Kontrolle des verschlüsselten Datenverkehrs
Die Übertragung vertraulicher Daten mittels HTTPS Protokoll über Internet nimmt zu. Die Vorteile der Verschlüsselung sollten aber nicht über bestehende Gefahren hinweg täuschen.
Bei seiner Einführung hatte SSL das Ziel, die Integrität von Datenübertragungen mit Verschlüsselung, Authentifizierung und Message Authentication Codes zu gewährleisten. HTTPS wird allerdings durch einige Eigenschaften zum Angriffspunkt für Hacker, Viren und unbedarfte Mitarbeiter. Schließlich gelangen verschlüsselte Dateien ungefiltert ins Unternehmensnetz, weil sie jede Firewall und jeden Virenscanner umgehen. Content Security Management (CSM) muss daher auch SSL-Verbindungen abdecken.
Sicherheitsrisiko HTTPS
Viren-Scans und Content Filtering können nicht auf verschlüsselte Inhalte angewendet werden. Mitarbeiter können mittels Verschlüsselung unbemerkt die Sicherheitsvorkehrungen ihres Netzes umgehen. Auf diese Weise gelangen Inhalte unbemerkt ins Unternehmen und vertrauliche Daten werden aus dem Unternehmen herausgeschleust.
Zertifikate sind ein weiterer Aspekt von SSL, der Unwägbarkeiten birgt. Sie können gestohlen, gefälscht, abgelaufen oder widerrufen sein. Für Hacker ist es bei vielen populären Browsern ein Leichtes, falsche Zertifikate einzubauen, mit denen Dritte „vertrauenswürdige“ Verbindungen durch das Unternehmensnetz etablieren können. In Firmen ohne umfassende Content Protection für SSL entscheiden die Mitarbeiter ob ein Zertifikat vertrauenswürdig ist. Hierzu fehlt ihnen jedoch meist die Qualifikation. Legitim erscheinende Zertifikate können ohne große Probleme von Kriminellen erworben werden und genügen, Web-Benutzer von der scheinbaren Sicherheit eines Internet-Auftritts zu überzeugen.
Da es bisher nur wenige Lösungen gibt, können Administratoren den Sicherheitsgefahren durch HTTPS kaum begegnen. Einige Unternehmen haben sich entschieden, auf SSL zu verzichten. Andere Unternehmen haben die Risiken von SSL erkannt und sperren das Protokoll – allerdings nicht konsequent. Stattdessen versuchen sie, dem Problem durch ungeeignete Maßnahmen zu begegnen, beispielsweise durch das Blockieren von URLs. Viele größere Unternehmen müssen jedoch mit SSL arbeiten, um konkurrenzfähig zu bleiben. Sie sind auf Anwendungen wie Clientless VPNs, eProcurement und Web-Services angewiesen.
Der Gefahr entgegentreten
Solange die Unternehmen nicht in der Lage waren, HTTPS zu filtern, mussten sie sich damit abfinden, unzureichend gerüstet zu sein. Die ideale Verfahrensweise ist allerdings offensichtlich: Würden SSL-Inhalte übergangsweise entschlüsselt, könnte man herkömmliche Web Filter auf den Inhalt anwenden. Eine SSL-Filter-Lösung sollte sich durch folgende, wichtige Eigenschaften auszeichnen.
Gateway Antivirus Scanning: ist von Bedeutung, da Viren und Malicious Mobile Code aufgehalten werden, bevor sie in Ihr Netzwerk eintreten. Erfahrene Administratoren wissen, das Desktop-Antiviren-Filter nicht immer auf dem letzten Stand sind, so dass die Virenabwehr an der Frontlinie besonders wichtig ist. Wenn HTTPS am Gateway entschlüsselt und gefiltert wird, erhalten Unternehmen für HTTPS den gleichen Schutz, der für HTTP verfügbar ist.
Media Type Filter: Viele Unternehmen möchten Richtlinien für Media File Sharing (mp3), das Herunterladen von ausführbaren Dateien und das Versenden von vertraulichen Dokumenten, Tabellen und Datenbank-Dateien durchsetzen. Verschiedene Sicherheitslösungen bieten diese Kontrollmöglichkeit für HTTP. Indem mittels SSL Scanner jetzt auch HTTPS-Daten zuerst entschlüsselt werden, können Unternehmen eine Vielzahl von Kanälen kontrollieren, durch die solche Dateien und Medientypen bisher ungeprüft in ihr Netzwerk eintraten oder versendet wurden.
Zertifikatsverwaltung: Die meisten Unternehmen prüfen Partner, mit denen sie offline Geschäfte betreiben, sehr genau. Inhärente Schwächen im Zertifikatsaustauschprozess von SSL erschweren dieses jedoch, wenn Transaktionen online geschehen sollen. Eine zentrale Zertifikatsrichtlinie am Gateway nimmt die Last der Entscheidung von den Mitarbeitern und erlaubt es den Administratoren, eine Zertifikatsrichtlinie aus einem Guss durchzusetzen.
