Endgeräte und VPN-Techniken für sichere Verbindungen in die Cloud

Anbieter zum Thema

Fsas Technologies GmbH

Virtual Private Network für die Cloud

Virtuelle private Netzwerke (VPNs) ermöglichen mithilfe von Verschlüsselungstechniken, sichere Verbindungen auch über öffentliche Netzwerke aufzubauen. Dadurch bieten VPNs eine in der Regel angemessene Vertrauenswürdigkeit. Unternehmen können – auch in der Cloud – zwischen verschiedenen VPN-Implementierungen wählen, jede hat allerdings ihre Stärken und Schwächen, mit denen wir uns im Folgenden auseinandersetzen:

Die älteste VPN-Technik ist das Netzwerk-zu-Netzwerk-VPN. Mit dieser Architektur gehen aufgrund der Zahl der involvierten Hosts die größten Risiken einher. Für Client-Cloud-Verbindungen ist ein solches VPN weniger geeignet, wohl aber innerhalb der Cloud, insbesondere bei der Anbindung von Server-Farmen oder -Mashups.

Wie bereits erwähnt, stellt der Network-to-Network-Ansatz einige Herausforderungen bezüglich der Sicherheit. Die Möglichkeit, sich unerkannt über einen verschlüsselten Tunnel mit den involvierten Hosts zu verbinden, wird bei jedem potentiellen Hacker für einen Motivationsschub sorgen.

Wird auch nur ein Bestandteil der Cloud kompromittiert, muss man davon ausgehen, dass auch alle per Netzwerk-zu-Netzwerk-VPN angebundenen Komponenten gefährdet sind. Ein Angreifer könnte somit diverse Services und Hosts dazu nutzen, sensible Daten auszuspähen und abzufangen. Netzwerk-zu-Netzwerk-VPNs bietet zwar hinter dem Entschlüsselungspunkt eine gute Transparenz und Kontrolle, die Daten sind bis zum Erreichen der Endpunkte aber naturgemäß nicht ausreichend geschützt.

Ein weiteres hausgemachtes Problem besteht darin, dass die Kunden eines Cloud-Providers nicht wissen (können), welche Komponenten an die Cloud angeschlossen und möglicherweise gefährdet sind. Hier greift das sogenannte „Reverse Darwinism“-Prinzip, nach dem selbst ein sicher konfiguriertes Netzwerk nur die Sicherheit bietet, die ein angebundenes, möglicherweise schlechter geschütztes Netzwerk bereitstellt.

Die zweite VPN-Option fürs Cloud Computing ist das Single-Host-to-Server-VPN auf Grundlage des Point-to-Point Tunneling Protocol (PPTP). Dabei wird ein verschlüsselter VPN-Tunnel zwischen Client und Host aufgebaut, über den verschiedenste Dienste laufen. Wie beim Netzwerk-zu-Netzwerk-Ansatz werden die Verbindungen hierbei in der Regel auf der Vermittlungsschicht (Layer 3 des OSI-Referenzmodells) aufgebaut. Demzufolge ergeben sich auch ähnliche Sicherheitsprobleme.

Vorteile eines Single-Service-VPN

Aus den genannten Gründen entscheiden sich die meisten Cloud-Provider für ein Service-to-Host-Modell via SSH, SSL oder einem anderen Service. Auch dieser Ansatz hat unweigerlich seine Schwächen. Allerdings lässt sich durch ein solches Single-Service-VPN wenigstens die Größe der Zugriffsbereiche auf ein Minimum beschränken. Gleichzeitig ist es deutlich einfacher, einen gewissen Sicherheitsstatus einzuhalten und diesen zu kontrollieren.

Das Service-to-Host-Modell bietet die Möglichkeit, eine komplette Sitzung zu überwachen. Der Cloud Provider kann beispielsweise Logging Software und weitere Sicherheitsmechanismen in die Cloud-Computing-Infrastruktur integrieren. Derartige Mechanismen hängen aber zwangsweise vom bestehenden Sicherheitsmodell des Cloud Providers ab.

Aus Compliance-Gründen dürfen Logging und Event Monitoring allerdings in vielen Unternehmen nicht fehlen. Deshalb sollte vor einem Vertragsabschluss mit dem Provider geklärt werden, welche Prozesse und Vorkommnisse überwacht sowie in Logs und Reportings festgehalten werden. Bietet der Provider hinsichtlich der Reportings nicht die gewünschte Granularität und Tiefe, sollte man sich nach einem alternativen Anbieter umsehen.

Der Gebrauch von Single-Service-VPN-Zugriffen auf die Cloud gilt gemeinhin als der sicherste Ansatz und kann die Angriffspunkte sowohl auf dem Client als auch auf dem Sever auf ein Minimum reduzieren. Der Auftraggeber sollte bezüglich der Cloud-Architektur seines Providers aber immer auf dem Laufenden bleiben, die fortschreitende Technik im Auge behalten und so viele Aspekte seines eigenen Sicherheitsmodells wie möglich auch in der Cloud abbilden können.

Nachdem wir nun die Herausforderungen kennen, die mit bestimmten Geräten und VPN-Techniken einhergehen, werden wir und im dritten und letzten Teil dieser Serie mit den Sicherheitsbedrohungen in der Cloud auseinandersetzen.

(ID:2053193)