Firewall-Sicherheit nach

Wer eine Firewall vom Bundesamt für Sicherheit in der Informationstechnik (BSI) nach ITSEC zertifizieren lassen möchte, sollte nicht auf Geschenke hoffen. Der Evaluierungsprozess erfordert Zeit, Geduld und jede Menge Ausdauer. Denn eine solche Prüfung ist sehr umfangreich und langwierig, bis nach intensiver Bewertung der informationstechnischen Systeme oder Komponenten ein Sicherheitszertifikat erteilt wird. Die Zertifizierungsphase für das Firewall-System GeNUGate lief von Oktober 1999 bis März 2002 und fand entwicklungsbegleitend statt, sodass die aktuelle Release 4.0 die mit "E3 hoch" zertifizierte Version ist.

----------Anfang Textkasten----------

ITSEC

Die Information Technology Security Evaluation Criteria (ITSEC) sind ein internationales Standardverfahren zur Evaluierung von IT-Sicherheitssystemen. Vor allem in Europa ist es seit Anfang der 90er-Jahre etabliert. Den Grad des Vertrauens in die korrekte Implementierung der sicherheitsspezifischen Funktionen und Mechanismen spiegelt die Evaluationsstufe wider. Insgesamt existieren sechs Evaluationsstufen von E1 (unzureichendes Vertrauen) bis E6 (höchste Stufe des Vertrauens).

Die Hauptunterschiede zwischen den Stufen: Je höher die Stufe, desto umfangreicher sind die zusätzlichen Anforderungen an die Überprüfung des Entwicklungsprozesses. Die Stufe E3 erfordert beispielsweise eine detaillierte Designdokumentation, die Offenlegung des Quellcodes und den Nachweis der definierten Sicherheitsfunktionen und -mechanismen im Detail durch automatisierte Tests.

Kritische Sicherheitsmechanismen, also diejenigen, deren Versagen eine Sicherheitslücke hervorrufen würden, müssen hinsichtlich ihrer Fähigkeit bewertet werden, einem direkten Angriff zu widerstehen. Für die Stärke der einzelnen Sicherheitsmechanismen und das Vertrauen in ihre Wirksamkeit sind die Stufen "niedrig", "mittel" oder "hoch" definiert.

Wird die Mindeststärke aller kritischen Sicherheitsmechanismen einheitlich mit "hoch" bewertet, bedeutet dies, dass sie nur von Angreifern überwunden werden können, die über sehr gute Fachkenntnisse, Gelegenheiten und Betriebsmittel verfügen. Ein solcher Angriff wird normalerweise als "nicht durchführbar" beurteilt.

In welcher Stufe ein Produkt zertifiziert werden soll, entscheidet der Hersteller. Ob es in der gewünschten Stufe tatsächlich zertifiziert wird, legt jedoch schlussendlich die prüfende Stelle fest. Ohne Hersteller-Aussage über die zertifizierten Funktionen ist eine Beurteilung der Qualität nicht möglich. Die Zertifizierungsstelle bestimmt daraufhin, ob die definierten Sicherheitsfunktionen sinnvoll und ausreichend für ein Zertifikat einer bestimmten Kategorie sind.

----------Ende Textkasten----------

Ein ITSEC-Zertifikat dokumentiert, dass die Sicherheitsaussagen des Herstellers über sein Produkt korrekt und zutreffend sind. GeNUA hatte sich für die ITSEC-Stufe E3 entschieden, da dies die erste Stufe ist, bei der im Laufe der Zertifizierung der sicherheitsrelevante Quellcode zur Einsicht bereit gestellt wird, um unmittelbar die Wirksamkeit der Sicherheitsmechanismen zu überprüfen. Außerdem erschien dies als die höchste Stufe, unter der ein komplexes System wie eine Firewall mit einem vertretbaren Aufwand zertifiziert werden kann.

Das Komplettsystem GeNUGate beherbergt sowohl einen Paketfilter als auch ein Application-Level-Gateway.

