Richtlinien zum Betrieb von VPN-Servern

Mithilfe von Virtuellen Privaten Netzen (VPNs) können Sicherheitsmaßnahmen realisiert werden, um schutzbedürftige Daten über nicht-vertrauenswürdige Netze wie das Internet zu übertragen. Ein VPN ist ein Netz, das physisch innerhalb eines anderen Netzes, wie beispielsweise des Internets, betrieben wird, jedoch logisch von diesem Netz getrennt ist. VPNs können mithilfe kryptografischer Verfahren die Integrität und Vertraulichkeit von Daten schützen. Die sichere Authentisierung der Kommunikationspartner ist auch dann möglich, wenn mehrere Netze oder Rechner über gemietete Leitungen oder öffentliche Netze miteinander verbunden sind.

Planung des Einsatzes von VPN-Servern

Für den Betrieb eines VPN-Servers ist vorab ein VPN-Konzept zu erstellen. Folgende Punkte sind dabei zu beachten:

Nutzungsszenario für den VPN-Server
Festlegung der Informationen, die übertragen werden dürfen
Schutzbedarf der VPN-Komponenten
Festlegung der Benutzer nebst Zugangs- und Zugriffsberechtigungen
Betriebsdokumentation
Verantwortlichkeiten für den VPN-Server
Verfügbarkeit
Beschränkung der Netze
Auswahl der genutzten Applikationen und -protokolle
Bandbreite und Verzögerung
Geographische Beschränkungen
Voraussetzungen für den Einsatz eines VPN-Clients auf einem Arbeitsplatz

Betrieb von VPN-Servern

Installation und Betrieb von VPN-Komponenten für die Einwahl in das Datennetz der Otto-Friedrich-Universität Bamberg liegen in der Verantwortung des IT-Service.

Organisationseinheiten (OE) können für die Einwahl in eines der OE zugeordneten Subnetzes separate VPN-Server betreiben. Nach VPN-Einwahl müssen die Zugriffsmöglichkeiten hierbei auf Informationen, die innerhalb des Subnetzes der OE liegen, eingeschränkt werden.

Der Betrieb von persönlichen VPN-Servern ist nicht gestattet.

Grundlegende Anforderungen für den Betrieb

Die folgenden Anforderungen entsprechen dem Stand der Technik im Bereich VPN.

Planung des VPN-Einsatzes

Vor der Einführung eines VPNs muss eine sorgfältige Planung erfolgen. Dabei müssen die Verantwortlichkeiten für den VPN-Betrieb festgelegt werden. Es müssen zudem für das VPN Benutzergruppen und deren Berechtigungen geplant werden. Ebenso muss definiert werden, wie erteilte, geänderte oder entzogene Zugriffsberechtigungen zu dokumentieren sind.

Sichere Installation von VPN-Endgeräten

Das zugrundeliegende Betriebssystem der VPN-Plattform muss sicher konfiguriert werden. Wird eine Appliance benutzt, muss es dafür einen gültigen Wartungsvertrag geben. Es muss sichergestellt werden, dass nur qualifiziertes Personal VPN-Komponenten installiert. Die Installation der VPN-Komponenten sowie eventuelle Abweichungen von den Planungsvorgaben sollten dokumentiert werden. Die Funktionalität und die gewählten Sicherheitsmechanismen des VPN müssen vor Inbetriebnahme geprüft werden.

Sichere Konfiguration eines VPNs

Für VPN-Clients, VPN-Server und VPN-Verbindungen muss eine sichere Konfiguration festgelegt werden. Diese sollte geeignet dokumentiert werden. Auch muss der zuständige Administrator regelmäßig kontrollieren, ob die Konfiguration noch sicher ist und sie eventuell für alle IT-Systeme anpassen.

Sperrung nicht mehr benötigter VPN-Zugänge

Es muss regelmäßig geprüft werden, ob ausschließlich berechtigte IT-Systeme und Benutzer auf das VPN zugreifen können. Nicht mehr benötigte VPN-Zugänge müssen zeitnah deaktiviert werden. Der VPN-Zugriff muss auf die benötigten Benutzungszeiten beschränkt werden.

Durchführung einer VPN-Anforderungsanalyse

Es sollte eine Anforderungsanalyse durchgeführt werden, um für das jeweilige VPN die Einsatzszenarien zu bestimmen und daraus Anforderungen an die benötigte Hard- und Software-Komponenten ableiten zu können. In der Anforderungsanalyse sollten folgende Punkte betrachtet werden:

Geschäftsprozesse,
Zugriffswege,
Identifikations- und Authentisierungsverfahren,
Benutzer und Benutzerberechtigungen,
Zuständigkeiten und
Meldewege.

Planung der technischen VPN-Realisierung

Neben der allgemeinen Planung sollten die technischen Aspekte eines VPNs sorgfältig geplant werden. So sollten für das VPN die Verschlüsselungsverfahren, VPN-Endpunkte, erlaubten Zugangsprotokolle, Dienste und Ressourcen festgelegt werden. Zudem sollten die Teilnetze definiert werden, die über das VPN erreichbar sind.

