NT

Zertifikate

Zertifikate stellen sicher, das der vom Server übermittelte öffentliche Schlüssel auch vom richtigen Server- und nicht von jemand anderem geschickt wurde (Man In The Middle). Mit anderen Worten: Digitale Zertifikate stellen sicher, dass der Server derjenige ist, der er vorgibt zu sein.

Dazu erzeugt eine vertrauenswürdige Zertifizierungsstelle (Certificate Authority, kurz CA), aus dem öffentlichen Schlüssel und noch weiteren identifizierenden Angaben des Servers eine Digitale Signatur. Dieses ordnet einem öffentlichen Schlüssel eindeutig einem Server zu und ist somit mit einem Personalausweis zu vergleichen, welcher von einer Behörde beglaubigt wurde.

Der Inhalt eines Zertifikats sieht im Wesentlichen so aus:

• Name des Ausstellers (CA)
• Informationen zu den Regeln und Verfahren, unter welchem das Zertifikat ausgegeben wurde
• Gültigkeitsdauer
• Dazugehöriger öffentlicher Schlüssel
• Name/ Bezeichnung und Informationen des Eigentümers
• Angaben zu zulässigen Anwendungs- und Geltungsbereichs
• Vollständige Beizeichung des Servers inkl. Der IP- Adresse

Vertrauenswürdige Zertifizierungsstellen müssen strenge Sicherheitsanforderungen erfüllen. Diese sind in den Signaturgesetzen der einzelnen Länder genau festgelegt.

Zertifizierungsstellen können nicht nur Zertifikate für Server und Nutzer ausstellen, sondern auch die Identität anderer Zertifizierungsstellen bestätigen. Dadurch kann man eine Kette von Zertifizierungsstellen aufbauen. Vertraut man der obersten Zertifizierungsstelle, kann man somit auch allen Zertifikaten vertrauen, die von den einzelnen Zertifizierungsstelen dieser Kette ausgestellt worden sind. Die oberste Zertifizierungsstelle einer Kette wird auch als Wurzelzertifizierungsstelle (Root CA) bezeichnet.

Zertifikate können Online bei den verschiedenen Zertifizierungsstellen für nicht kleine Beträge gekauft werden.

VLANs

Ein VLAN (Virtual Local Area Network) ist ein Teilnetz innerhalb eines Switches oder eines gesamten Netzwerkes. Es kann sich über einen oder mehrere Switches hinweg ausdehnen.

Es trennt physikalische Netze in Teilnetze auf,  sodass Datenpakete nicht von einem VLAN in ein anderes weitergeleitet werden, obwohl die Teilnetze am gleichen Switch angeschlossen sind.

Vorteile:

• flexibel beim Zuordnen von Endgeräten zu einem Netzwerksegment, unabhängig vom Standort des Endgerätes
• Performance:
  • Broadcastdomänen werden verkleinert
  • man kann einen bestimmten Datenverkehr (VOIP,..) in ein VLAN hängen und dieses VLAN priorisieren
• Sicherheit:
  • zur Verbindung von VLANs kommen Layer 3 Router zum Einsatz, die gegen Layer 2- Angriffe immun sind (MAC- Flooding, MAC- Spoofing,..)
  • durch Routing zwischen den VLANs hat man die Möglichkeit, Firewalls auf Layer3- Basis einzusetzen

VLAN- Typen:

• Portbasierende VLANs (Untagged)
  Ein physischer Switch wird in mehrere logische Switche unterteilt (über die Ports). Obwohl alle Endgeräte am selben Switch angeschlossen sind, könne diese nur in Ihrem definierten VLAN kommunizieren.
• Tagged VLANs:
  Hier können mehrere VLANs über einen einzelnen Switch-Port genutzt werden. Die einzelnen Ethernet Frames bekommen dabei Tags angehängt, in dem die jeweilige VLAN- ID vermerkt ist. Somit können auf diesem Port Daten von verschiedenen VLANs ausgetauscht werden.

Verschlüsselung

Verschlüsselung bezeichnet den Vorgang, wenn ein „Klartext“ mithilfe eines definierten Schlüssels in einen nicht nachvollziehbaren Datensatz verwandelt wird. Dieser kann mit dem richtigen Schlüssel wieder in den ursprünglichen Text verwandelt werden.

Asymmetrische Verschlüsselung:

Das asymmetrische Verschlüsselungsverfahren verwendet 2 Schlüssel:

• den Öffentlichen Schlüssel (Public Key)
• den Privaten Schlüssel (Private Key)

Der öffentliche Schlüssel wird jedem zur Verfügung gestellt, der Daten zum jeweiligen Empfänger schicken möchte. Der Public- Key kann quasi als Schloss angesehen werden, mit dem man seine Daten versperren kann. Diese verschlüsselten Daten können jetzt nur mit dem Privaten Schlüssel des Empfängers entschlüsselt werden. Den Private- Key darf im Normalfall nur der Empfänger haben!

