From c2e1cd085db00c194bb1bf8775021971895575a5 Mon Sep 17 00:00:00 2001 From: Jan Philipp Timme Date: Mon, 29 Oct 2018 11:18:56 +0100 Subject: [PATCH] Explain why shared secrets are bad --- MA-Inhalt.tex | 13 ++++++++++--- 1 file changed, 10 insertions(+), 3 deletions(-) diff --git a/MA-Inhalt.tex b/MA-Inhalt.tex index 55b8357..195f183 100644 --- a/MA-Inhalt.tex +++ b/MA-Inhalt.tex @@ -161,13 +161,21 @@ Um den Dual-Stack-Betrieb zu ermöglichen, werden dem Server jeweils eine IPv4- Damit nur Benutzer den VPN-Zugang benutzen können, die als Beschäftigte oder Studierende zur Abteilung Informatik gehören (\ref{req:users}), müssen sich VPN-Benutzer gegenüber dem VPN-Server authentisieren. Bevor das passiert, muss sich der VPN-Server gegenüber dem VPN-Client authentisieren. Damit wird sichergestellt, dass die Authentisierung nur gegenüber dem VPN-Server der Abteilung Informatik durchgeführt wird. -Die Authentisierung des VPN-Servers gegenüber der VPN-Clients soll mit X.509-Public-Key-Zertifikaten durchgeführt werden. +Die Authentisierung des VPN-Servers gegenüber den VPN-Clients soll mit X.509-Public-Key-Zertifikaten durchgeführt werden. +Die Authentisierung über ein zuvor geteiltes, gemeinsames Geheimnis ist nicht sinnvoll, da der VPN-Dienst für mindestens 50-500 Benutzer ausgelegt wird. +Unter diesem Umstand ist ein allen Benutzern bekanntes Geheimnis für einen Angreifer leichter in Erfahrung zu bringen, je mehr Benutzer dieses Geheimnis kennen. Die Details zur Authentisierung von Benutzern und der Verwaltung autorisierter Benutzer werden in Kapitel~\ref{sct:user_concept} behandelt. +L2 vs L3 + + +Routing ins Abteilungsnetz Für die Netze der Abteilung Informatik, die über das VPN erreichbar sein sollen (\ref{req:routing}), sollen für die Dauer der VPN-Sitzung Einträge in der Routingtabelle des Clients erzeugt werden. Pakete, die der Client an Computer im Abteilungsnetz schickt, sollen so durch den VPN-Tunnel geroutet werden. Damit die Pakete ihr Ziel auch erreichen, wird der VPN-Server als Router konfiguriert, der Pakete zwischen VPN-Tunnel und Abteilungsnetz weiterleitet. -\begin{draft} + + + IP-Adressen für Kommunikation innerhalb des VPN: Da Pakete von Computern im Netz der Abteilung Informatik zu den VPN-Clients durch das VPN geroutet werden sollen, müssen alle Router (also der L3-Switch und die FW Inform) den Rückweg zu den VPN-Clients über Einträge in ihren Routingtabellen finden können. Da es nicht praktikabel ist, die öffentlichen IP-Adressen der VPN-Clients aus dem Internet in die Routingtabellen einzutragen (sie ändern sich häufig, die Einträge werden nur bei einer aktiven VPN-Sitzung benötigt, wie zur Hölle kommt VPN-Verkehr vom VPN-Server zum VPN-Client?!), werden den VPN-Clients IP-Adressen aus Netzen zugewiesen, die der Abteilung Informatik "bekannt sind". @@ -187,7 +195,6 @@ Die Protokolle des VPN-Servers sollen im Kontext der DSGVO keine personenbezogen Betrieb: Wartbarkeit erhöhen, indem existierende Konzepte des IT-Teams zum Betrieb von Servern berücksichtigt werden. -\end{draft} \section{Konzept der Benutzerverwaltung} \label{sct:user_concept}