JPT/masterthesis
0
0
Fork 0
Code Issues Pull Requests Activity

Explain why shared secrets are bad

Browse Source
This commit is contained in:
Jan Philipp Timme 2018-10-29 11:18:56 +01:00
parent 767c6f2775
commit c2e1cd085d
1 changed files with 10 additions and 3 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

13
MA-Inhalt.tex
View File

@ -161,13 +161,21 @@ Um den Dual-Stack-Betrieb zu ermöglichen, werden dem Server jeweils eine IPv4-
Damit nur Benutzer den VPN-Zugang benutzen können, die als Beschäftigte oder Studierende zur Abteilung Informatik gehören (\ref{req:users}), müssen sich VPN-Benutzer gegenüber dem VPN-Server authentisieren.
Bevor das passiert, muss sich der VPN-Server gegenüber dem VPN-Client authentisieren. Damit wird sichergestellt, dass die Authentisierung nur gegenüber dem VPN-Server der Abteilung Informatik durchgeführt wird.
Die Authentisierung des VPN-Servers gegenüber der VPN-Clients soll mit X.509-Public-Key-Zertifikaten durchgeführt werden.
Die Authentisierung des VPN-Servers gegenüber den VPN-Clients soll mit X.509-Public-Key-Zertifikaten durchgeführt werden.
Die Authentisierung über ein zuvor geteiltes, gemeinsames Geheimnis ist nicht sinnvoll, da der VPN-Dienst für mindestens 50-500 Benutzer ausgelegt wird.
Unter diesem Umstand ist ein allen Benutzern bekanntes Geheimnis für einen Angreifer leichter in Erfahrung zu bringen, je mehr Benutzer dieses Geheimnis kennen.
Die Details zur Authentisierung von Benutzern und der Verwaltung autorisierter Benutzer werden in Kapitel~\ref{sct:user_concept} behandelt.
L2 vs L3
Routing ins Abteilungsnetz
Für die Netze der Abteilung Informatik, die über das VPN erreichbar sein sollen (\ref{req:routing}), sollen für die Dauer der VPN-Sitzung Einträge in der Routingtabelle des Clients erzeugt werden.
Pakete, die der Client an Computer im Abteilungsnetz schickt, sollen so durch den VPN-Tunnel geroutet werden.
Damit die Pakete ihr Ziel auch erreichen, wird der VPN-Server als Router konfiguriert, der Pakete zwischen VPN-Tunnel und Abteilungsnetz weiterleitet.
\begin{draft}
IP-Adressen für Kommunikation innerhalb des VPN:
Da Pakete von Computern im Netz der Abteilung Informatik zu den VPN-Clients durch das VPN geroutet werden sollen, müssen alle Router (also der L3-Switch und die FW Inform) den Rückweg zu den VPN-Clients über Einträge in ihren Routingtabellen finden können.
Da es nicht praktikabel ist, die öffentlichen IP-Adressen der VPN-Clients aus dem Internet in die Routingtabellen einzutragen (sie ändern sich häufig, die Einträge werden nur bei einer aktiven VPN-Sitzung benötigt, wie zur Hölle kommt VPN-Verkehr vom VPN-Server zum VPN-Client?!), werden den VPN-Clients IP-Adressen aus Netzen zugewiesen, die der Abteilung Informatik "bekannt sind".
@ -187,7 +195,6 @@ Die Protokolle des VPN-Servers sollen im Kontext der DSGVO keine personenbezogen
Betrieb: Wartbarkeit erhöhen, indem existierende Konzepte des IT-Teams zum Betrieb von Servern berücksichtigt werden.
\end{draft}
\section{Konzept der Benutzerverwaltung} \label{sct:user_concept}