Erstellung einer Sicherheitsrichtlinie zur VPN-Nutzung

Es sollte eine Sicherheitsrichtlinie zur VPN-Nutzung erstellt und den Beschäftigten bekannt gegeben werden. Die Sicherheitsmaßnahmen sollten im Rahmen von Schulungen erläutert werden. Wird einem Mitarbeiter oder einer Mitarbeiterin ein VPN-Zugang eingerichtet, sollte ihm oder ihr ein Merkblatt mit den wichtigsten VPN-Sicherheitsmechanismen ausgehändigt werden. Alle VPN-Benutzerinnen und -Benutzer sollten verpflichtet werden, die Sicherheitsrichtlinien einzuhalten.

Geeignete Auswahl von VPN-Produkten

Bei der Auswahl von VPN-Produkten sollten die Anforderungen der Institutionen an die Vernetzung unterschiedlicher Standorte und die Anbindung mobiler Mitarbeiter- oder Telearbeits-Plätze berücksichtigt werden.

Die ausgewählten VPN-Produkte müssen grundlegende Sicherheitsfunktionen erfüllen:

Identifikation und Authentisierung von Systemen untereinander, von Systemen gegenüber Benutzern und von Benutzern gegenüber Systemen über ausreichend starke anerkannte Authentisierungsverfahren.
Der Remotezugriff sollte durch eine starke Authentisierung abgesichert werden.
Einstellungen für Dienstgüte (Quality of Service, QoS)

Weitere zu beachtende Aspekte:

Performance und Skalierbarkeit (u.a.: Erhöhung Leistung durch Clusterbildung)
Wartbarkeit (Herstellerunterstützung in Form von Hotlines, Wartungsvertrag mit festgelegten Reaktionszeiten, Softwareupdates)
Zuverlässigkeit/Ausfallsicherheit (u.a.: Hochverfügbarkeit)
Benutzerfreundlichkeit (u.a.: einfacher zu konfigurierender/benutzender VPN-Client)

Sicherer Betrieb eines VPNs

Für VPNs sollte ein Betriebskonzept erstellt werden. Darin sollten die Aspekte

Qualitätsmanagement,
Überwachung,
Wartung,
Schulung,
Autorisierung,
Protokollierung von Zugriffen,
Inbetriebnahme von Ersatzsystemen,
Maßnahmen bei Kompromittierung des VPN s.
und Verwaltung aller VPN-Komponenten

beachtet werden.

Sicherer Anbindung eines externen Netzes

Wird ein VPN benutzt, um ein externes Netz anzubinden, sollten dabei sicherere Authentisierungs- und Verschlüsselungsverfahren mit ausreichender Schlüssellänge verwendet werden. Es sollte sichergestellt werden, dass VPN-Verbindungen nur zwischen den hierfür vorgesehenen IT-Systemen und Diensten aufgebaut werden.

Benutzer- und Zugriffsverwaltung bei Fernzugriff-VPNs

Für Fernzugriff-VPNs sollte eine zentrale und konsistente Benutzer- und Zugriffsverwaltung gewährleistet werden.

Weiterhin sollten die eingesetzten Server vor unbefugten Zugriffen geschützt sein.

Einsatz geeigneter Tunnel-Protokolle für die VPN-Kommunikation

Die benutzten kryptografischen Verfahren sollten dem Stand der Technik entsprechen. Außerdem sollte sichergestellt sein, dass zwischen den beteiligten VPN-Komponenten geeignete kryptografische Verfahren definiert werden.

Beispiele für geeignete Tunnel-Protokolle
- TLS/SSL
  - Empfohlene Ciper-Suiten (vgl. BSI Technische Richtlinie TR-02102-2 (Technische Richtlinie TR-02102-2 Kryptographische Verfahren: Empfehlungen und Schlüssellängen Teil 2 – Verwendung von Transport Layer Security (TLS), Stand: 01/2018)
    - Ausschnitt:
      - Empfohlene Cipher-Suiten mit Perfect Forward Secrecy:
        TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256
        TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256
        TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384
        TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384
        TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256
        TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256
        TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384
        TLS_ECDH_RSA_WITH_AES_256_GCM_SHA38
        TLS_DH_DSS_WITH_AES_128_CBC_SHA256
        TLS_DH_DSS_WITH_AES_128_GCM_SHA256
        TLS_DH_DSS_WITH_AES_256_CBC_SHA256
        TLS_DH_DSS_WITH_AES_256_GCM_SHA384
        TLS_DH_RSA_WITH_AES_128_CBC_SHA256
        TLS_DH_RSA_WITH_AES_128_GCM_SHA256
        TLS_DH_RSA_WITH_AES_256_CBC_SHA256
        TLS_DH_RSA_WITH_AES_256_GCM_SHA384
- IPsec/IKEv2
  - Vgl. Technische Richtlinie TR-02102-3 (Kryptographische Verfahren: Empfehlungen und Schlüssellängen, Teil 3 – Verwendung von Internet Protocol Security (IPsec) und Internet Key Exchange (IKEv2), Stand: 01/2018)
- SSH
  - Vgl. Technische Richtlinie TR-02102-4 (Kryptographische Verfahren: Empfehlungen und Schlüssellängen Teil 4 – Verwendung von Secure Shell (SSH), Stand: 01/2018)

Integration von VPN-Komponenten in eine Firewall

Die VPN-Komponenten sollten in die Firewall integriert werden, damit der Datenverkehr wirksam kontrolliert und gefiltert werden kann. Es sollte dokumentiert werden, wie die VPN-Komponenten in die Firewall integriert sind.