JPT
/
masterthesis
0
0
Fork 0
Code Issues Pull Requests Activity

Some more words

This commit is contained in:
Jan Philipp Timme 2018-11-04 21:17:03 +01:00
parent 675bfc67d6
commit f223f123fd
1 changed files with 6 additions and 6 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

12
MA-Inhalt.tex
View File

@ -629,7 +629,7 @@ Auf der DEFCON~26 wurde mit \enquote{VORACLE} ein in diesem Kontext relevanter A
Wie in Kapitel~\ref{ssct:openvpn} bereits erläutert wurde, unterscheidet OpenVPN bei der Kommunikation zwischen zwei OpenVPN-Prozessen zwischen Datenkanal für Nutzdaten und Kontrollkanal für Steuernachrichten.
Während OpenVPN im TLS-Modus über den Kontrollkanal den TLS-Sitzungsaufbau durchführt und den Kontrollkanal anschließend über TLS absichert, wird für den Datenkanal eine separat konfigurierbare, symmetrische Chiffre verwendet.
Das gemeinsame Geheimnis für den Schutz des Datenkanals wird dabei über den durch TLS geschützten Kontrollkanal ausgetauscht.
Mit den in diese Absatz definierten Parametern soll die Kommunikation zwischen Clients und Server unabhängig von den verwendeten Betriebssystemen einheitlich geschützt werden.
Mit den in diesem Absatz definierten Parametern soll die Kommunikation zwischen Clients und Server unabhängig von den verwendeten Betriebssystemen einheitlich geschützt werden, da die Vertraulichkeit und Authentizität der übertragenen Daten nach Anforderung~\ref{req:traffic} eine Kernfunktion dieses VPN-Dienstes darstellt.
Die TLS-Kommunikation wird nach Empfehlung des BSI über TLS-Version~1.2 oder höher durchgeführt \cite[][Abschnitt 2.3]{bsi:tls-checkliste}.
Zur Absicherung des Kontrollkanals wird die TLS-Chiffre TLS-DHE-RSA-WITH-AES-256-GCM-SHA384 ausgewählt.
@ -661,17 +661,17 @@ Der logische Schluss daraus ist die Verwendung der selben Chiffre zur Verschlüs
Damit alle VPN-Sitzungen die zuvor erläuterten, kryptografischen Parametern einhalten, werden diese Parameter in Client- und Serverkonfiguration hinterlegt.
OpenVPN unterstützt die Aushandlung der verwendeten TLS-Chiffre für den Kontrollkanal, sowie der Chiffre für den Datenkanal.
Die für den HMAC verwendete Pseudozufallsfunktion kann zum aktuellen Zeitpunkt (04.11.2018) jedoch nicht ausgehandelt werden.
Müssen die kryptografischen Parameter ausgetauscht werden, so besteht die Gefahr, dass die Funktion für den HMAC übersehen wird.
Müssen die kryptografischen Parameter ausgetauscht werden, so besteht die Gefahr, dass die in der Clientkonfiguration festgelegte Funktion für den HMAC vergessen wird.
Die flexible Aushandlung der Chiffren kann unsichere VPN-Sitzungen durch Fehlkonfigurationen auf Client und Server begünstigen, weshalb auf die Aushandlung von Chiffren explizit verzichtet wird.
Eine sichere VPN-Sitzung kommt somit nur bei korrekter Konfiguration von Client und Server zustande.
Potentielle Konfigurationsfehler auf Client oder Server bleiben somit nicht unbemerkt, sondern fallen durch Fehler beim Sitzungsaufbau auf.
Potentielle Konfigurationsfehler bei Client oder Server verhindern den Sitzungsaufbau und werden dadurch sichtbar.
Sollten die hier gewählten, kryptografischen Parameter (einzeln oder insgesamt) nicht mehr als sicher gelten, so sollen \textbf{alle} kryptografischen Parameter nach aktuellem Stand der Technik und unter Berücksichtigung der verschiedenen Clientbetriebssysteme neu ausgewählt werden.
In diesem Zug ist es notwendig, alle VPN-Benutzer über die Änderungen der Parameter zu benachrichtigen und eine aktuelle Vorlage für die OpenVPN-Clientkonfiguration bereitzustellen.
Dabei müssen alle VPN-Benutzer über die Änderung der Parameter benachrichtigt werden.
Die Aktualisierung der Vorlage für die OpenVPN-Clientkonfiguration ist ebenfalls notwendig.
Der damit verbundene Arbeitsaufwand ist akzeptabel, weil alle kryptografischen Parameter für eine Laufzeit von 20 Jahren gewählt wurden, und die Eintrittswahrscheinlichkeit dieses Falls somit als gering eingeschätzt wird.
Es sollen Routen in Netze gepusht werden; es sollen Routen aus dem alten VPN-Dienst übernommen werden für die Aufwärtskompatibilität; IPV6-Netze sollen dann hinzugefügt werden.