Das Komplettsystem GeNUGate wurde bis in die Schnittstellen zum Betriebssystem zertifiziert. Dies ist besonders aufwändig, da das System nicht aus einer einzelnen, sondern aus zwei hintereinander geschalteten Firewalls besteht: einem Paketfilter und einem Applicationlevel-Gateway. Beide Firewalls wurden in der Zertifizierung berücksichtigt, die vom Hersteller definierten Sicherheitsziele durch eine Analyse ihrer möglichen Bedrohungen ergänzt. Aus diesen beiden Komponenten wurden Sicherheitsfunktionen gefolgert, um die Ziele trotz der Bedrohungen zu erreichen. Während der Zertifizierungsphase überprüft die evaluierende Stelle, ob diese Sicherheitsfunktionen durch die Implementierung korrekt, vollständig und konsistent umgesetzt werden.

Sicherheitsziele

Anders als bei einer Zertifizierung nach Common Criteria (CC) legt bei ITSEC alleine der Hersteller fest, welche Sicherheitsziele verfolgt werden. Daher ist ein ITSEC-Zertifikat nur aussagekräftig, wenn der Hersteller sowohl Sicherheitsziele als auch -funktionen veröffentlicht, damit sich der Interessent ein sinnvolles Bild vom Ausmaß der Zertifizierung verschaffen kann. Für das BSI war außerdem wichtig, dass Angriffe nachverfolgt und analysiert werden können. GeNUA hat folgende Sicherheitsziele für GeNUGate definiert:

Datenflusskontrolle

Die Firewall kontrolliert den Datenfluss auf Paketebene zwischen den angeschlossenen Netzen. Dies geschieht einerseits auf Netzwerkebene (IP), beispielsweise zur Abwehr von IP-Spoofing oder Source-Routing, andererseits auf Transportebene (TCP, UDP), wobei auch die Applikationsprotokolle auf aktive Inhalte, Viren, Spam, JavaScript usw. überprüft werden.

Selbstschutz

Das Firewallsystem schützt selbst sich vor Angriffen mit dem Ziel unbefugter Änderung.

Beweissicherung

Die Firewall protokolliert sicherheitsrelevante Ereignisse, die online analysiert werden. Der Administrator wird durch die Online-Analyse auf besondere Vorfälle hingewiesen und kann sofort Gegenmaßnahmen ergreifen.

Bedrohungen

Nach der Formulierung der Sicherheitsziele galt es, mögliche Bedrohungen festzulegen, denen die Firewall im täglichen Einsatz ausgesetzt ist und die die Sicherheitsziele in Frage stellen.

Angriffe auf IP-Ebene

Ein externer Angreifer versucht, IP-Pakete zwischen den angeschlossenen Netzen zu übertragen, um auf Daten oder Ressourcen der Rechner des internen oder des Secure-Server-Netzes (DMZ) lesend, schreibend oder ausführend zuzugreifen. Hierzu gehören Angriffe wie IP-Spoofing, Source-Spoofing, Destination-Spoofing, Source-Routing, IP-Pakete mit falschen Parametern und ICMP-Angriffe.

Umgehung der Sicherheitspolitik

Ein Angreifer aus dem externen Netz, dem Secure-Server-Netz oder dem internen Netz benutzt Dienste des Firewallsystems, um im Normalbetrieb auf Daten oder Ressourcen der Rechner des internen oder SecureServer-Netzes lesend, schreibend oder ausführend zuzugreifen.

Direkte Angriffe auf das Firewallsystem

Veränderung der Firewall-Konfiguration

Hierbei geht es um die Absicht, für den Angreifer nicht-erlaubte Zugriffe zu ermöglichen: Solche Angriffe können von außen aus den angeschlossenen Netzwerken durchgeführt werden.

Verschleierung des Angriffs

Wenn ein Angreifer die Protokollierung seines Zugriffes verhindert, kann man nachträglich nicht mehr festgestellen, ob ein Angriff erfolgt ist und wie er durchgeführt wurde.

Denial-of-Service-Attacke

Angriffsziel ist bei Firewalls die Protokollierung. Wenn durch kompletten Ressourcenverbrauch keine Protokollierung mehr möglich ist, kann der Angriff verschleiert werden.

Angriffe auf ein nicht gehärtetes System

Im Wartungsmodus sind die Schutzmechanismen schwächer, da geschützte Dateien modifiziert werden können. Wenn ein Angreifer in diesem Modus IP-Pakete an die Firewall schicken könnte, wäre das System vor Angriffen weitgehend ungeschützt.

Ausnutzung von Protokollschwachstellen und Fehlimplementierungen beim Client

Hierbei handelt es sich um Angriffe auf Applikationsebene. Vom Teilnehmer werden bekannte Schwachstellen der eingesetzten Protokolle oder solche Schwachstellen beim Client ausgenutzt, die aus fehlerhaft implementierten Protokollen resultieren.

