Richtlinien zum Betrieb von VPN-Servern

Mithilfe von Virtuellen Privaten Netzen (VPNs) k?nnen Sicherheitsma?nahmen realisiert werden, um schutzbedürftige Daten über nicht-vertrauenswürdige Netze wie das Internet zu übertragen. Ein VPN ist ein Netz, das physisch innerhalb eines anderen Netzes, wie beispielsweise des Internets, betrieben wird, jedoch logisch von diesem Netz getrennt ist. VPNs k?nnen mithilfe kryptografischer Verfahren die Integrit?t und Vertraulichkeit von Daten schützen. Die sichere Authentisierung der Kommunikationspartner ist auch dann m?glich, wenn mehrere Netze oder Rechner über gemietete Leitungen oder ?ffentliche Netze miteinander verbunden sind.

Planung des Einsatzes von VPN-Servern

Für den Betrieb eines VPN-Servers ist vorab ein VPN-Konzept zu erstellen. Folgende Punkte sind dabei zu beachten:

Nutzungsszenario für den VPN-Server
Festlegung der Informationen, die übertragen werden dürfen
Schutzbedarf der VPN-Komponenten
Festlegung der Benutzer nebst Zugangs- und Zugriffsberechtigungen
Betriebsdokumentation
Verantwortlichkeiten für den VPN-Server
Verfügbarkeit
Beschr?nkung der Netze
Auswahl der genutzten Applikationen und -protokolle
Bandbreite und Verz?gerung
Geographische Beschr?nkungen
Voraussetzungen für den Einsatz eines VPN-Clients auf einem Arbeitsplatz

Betrieb von VPN-Servern

Installation und Betrieb von VPN-Komponenten für die Einwahl in das Datennetz der Otto-Friedrich-Universit?t Bamberg liegen in der Verantwortung des IT-Service.

Organisationseinheiten (OE) k?nnen für die Einwahl in eines der OE zugeordneten Subnetzes separate VPN-Server betreiben. Nach VPN-Einwahl müssen die Zugriffsm?glichkeiten hierbei auf Informationen, die innerhalb des Subnetzes der OE liegen, eingeschr?nkt werden.

Der Betrieb von pers?nlichen VPN-Servern ist nicht gestattet.

Grundlegende Anforderungen für den Betrieb

Die folgenden Anforderungen entsprechen dem Stand der Technik im Bereich VPN.

Planung des VPN-Einsatzes

Vor der Einführung eines VPNs muss eine sorgf?ltige Planung erfolgen. Dabei müssen die Verantwortlichkeiten für den VPN-Betrieb festgelegt werden. Es müssen zudem für das VPN Benutzergruppen und deren Berechtigungen geplant werden. Ebenso muss definiert werden, wie erteilte, ge?nderte oder entzogene Zugriffsberechtigungen zu dokumentieren sind.

Sichere Installation von VPN-Endger?ten

Das zugrundeliegende Betriebssystem der VPN-Plattform muss sicher konfiguriert werden. Wird eine Appliance benutzt, muss es dafür einen gültigen Wartungsvertrag geben. Es muss sichergestellt werden, dass nur qualifiziertes Personal VPN-Komponenten installiert. Die Installation der VPN-Komponenten sowie eventuelle Abweichungen von den Planungsvorgaben sollten dokumentiert werden. Die Funktionalit?t und die gew?hlten Sicherheitsmechanismen des VPN müssen vor Inbetriebnahme geprüft werden.

Sichere Konfiguration eines VPNs

Für VPN-Clients, VPN-Server und VPN-Verbindungen muss eine sichere Konfiguration festgelegt werden. Diese sollte geeignet dokumentiert werden. Auch muss der zust?ndige Administrator regelm??ig kontrollieren, ob die Konfiguration noch sicher ist und sie eventuell für alle IT-Systeme anpassen.

Sperrung nicht mehr ben?tigter VPN-Zug?nge

Es muss regelm??ig geprüft werden, ob ausschlie?lich berechtigte IT-Systeme und Benutzer auf das VPN zugreifen k?nnen. Nicht mehr ben?tigte VPN-Zug?nge müssen zeitnah deaktiviert werden. Der VPN-Zugriff muss auf die ben?tigten Benutzungszeiten beschr?nkt werden.

Durchführung einer VPN-Anforderungsanalyse

Es sollte eine Anforderungsanalyse durchgeführt werden, um für das jeweilige VPN die Einsatzszenarien zu bestimmen und daraus Anforderungen an die ben?tigte Hard- und Software-Komponenten ableiten zu k?nnen. In der Anforderungsanalyse sollten folgende Punkte betrachtet werden:

Gesch?ftsprozesse,
Zugriffswege,
Identifikations- und Authentisierungsverfahren,
Benutzer und Benutzerberechtigungen,
Zust?ndigkeiten und
Meldewege.

Planung der technischen VPN-Realisierung

Neben der allgemeinen Planung sollten die technischen Aspekte eines VPNs sorgf?ltig geplant werden. So sollten für das VPN die Verschlüsselungsverfahren, VPN-Endpunkte, erlaubten Zugangsprotokolle, Dienste und Ressourcen festgelegt werden. Zudem sollten die Teilnetze definiert werden, die über das VPN erreichbar sind.

