VPN - Virtual Private Networks Wolfgang Böhmer Kommunikationssicherheit in VPN- und IP-Netzen, über GPRS und WLAN ISBN 3-446-22930-2 Inhaltsverzeichnis Weitere Informationen oder Bestellungen unter http://www.hanser.de/3-446-22930-2 sowie im Buchhandel
Inhaltsverzeichnis 1 Einleitung 1 1.1 Herkömmlicher Datenaustausch... 1 1.2 VPN-Definition der ersten Generation.... 5 1.3 VPN-Terminologie...... 6 1.4 Überblick der VPN-Varianten.... 9 1.5 VPN-Leistungsspektrum... 12 2 Netz- und Kommunikationsgrundlagen für VPN 17 2.1 Verfahren der Kommunikationstechnik füreinvpn... 18 2.2 Offene Kommunikation in Datennetzen... 20 2.2.1 Die Architektur des OSI-Referenzmodells... 21 2.2.2 Die sieben OSI-Funktionen...... 22 2.2.3 Die OSI-Dienste... 24 2.2.4 Die OSI-Protokolle...... 25 2.3 Das Internet-Protokoll in der Version IPv4 und IPv6...... 28 2.3.1 BOOTP/DHCP und Mobile-IP.... 32 2.3.2 Ende-zu-Ende-Flusskontrolle mittels TCP... 38 2.3.3 Dienstgüte CoS und QoS in IP-Netzen..... 42 2.3.4 Integrierte und differenzierte Dienste..... 47 2.4 Übungen... 56 3 Informations- und Kommunikationssicherheit 59 3.1 Definition IuK-Sicherheit... 60 3.2 Verfahren zur Erlangung der IuK-Sicherheit...... 65 3.2.1 Risikoanalysen.... 66
3.2.2 ITSEC und Common Criteria..... 72 3.2.3 Vergleich zwischen CC und ITSEC... 73 3.2.4 Kurzüberblick Common Criteria... 74 3.2.5 Sicherheitsarchitektur offener Systeme..... 76 3.2.6 Sicherheitsparadigma und Sicherheitspyramide.... 80 3.2.7 Evaluierung der Gesamtunternehmenssicherheit... 83 3.2.8 IT-Security Capability Maturity Model (IT-SecCMM).... 85 3.3 Übungen... 87 4 Verschlüsselung 89 4.1 Verschlüsselungstechniken..... 90 4.1.1 Substitutionstechniken.... 90 4.1.2 Transpositionstechniken... 97 4.2 Symmetrische Kryptosysteme... 99 4.2.1 Blockchiffre und Stromchiffre..... 100 4.2.2 DES, Triple DES, IDEA und AES... 109 4.2.3 Triple DES... 114 4.2.4 IDEA.... 115 4.2.5 AES...... 116 4.2.6 RIJNDAEL...... 117 4.3 Asymmetrische Kryptosysteme... 119 4.4 Schlüsselaustausch-Verfahren.... 120 4.4.1 Diffie-Hellman, RSA, ELGamal, DSA..... 120 4.5 Kryptographische Hash-Funktionen..... 128 4.6 Elektronische Signatur.... 130 4.6.1 Mechanismen einer elektronischen Signatur...... 131 4.6.2 Bedeutung der digitalen und der elektronischen Signatur. 133 4.7 PKI und Trust Center..... 134 4.7.1 X.500 und X.509 v3...... 136 4.7.2 Zertifizierung und Validierung.... 140 4.7.3 PKI-Unterscheidungsmerkmale... 141 4.7.4 Einsatz von elektronischen Zertifikaten.... 142 4.8 Übungen... 143
5 Verfahren zur Authentifizierung 145 5.1 Einfache Authentifizierungsverfahren.... 147 5.2 Starke Authentifizierungsverfahren..... 152 5.2.1 Ein-Wege-Authentifizierung..... 153 5.2.2 Zwei-Wege-Authentifizierung.... 154 5.2.3 Drei-Wege-Authentifizierung..... 155 5.3 Zwei-Faktoren-Authentifizierung in der Praxis.... 156 5.3.1 Zeitsynchrone Authentifizierung mittels Token-Cards... 156 5.3.2 Speicherkarten und Smart Cards... 159 5.4 Authentifizierungsverfahren in der Anwendung... 162 5.4.1 Die PPP-Verbindung als Voraussetzung für PAP und CHAP 162 5.4.2 Password Authentication Protocol (PAP)... 164 5.4.3 Challenge Handshake Authentication Protocol (CHAP)... 164 5.4.4 Die AAA-Sicherheitsarchitektur... 166 5.4.5 Remote Authentication Dial-In User Service (RADIUS)... 168 5.4.6 Terminal Access Controller Access Control System... 170 5.4.7 Vergleich zwischen RADIUS und TACACS+...... 171 5.4.8 DIAMETER...... 172 5.4.9 Kerberos... 174 5.5 Übungen... 179 6 Varianz der VPN-Typen 181 6.1 VPN-Einsatzmöglichkeiten..... 182 6.1.1 Intranet-VPN (Site-to-Site)... 186 6.1.2 Extranet-VPN (End-to-End)...... 188 6.1.3 Remote-Access-VPN (End-to-Site)... 190 6.2 Eckpunkte für den Einsatz eines VPN.... 192 6.2.1 VPN-Sicherheitspolitik.... 192 6.2.2 VPN und Firewall...... 193 6.2.3 VPN und Router... 198 6.2.4 Quality of Service in VPN... 198 6.2.5 Diffserv in VPN.... 198 6.2.6 Beispiel einer komplexen VPN-Architektur... 199 6.2.7 Ausblick... 201 6.3 Übungen... 202