Unbefugte Administration

Ein Teilnehmer administriert unautorisiert unter Überschreitung der ihm gewährten Zugriffsrechte.

Schematischer Aufbau eines GeNUGate-Firewallsystems: Im Application-Level-Gateway (ALG) sind separate Interfaces für ein Secure-Server- und ein Administrations-Netzwerk vorgesehen.

Sicherheitsfunktionen

Um den genannten Bedrohungen effizient entgegenzuwirken, sind so genannte Sicherheitsfunktionen zu implementieren. GeNUGate sieht folgende zertifizierungsrelevante Sicherheitsfunktionen vor:

Datenflusskontrolle auf Paket-Ebene

Jedes verarbeitete Paket wird einer Kontrolle auf Netzwerkebene (IP) und Transportebene (TCP, UDP, ICMP und RawIP) unterzogen. Dazu dienen Informationen aus dem IP-Header und den Headern der Transportschicht-Protokolle.

Datenvermittlung nur über Proxies auf Applikationsebene

Jegliche Vermittlung von Nutzdaten ist über Proxies auf Applikationsebene realisiert. Es existieren applikationsspezifische Proxies für die Dienste WWW, HTTP, FTP, Telnet, SMTP, NNTP und POP, die das Applikationsprotokoll analysieren. Die Daten werden auf Format, Berechtigungen, Standard-Protokollbefehle usw. kontrolliert. Alle Proxies, die Daten im MIME-Format verarbeiten (SMTP, WWW, POP3 und NNTP), können den Datenstrom analysieren und entfernen auf Wunsch Daten mit bestimmten Content-Types oder aktive Inhalte. Außerdem gibt es generische Proxies für TCP und UDP. Diese vermitteln eine Verbindung zwischen Teilnehmern oder übertragen UDP-Pakete, ohne ein spezifisches Protokoll zu implementieren.

Identifikation der Teilnehmer vor einer Proxy-Nutzung

Die Identifikation der Teilnehmer erfolgt durch die Ermittlung der Absenderadresse. TCP-Verbindungen erkennt die Firewall beim Verbindungsaufbau. Bei UDP-Paketen wird jedes einzelne Paket identifiziert.

Verbindungsparameter prüfen

Absenderadresse und -Port, Empfängeradresse und -Port, Protokollart und Zeitstempel. Ist die Verbindung in den Systemeinstellungen nicht erlaubt, wird sie abgebrochen beziehungsweise ein UDP-Paket wird verworfen.

Authentifizierung der Teilnehmer

Einige Proxies besitzen eine Authentifizierungsmöglichkeit im anwendungsspezifischen Protokoll. Bei diesen Diensten ist die zu benutzende kryptographische Methode der Einsatzumgebung in den Systemparametern einstellbar.

Realisierung eingeschränkter Ablaufumgebungen

Alle Proxies, die Verbindungen oder Pakete von den angeschlossenen Netzwerken annehmen, arbeiten in einer eingeschränkten Ablaufumgebung (Sandbox). Sie verbirgt einen Großteil des Dateisystems und verhindert somit einen Zugriff auf Dateien außerhalb der eingeschränkten Ablaufumgebung.

Zugriffskontrolle auf Systemparameter

Vor der Benutzung der grafischen Bedienoberfläche müssen sich Administratoren durch Eingabe ihrer Benutzerkennung und ihrer Authentifizierungsinformationen identifizieren.

Dateisystemkontrollen

Statische Dateien werden durch Schalten eines Flags in einen Modus versetzt, der ein Modifizieren verhindert. Die Protokolldatei der Online-Analyse kann bei gesetztem Flag nur um neue Einträge erweitert werden – das Löschen von Einträgen ist dann nicht möglich.

Proxy-Nutzungsprotokoll

Die Proxies protokollieren jeden TCP-Verbindungsaufbau sowie die Einrichtung und den Abbau von UDP-Assoziationen.

Administrator-Aktivitäten protokollieren

Bei der Einstellung der Systemparameter durch die Bedienoberfläche protokolliert das System Benutzerkennung, Zeitstempel, Zugriffsart, aufgerufene Methode oder Funktion, betroffene Systemparameter und Resultate des Administrationsprozesses.

