nachteilig auf die Geschwindigkeit und den Konfigurationsaufwand auswirkt. Das IPSec-Protokoll bläht kleine Datenpakete auf fast die doppelte Grösse auf und verursacht dadurch ein erhöhtes Verkehrsaufkommen im verschlüsselten Datentunnel. Ein ursprünglich 64 Byte grosses IP-Paket erhält einen zusätzlichen 57 Byte schweren Datenrucksack (Overhead). Selbst im günstigsten Szenario lässt sich bei der IPSecbasierten Verschlüsselung grosser Datenpakete die verfügbare Bandbreite lediglich zu 90 Prozent ausnutzen. Der Negativeffekt wirkt sich besonders nachteilig aus, weil 65 Prozent des weltweiten IP-Verkehrs aus kleinen 64- und 128- Byte-Datenpaketen bestehen. Durch die Fragmentierung und den höheren Rechenaufwand steigt zudem die Latenzzeit. Eine nahezu verzögerungsfreie Datenübertragung ohne Bandbreitenverlust ist allerdings möglich, wenn die Datenpakete auf der Sicherungsschicht (Layer-2) des OSI-Modells verschlüsselt werden. Im Gegensatz zu einer Layer-3-Verschlüsselung benötigen die chiffrierten Einzelpakete bei einer Layer-2-Verschlüsselung keinen zusätzlichen Header, so dass unnötiger Datenballast und die daraus resultierenden Performance- und Latenzprobleme vermieden werden. Damit kann die verfügbare Bandbreite nahezu vollständig ausgenutzt werden (> 99.9%!). Zudem senkt eine Layer-2-Verschlüsselung den Komplexitätsgrad und verringert dadurch den Betriebs- und Administrationsaufwand erheblich. Eine Layer-2-Verschlüsselung verursacht keine Performanceund Latenzzeit-Probleme!

6 Seite: 6 von 6 2 Zuverlässiger Schutz dank Layer-2-Verschlüsselung Aus all diesen Gründen ist der Informationsschutz auch bei der Nutzung von optischen Netzwerken unerlässlich und ohne Einschränkungen realisierbar. InfoGuard ist der führende Hersteller von Layer-2-Verschlüsselungslösungen. Diese bieten rundum sicheren Informationsaustausch in MAN-, WAN- und SAN-Netzwerken mit 100% Verschlüsselungsdurchsatz und minimalster Latenzzeit. Damit eignen sie sich optimal für den Einsatz in stark ausgelastete Links und für zeitkritische Anwendungen. Die Datenverschlüsselung erfolgt durch den Advanced Encryption Standard (AES) mit einer Schlüssellänge von 256 Bit. Als Schweizer Unternehmen steht InfoGuard ein für höchste Qualität bei ihren Produkten und für absolute Unabhängigkeit bei der Implementierung ihrer Sicherheitsfunktionen. Deshalb entwickeln und produzieren wir alle Produkte inhouse in der Schweiz. Als Mitglied der Schweizerischen «The Crypto Group», einem der grössten und namhaftesten ICT-Sicherheitsunternehmen Europas mit über 300 Mitarbeitern, profitieren die Kunden in 130 Ländern weltweit von mehr als 55 Jahren Erfahrung und Kontinuität in der Informationssicherheit.