7 Secure VPN im Internet, 3G-Netzen und WLAN 205 7.1 Tunneling...... 206 7.2 Layer-2-Techniken...... 208 7.2.1 L2F...... 210 7.2.2 PPTP..... 211 7.2.3 L2TP..... 217 7.2.4 SSL over L2TP oder L2Sec...... 225 7.3 Layer-3-Techniken...... 226 7.4 Sicherheitsstandard für das Internet (IPSec)...... 227 7.4.1 Das Ziel von IPSec...... 229 7.4.2 Die IPSec-Sicherheitsvereinbarungen (SA)... 232 7.4.3 IPSec-Authentifizierung mittels AH-Header...... 234 7.4.4 IPSec-Vertraulichkeit mittels ESP-Header... 236 7.4.5 Transport- und Tunnelmodus.... 238 7.4.6 Kombinationen von Security Associations... 241 7.4.7 Initiierung einer Security Association..... 243 7.4.8 IPSec und Remote Access... 245 7.4.9 Schlüsselaustausch für IPSec (IKE)...... 248 7.4.10 IKEv1-Phase-1.... 251 7.4.11 IKEv1-Phase-2 oder der Quick Mode..... 256 7.4.12 Das Internet Security Association and Key Management Protocol (ISAKMP)..... 257 7.4.13 Das Oakley-Schlüssel-Protokoll (Oakley)... 260 7.4.14 IKEv2 - Schlüsselaustausch der nächsten Generation.... 262 7.4.15 IPSec, IKEv2 und Roaming-Verfahren..... 269 7.4.16 Zertifikatsbasierte PKI-Authentifizierung für IPSec... 273 7.4.17 Secure VPN im Wireless LAN (WLAN).... 278 7.4.18 Das Simple Key Management for Internet Protocol (SKIP). 281 7.4.19 Layer-2- und Layer-3-Vergleich.... 282 7.5 Layer-4-Techniken...... 282 7.5.1 Secure Socket Layer (SSL) und Transport Layer-Sicherheit (TLS)..... 282 7.5.2 Vergleich zwischen IPSec und SSL/TLS.... 292 7.6 Layer-5-Techniken...... 294 7.6.1 SOCKS v5... 294 7.7 Übungen... 295
8 Trusted VPN in Weitverkehrsnetzen (WAN) 297 8.1 VPN und Multiprotocol Label Switching... 298 8.1.1 MPLS und Switching-Eigenschaften...... 300 8.1.2 MPLS und das n(n 1)/2 Problem... 300 8.1.3 MPLS als Königsweg für Quality of Service in VPN... 302 8.1.4 Gemeinsamkeiten und Unterschiede von RSVP-TE und CR- LDP... 306 8.1.5 IP-MPLS und Multiprotocol Lambda Switching (MPλS). 311 8.2 Fast-Packet-Switching (FPS)..... 314 8.3 Frame Relay..... 315 8.3.1 MPLS über Frame Relay... 320 8.4 Asynchroner Transfer Modus (ATM)..... 320 8.4.1 Dienstgüten und -klassen in ATM-Netzen... 325 8.4.2 Verkehrs- und Überlaststeuerung... 327 8.4.3 ATM-Referenzmodell.... 329 8.4.4 MPLS über ATM-Verbindungen... 333 8.5 Übungen... 335 9 Hybrid VPN Sichere Kommunikation über fremde Netze 337 9.1 Provider-Netze und Netzstrukturen..... 338 9.1.1 Struktur der globalen Netze...... 339 9.1.2 IP-VPN über Wählverbindungen... 344 9.1.3 VPN über fremde Netze... 345 9.1.4 Referenzmodell für ein verwaltetes CE-basiertes VPN... 348 9.1.5 Referenzmodell für ein NB-basiertes VPN... 350 9.2 Netzwerk-Performance und Management...... 352 9.2.1 ITIL als Defacto-Standard für IT-Service-Management... 355 9.2.2 Sicherheitsaspekte...... 358 9.2.3 Servicevereinbarungen (SLA).... 358 9.3 VPN-Klassifizierungen... 360 9.3.1 Vergleichsverfahren und Anforderungen... 366 9.4 Übungen... 367
10 Einsatz von Virtual Private Networks 369 10.1 VPN-Marktbetrachtungen...... 369 10.2 VPN der zweiten Generation.... 379 10.2.1 IPSec und Performance-Aspekte... 381 10.3 Planungsaspekte... 386 10.4 Vier-Phasen-Plan eines VPN-Projekts..... 387 10.4.1 Analyse... 389 10.4.2 Konzeption...... 404 10.4.3 Realisierung...... 406 10.4.4 Betrieb.... 407 10.5 Schlussbemerkung...... 408 10.6 Übungen... 409 Literaturverzeichnis 411 Glossar 421 Stichwortverzeichnis 427