Regelverletzungen protokollieren

Auf Netzwerkebene werden alle IP-Pakete protokolliert, die nicht vermittelt werden, unberechtigt sind oder gegen Filterregeln verstoßen. Die Protokollinformationen enthalten mindestens die Verbindungsparameter und einen Zeitstempel.

Schutz der Protokollierung bei Ressourcenmangel

Ein drohender oder tatsächlicher Verlust von Protokolleinträgen durch Ressourcenmangel wird erkannt und veranlasst einstellbare Reaktionen. Möglich sind Alarmmeldung, Herunterfahren der Interfaces, Übergang in den Wartungsbetrieb oder Systemhalt.

Schutz der Protokollierung vor Ausfall

Ein Ausfall der Protokollierungseinheit oder der Online-Analyse wird erkannt, die Prozesse neu gestartet und das Ereignis dem Systemadministrator mitgeteilt. Falls die Protokoll- oder Analyseeinheit dauerhaft ausfallen sollten, wird eine einstellbare Aktion ausgeführt: Alarmmeldung, Herunterfahren der Interfaces, Übergang in den Wartungsbetrieb oder Systemhalt.

Daten zur Beweissicherung auswerten

Integrität der statischen Dateien überprüfen

Einmal täglich führt das System eine Überprüfung der statischen Dateien durch, indem es eine Prüfsumme berechnet und mit dem in einer Integritätsdatenbank gespeicherten Referenzwert vergleicht. Ein weiterer Abgleich findet zwischen den Zugriffsrechten sowie Benutzer- und Gruppenkennungen der Dateien und den gespeicherten Rechten und Kennungen in der Datenbank statt.

Sicherer Wiederanlauf

Beim Wiederanlauf werden im Wartungsbetrieb von den angeschlossenen Netzwerken eingehende IP-Pakete verworfen. Im Falle eines provozierten oder beabsichtigten Systemneustarts erfolgt kein automatischer Reboot: Der Systemadministrator muss an der Konsole eingreifen.

Konzept

Nach der Definition der Sicherheitsfunktionen muss der Hersteller die genaue Konzeption des Systems vorlegen. Hierzu gehören zum Beispiel ein Architektur- und ein Feinentwurf. Zudem checkt die Evaluierungsstelle Begleitumstände, beispielsweise die Sicherheit beim Entwickler. Bei GeNUA wurde im Rahmen der Zertifizierung das gesamte interne Netzwerk umstrukturiert und in sieben getrennte Sicherheitszonen mit exakt definierten Zugriffsrechten unterteilt. Sicherheitsrichtlinien und Arbeitsplatzrichtlinien gehörten ebenso zum Gesamtbild wie die Prüfung der Dokumentation.

Einen besonders wichtigen Teil der Zertifizierung stellen die formalen Tests dar. Der Hersteller leitet hierzu Sicherheitsmechanismen ab, welche die Einhaltung der Sicherheitsfunktionen gewährleisten sollen – bei der GeNUGate waren es etwa 150 Mechanismen. Für jeden ist mindestens ein Test zu programmieren, der die Einhaltung des Mechanismus prüft. Für die Überprüfung der GeNUGate-Mechanismen wurden insgesamt etwa 330 Tests programmiert, weitere 320 für die Überprüfung zusätzlicher Funktionen. Die Durchführung dieser Tests lief in Anwesenheit des Prüflabors und des BSI.

Fazit

Solide, läuft stabil, hat ein wohl durchdachtes Systemdesign und erfüllt höchste Sicherheitsstandards – so oder so änhlich klingen Herstellerversprechen für Firewalls. Wenn die Umsetzung von festgelegten Sicherheitsfunktionen durch eine unabhängige Stelle umfangreich getestet wurde, ist auch gewährleistet, dass die Aussagen des Herstellers zutreffen. Die Vorlage des Quellcodes schließt Hintertüren aus. Bei einem zertifizierten Komplettsystem kann zudem die Sicherheit des Systems nicht durch Schnittstellenprobleme – etwa zwischen Betriebssystem und Firewallsoftware – beeinträchtigt werden.

Dr. Magnus Harlander ist technischer Geschäftsführer der Gesellschaft für Netzwerk- und UNIX-Administration mbH, GeNUA, in Kirchheim bei München.

Systeme und ihr Umfeld

Evaluierung

Firewall-Sicherheit nach ITSEC

Von Magnus Harlander, Kirchheim