{"id":560,"date":"2013-07-18T19:59:30","date_gmt":"2013-07-18T17:59:30","guid":{"rendered":"http:\/\/lkl-it.de\/blog\/?p=560"},"modified":"2013-11-15T18:03:56","modified_gmt":"2013-11-15T16:03:56","slug":"echte-und-sichere-vpn-authentifizierung-uber-x-509-zertifikate","status":"publish","type":"post","link":"http:\/\/lkl-it.de\/blog\/?p=560","title":{"rendered":"Echte und sichere VPN Authentifizierung \u00fcber X.509 Zertifikate"},"content":{"rendered":"<p>Immer dann, wenn Mitarbeiter\u00a0 au\u00dferhalb des Unternehmens (z.B. Roadwarrior im Vertrieb, Homeworker, Smartphone-Einsatz) auf das interne Firmennetzwerk zugreifen m\u00fcssen, ist besondere Vorsicht geboten.<\/p>\n<p>Um die Kommunikation \u00fcber ein unsicheres \u00f6ffentliches Netzwerk wie das Internet sicher zu gew\u00e4hrleisten, werden VPN Tunnel\u00a0 aufgebaut, die den Verkehr vom Endger\u00e4t bis zum VPN Gateway der Firma durchgehend verschl\u00fcsseln (<em>End-to-Site Tunneling<\/em>).\u00a0 W\u00e4hrend der Dauer der VPN-Verbindung befindet sich der Client logisch im Firmen-LAN und der Mitarbeiter kann sich dann z.B. mit RDP auf seinen Arbeitsplatz verbinden und die gewohnte Arbeit durchf\u00fchren. Ebenso ist es als Alternative zu herk\u00f6mmlichen Standleitungen m\u00f6glich, mit VPN Technologien Firmenstandorte \u00fcber unsichere Netze wie das Internet zu verbinden (<em>Site-To-Site Tunneling<\/em>).<\/p>\n<p>Verbreitete Protokolle f\u00fcr die Erstellung eines VPN-Tunnels sind z.B.<\/p>\n<ul>\n<li><strong>PPTP, <\/strong><\/li>\n<li><strong>L2TP\/IPSec,<\/strong><\/li>\n<li><em>SSL basierte<\/em> VPN-Protokolle wie <strong>SSTP<\/strong><\/li>\n<li>oder in Sonderf\u00e4llen\u00a0 auch natives <strong>IPSec<\/strong> im Tunnelmodus (siehe <span style=\"color: #993300;\">IPSec<\/span>).<\/li>\n<\/ul>\n<p><span style=\"text-decoration: underline;\">1. Verbindungsaufbau der einzelnen VPN Protokolle<\/span><\/p>\n<p>Alle diese Protokolle benutzen zum <em>Verbindungsaufbau<\/em> das <em><strong>PPP (Point-to-Point)<\/strong> <\/em>Protokoll zusammen mit <em><strong>Benutzerauthentifizierungsmethoden,<\/strong><\/em> verwenden dabei aber unterschiedliche Herangehensweisen:<\/p>\n<ul>\n<li><strong>PPTP<\/strong> bspw. <em>verschl\u00fcsselt die Daten erst<\/em><strong> (!),<\/strong>\u00a0wenn bereits \u00fcber PPP eine erfolgreiche Benutzerauthentifizierung stattgefunden hat,<\/li>\n<li>hingegen erstellen <strong>SSTP<\/strong> und <strong>L2TP\/IPSec<\/strong> schon vorab eine gesicherte Verbindung. Hierzu verwendet SSTP ein <em><strong>X.509 Serverzertifikat am Gateway<\/strong><\/em>, das sich gegen\u00fcber dem VPN-Client authentifiziert &#8211; damit kann der Anwender auch sicher sein, dass er seine Zugangsdaten dem richtigen Server anvertraut.<\/li>\n<li><strong>L2TP\/IPSec<\/strong> setzt zus\u00e4tzlich noch <strong><em>Client Zertifikate<\/em><\/strong> voraus, damit sich auch die VPN-Clients gegen\u00fcber dem Server authentifizieren m\u00fcssen.<\/li>\n<\/ul>\n<p><strong><span style=\"color: #3366ff;\">Nur mit Zertifikaten kann eine echte, eindeutige Authentifizierung zwischen den Device-Identit\u00e4ten auf Gateway und Clientseite stattfinden<\/span><\/strong><\/p>\n<p><a href=\"http:\/\/lkl-it.de\/blog\/?attachment_id=561\" rel=\"attachment wp-att-561\"><img loading=\"lazy\" class=\"aligncenter size-full wp-image-561\" title=\"VPNDeviceAuthentication\" src=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNDeviceAuthentication.jpg\" alt=\"VPN_Certificate_Based_Device_Authentication\" width=\"1067\" height=\"268\" srcset=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNDeviceAuthentication.jpg 1067w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNDeviceAuthentication-300x75.jpg 300w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNDeviceAuthentication-1024x257.jpg 1024w\" sizes=\"(max-width: 1067px) 100vw, 1067px\" \/><\/a><\/p>\n<p><span style=\"text-decoration: underline;\">2.