Erstellung einer Sicherheitsrichtlinie zur VPN-Nutzung

Es sollte eine Sicherheitsrichtlinie zur VPN-Nutzung erstellt und den Besch?ftigten bekannt gegeben werden. Die Sicherheitsma?nahmen sollten im Rahmen von Schulungen erl?utert werden. Wird einem Mitarbeiter oder einer Mitarbeiterin ein VPN-Zugang eingerichtet, sollte ihm oder ihr ein Merkblatt mit den wichtigsten VPN-Sicherheitsmechanismen ausgeh?ndigt werden. Alle VPN-Benutzerinnen und -Benutzer sollten verpflichtet werden, die Sicherheitsrichtlinien einzuhalten.

Geeignete Auswahl von VPN-Produkten

Bei der Auswahl von VPN-Produkten sollten die Anforderungen der Institutionen an die Vernetzung unterschiedlicher Standorte und die Anbindung mobiler Mitarbeiter- oder Telearbeits-Pl?tze berücksichtigt werden.

Die ausgew?hlten VPN-Produkte müssen grundlegende Sicherheitsfunktionen erfüllen:

Identifikation und Authentisierung von Systemen untereinander, von Systemen gegenüber Benutzern und von Benutzern gegenüber Systemen über ausreichend starke anerkannte Authentisierungsverfahren.
Der Remotezugriff sollte durch eine starke Authentisierung abgesichert werden.
Einstellungen für Dienstgüte (Quality of Service, QoS)

Weitere zu beachtende Aspekte:

Performance und Skalierbarkeit (u.a.: Erh?hung Leistung durch Clusterbildung)
Wartbarkeit (Herstellerunterstützung in Form von Hotlines, Wartungsvertrag mit festgelegten Reaktionszeiten, Softwareupdates)
Zuverl?ssigkeit/Ausfallsicherheit (u.a.: Hochverfügbarkeit)
Benutzerfreundlichkeit (u.a.: einfacher zu konfigurierender/benutzender VPN-Client)

Sicherer Betrieb eines VPNs

Für VPNs sollte ein Betriebskonzept erstellt werden. Darin sollten die Aspekte

Qualit?tsmanagement,
?berwachung,
Wartung,
Schulung,
Autorisierung,
Protokollierung von Zugriffen,
Inbetriebnahme von Ersatzsystemen,
Ma?nahmen bei Kompromittierung des VPN s.
und Verwaltung aller VPN-Komponenten

beachtet werden.

Sicherer Anbindung eines externen Netzes

Wird ein VPN benutzt, um ein externes Netz anzubinden, sollten dabei sicherere Authentisierungs- und Verschlüsselungsverfahren mit ausreichender Schlüssell?nge verwendet werden. Es sollte sichergestellt werden, dass VPN-Verbindungen nur zwischen den hierfür vorgesehenen IT-Systemen und Diensten aufgebaut werden.

Benutzer- und Zugriffsverwaltung bei Fernzugriff-VPNs

Für Fernzugriff-VPNs sollte eine zentrale und konsistente Benutzer- und Zugriffsverwaltung gew?hrleistet werden.

Weiterhin sollten die eingesetzten Server vor unbefugten Zugriffen geschützt sein.

Einsatz geeigneter Tunnel-Protokolle für die VPN-Kommunikation

Die benutzten kryptografischen Verfahren sollten dem Stand der Technik entsprechen. Au?erdem sollte sichergestellt sein, dass zwischen den beteiligten VPN-Komponenten geeignete kryptografische Verfahren definiert werden.

Beispiele für geeignete Tunnel-Protokolle
- TLS/SSL
  - Empfohlene Ciper-Suiten (vgl. BSI Technische Richtlinie TR-02102-2 (Technische Richtlinie TR-02102-2 Kryptographische Verfahren: Empfehlungen und Schlüssell?ngen Teil 2 – Verwendung von Transport Layer Security (TLS), Stand: 01/2018)
    - Ausschnitt:
      - Empfohlene Cipher-Suiten mit Perfect Forward Secrecy:
        TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256
        TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256
        TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384
        TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384
        TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256
        TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256
        TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384
        TLS_ECDH_RSA_WITH_AES_256_GCM_SHA38
        TLS_DH_DSS_WITH_AES_128_CBC_SHA256
        TLS_DH_DSS_WITH_AES_128_GCM_SHA256
        TLS_DH_DSS_WITH_AES_256_CBC_SHA256
        TLS_DH_DSS_WITH_AES_256_GCM_SHA384
        TLS_DH_RSA_WITH_AES_128_CBC_SHA256
        TLS_DH_RSA_WITH_AES_128_GCM_SHA256
        TLS_DH_RSA_WITH_AES_256_CBC_SHA256
        TLS_DH_RSA_WITH_AES_256_GCM_SHA384
- IPsec/IKEv2
  - Vgl. Technische Richtlinie TR-02102-3 (Kryptographische Verfahren: Empfehlungen und Schlüssell?ngen, Teil 3 – Verwendung von Internet Protocol Security (IPsec) und Internet Key Exchange (IKEv2), Stand: 01/2018)
- SSH
  - Vgl. Technische Richtlinie TR-02102-4 (Kryptographische Verfahren: Empfehlungen und Schlüssell?ngen Teil 4 – Verwendung von Secure Shell (SSH), Stand: 01/2018)

Integration von VPN-Komponenten in eine Firewall

Die VPN-Komponenten sollten in die Firewall integriert werden, damit der Datenverkehr wirksam kontrolliert und gefiltert werden kann. Es sollte dokumentiert werden, wie die VPN-Komponenten in die Firewall integriert sind.