Content-Filtering: Um Bandbreite einzusparen oder Vertraulichkeit zu garantieren, bieten sich eine Handvoll Produkte an, mit denen „Lauschangriffe“ wie Banner-Werbung oder Pop-Ups abgewehrt werden können. Wie bei den Media-Type-Filtern können diese Maßnahmen jedoch nicht auf verschlüsselte Web-Daten angewendet werden. Da der Anteil von Inhalten im Verhältnis zu Transaktionen, die über SSL durchgeführt werden, inzwischen fast gleich ist, werden Bandbreite und Privacy-Filter für HTTPS von derselben Bedeutung sein, wie dies für HTTP der Fall ist.
URL-Blocking: Da URL-Pfade in verschlüsselten Web-Inhalten versteckt sind, können URL-Blocking-Systeme keinerlei Richtlinien durchsetzen, die über die Host-Levels hinausgehen. Dadurch bleiben unzählige nicht-geschäftsrelevante Sites für interessierte Mitarbeiter verfügbar. Durch Entschlüsselung werden solche Pfade sichtbar gemacht und somit Unternehmen in die Lage versetzt, ihre Internet-Benutzungsrichtlinien konsistent auf alle Web-Inhalte anzuwenden.
Effektive Kontrolle durch SSL Scanning am Gateway
Zukunftsweisend ist hingegen ein zweigleisiges Verfahren, mit dem der SSL-Verkehr gesichert und volle Kontrolle über HTTPS-Inhalte erlangt werden kann. SSL Scanner ermöglichen es dem Kunden sofort, alle verfügbaren Filter auf HTTPS-Verkehr auszudehnen. Im Idealfall bildet das Modul der Entschlüsselungsrichtlinie den Kern des Produktes. Dadurch wird gewährleistet, dass herkömmliche Content- und Security-Filter auf ursprünglich verschlüsselte Inhalte angewendet werden können. Dies funktioniert nicht nur mit Antivirus- und Content Security-Filtern, sondern kann über die bewährte ICAP-Schnittstelle an jedes ICAP-fähige Drittprodukt ausgelagert werden. Dabei sollte die Entschlüsselung direkt am Gateway geschehen. Dieses wird durch eine zertifikatsbasierte Koordination der Browser der Mitarbeiter mit dem Unternehmens-Gateway, beziehungsweise am Proxy, ermöglicht.
Die Zertifikatsrichtlinien des SSL Scanners erlauben es Administratoren, ihren Mitarbeitern die Entscheidung über die Vertrauenswürdigkeit abzunehmen. Darüber hinaus wird ein zentralisiertes Verfahren ermöglicht, mit dem Zertifikate am Gateway akzeptiert werden können. Administratoren können eine unternehmensweite Richtlinie aufstellen, welche die Vertrauenswürdigkeit einzelner Zertifikate definiert.
Drei Instanzen interagieren bei der Entschlüsselung
Die Fähigkeit HTTPS-Inhalte zu entschlüsseln, stützt sich auf die Interaktion zwischen drei Instanzen, die mit Kommunikation befasst sind: den Client-Browser, das Gateway Proxy und die Website. Dieser Dialog ähnelt einem „Mittelsmann“-Szenario, ist aber einzigartig, da die Behandlung verschlüsselter Inhalte vollständig innerhalb des geschützten Unternehmensnetzwerks stattfindet. Aus Sicherheitsgründen wird jegliches Filtern innerhalb der Demilitarized Zone (DMZ) des Netzes durchgeführt. Die Daten werden danach sofort wieder verschlüsselt, um eine sichere Passage durch das Netz zum Browser des Mitarbeiters zu gewährleisten.
Die Architektur, die für SSL-Scanner empfohlen wird, zielt darauf ab, die Integrität ursprünglich verschlüsselter Daten für den Zeitraum, in dem sie unverschlüsselt sind, zu garantieren. In den meisten Szenarien geschieht der Austausch zwischen HTTPS Proxy und der Filter Engine ausschließlich im Hauptspeicher, auf einem einzigen Rechner. Somit sind zu keiner Zeit entschlüsselte Inhalte abgreifbar.
Zusammenfassung
Die ungeschützte Verwendung von HTTPS innerhalb des Unternehmens ist sehr riskant. Vorhandene Tools, wie URL Blocking oder Desktop-Antiviren-Programme können nur wenig zur Sicherheit von SSL beitragen. Nur wenn Unternehmen mit verschlüsselten Daten genauso verfahren, wie mit unverschlüsselten, kann eine schlüssige und konsequente Internet-Nutzungsrichtlinie durchgesetzt und gelebt werden. SSL Scanner ermöglichen dies und steigern damit die Effizienz eines vorhandenen Content Security Tools enorm.
© 2012 FEiG & PARTNER