\u00a0Benutzerauthentifizierung im VPN<\/span><br \/>\nOhne eine PKI ist man bei der VPN-Benutzerauthentifizierung auf\u00a0 passwortbasierte Methoden (<em><strong>PAP, CHAP, MSCHAPv2<\/strong><\/em>) beschr\u00e4nkt und die Sicherheit des Systems korreliert direkt mit der Komplexit\u00e4t der verwendeten Benutzerpassw\u00f6rter.<\/p>\n<p>Durch die Verwendung des EAP-Frameworks ist es aber m\u00f6glich verschiedene erweiterte Authentifizierungsmethoden in die PPP Authentifizierung mit einzubinden, damit kann die Benutzerauthentifizierung z.B. auch \u00fcber <em>Benutzerzertifikate<\/em> oder <a title=\"Smartcardanwendungen\" href=\"http:\/\/lkl-it.de\/blog\/?p=508\"><em>Smartcards<\/em> <\/a>erfolgen (z.B. <strong>EAP-TLS, PEAP-TLS<\/strong>), womit das Problem der schwachen Passw\u00f6rter behoben wird.<\/p>\n<p><a href=\"http:\/\/lkl-it.de\/blog\/?attachment_id=566\" rel=\"attachment wp-att-566\"><img loading=\"lazy\" class=\"alignleft size-full wp-image-566\" title=\"VPNBenutzerauthentifizierung\" src=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNBenutzerauthentifizierung.jpg\" alt=\"X.509 Benutzerauthentifizierung VPN\" width=\"1095\" height=\"257\" srcset=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNBenutzerauthentifizierung.jpg 1095w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNBenutzerauthentifizierung-300x70.jpg 300w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/VPNBenutzerauthentifizierung-1024x240.jpg 1024w\" sizes=\"(max-width: 1095px) 100vw, 1095px\" \/><\/a><br \/>\nErweiterte Flexibilit\u00e4t bei der Kontrolle des VPN-Zugriffs kann zudem durch den Einsatz von <a title=\"Erweiterte Authentifizierung mittels 802.1x und Radius\" href=\"http:\/\/lkl-it.de\/blog\/?p=547\">RADIUS <\/a>erzielt werden<\/p>\n<div>\n<p><em>\u00a0Vgl. Coleman, David et al.:<a href=\"http:\/\/www.amazon.de\/Certified-Wireless-Security-Professional-Official\/dp\/0470438916\"> \u201eCertified Wireless Security Professional \u2013 Official Study Guide\u201c, <\/a>S. 138-159.<\/em><\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Immer dann, wenn Mitarbeiter\u00a0 au\u00dferhalb des Unternehmens (z.B. Roadwarrior im Vertrieb, Homeworker, Smartphone-Einsatz) auf das interne Firmennetzwerk zugreifen m\u00fcssen, ist besondere Vorsicht geboten. Um die Kommunikation \u00fcber ein unsicheres \u00f6ffentliches Netzwerk wie das Internet sicher zu gew\u00e4hrleisten, werden VPN Tunnel\u00a0 &hellip; <a href=\"http:\/\/lkl-it.de\/blog\/?p=560\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[4],"tags":[],"_links":{"self":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts\/560"}],"collection":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=560"}],"version-history":[{"count":8,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts\/560\/revisions"}],"predecessor-version":[{"id":582,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts\/560\/revisions\/582"}],"wp:attachment":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=560"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=560"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=560"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}