Vorteile: Hohe Sicherheit, es müssen nicht so viele Schlüssel als bei der Symmetrischen Verschlüsselung vergeben werden,…

Nachteile: Sehr langsam (ca. 10.000 x langsamer als die Symmetrische Verschlüsselung),…

Beispiele: RSA,…

Eine Datenübertragung sieht somit wie folgt aus:

Symmetrische Verschlüsslung:

Hier wird für die Ver.- und der Entschlüsselung der gleiche Key verwendet.
Das einfachste Beispiel ist ein Fahrradschloss: Jeder der das Fahrrad „entsperren“ und benutzen möchte, muss die Zahlenkombination wissen.

Vorteile: Es kann einer breiten Masse schnell und einfach Zugang gewährt werden, da der Schlüssel meist einfach aufgebaut ist.

Nachteile: Das Kennwort muss geheim mitgeteilt/ gehalten werden. Sollten unbefugte Personen das Kennwort wissen, so muss dieses geändert und jedem berechtigen mitgeteilt werden.

Beispiele: Kennwortschutz bei WinRAR, Adobe (Verschlüsselung von PDFs),…

Hybride Verschlüsslung:

Dies ist eine Kombination von den Vorteilen der Symmetrischen- und Asymmetrischen Verschlüsselungsverfahren.

Die Daten werden mit dem Symmetrischen Verfahren verschlüsselt, und die Schlüssel mit dem Asymmetrischen Verfahren verschlüsselt und ausgetauscht.

Beispiele: IPSec, SSL, PGP,…

Digitale Signatur:

Dies ist sozusagen ein elektronischer Fingerabdruck, welcher aus einer Datenmenge berechnet wird. Dieser kann dazu verwendet werden, um zu prüfen, ob 2 Datenmengen höchstwahrscheinlich gleich sind. Dazu muss der Fingerabdruck von beiden Datenmengen zuerst berechnet und anschließend verglichen werden.

Durch den Einsatz von digitalen Signaturen kann sichergestellt werden, dass die Daten nicht während der Übertragung verfälscht wurden.

Bedingungen für eine gute Hashfunktion:

• Eine kleine Änderung in der Datenmenge führt zu einem komplett anderem Fingerabdruck
• Unterschiedliche Datenmengen sollten sehr unterschiedliche Fingerabdrücke erzeugen
• Der Fingerabdruck muss schnell berechnet werden

Bekannte Beispiele:

• MD5 Algorithmus (128 Bit)
• SHA- 1 Verfahren (160 Bit)

Twisted- Pair Kabel

TIA/EIA-568A – TIA/EIA-568B

Es gibt 2 Standards, wie Patchkabel aufgelegt werden können. Diese sind der TIA/EIA-568A (in Europa verbreitet) und der TIA/EIA-568B (in den USA verbreitet). Diese unterscheiden sich aber lediglich darin, dass der Orange und Grüne Pin vertauscht sind.

Für welchen Standard man sich entscheidet ist egal, wichtig ist im Grunde nur, dass es auf beiden Seiten der gleiche ist. Natürlich sollte man im ganzen Haus/ Gebäude den gleichen Standard verwenden.

Ein Patchkabel besteht aus 8 Drähten, wovon immer 2 verdrillt sind. Somit erhält man also 4 Paare. Die Pin- Belegung sieht wie folgt aus:

Twisted- Pair Kabel:

Man unterscheidet zwischen den Kategorien:

Kategorie 1 (CAT1):
Maximale Frequenz: bis 100 kHz
Verwendung: z.B. bei Telefonanwendungen
Sonstiges: Nur als UTP- Kabel erhältlich

Kategorie 2 (CAT2):
Maximale Frequenz: 1 oder 1,5 MHz
Verwendung: z.B. bei Hausverkabelung bei ISDN

Kategorie 3 (CAT3):
Maximale Frequenz: max. 16 MHz
Verwendung: z.B. bei Telefonanwendungen, ISDN
Sonstiges: 100Mbit/s möglich (alle 4 Adern Paare werden verwendet)
Das Kabel wird heute kaum noch zum Verkauf angeboten.

Kategorie 4 (CAT4):
Maximale Frequenz: max. 20 MHz
Nur ein kleiner Fortschritt in der Geschwindigkeit.

Kategorie 5/5e (CAT5/5e):
Maximale Frequenz: bis 100 MHz
Verwendung: weit Verbreitet, meist für Netzwerk Verkabelungen
CAT 5e ist Gigabit fähig. Somit kann man Daten mit 1000 Mbit/s übertragen.

Kategorie 6/6a (CAT6/6a):
Maximale Frequenz:

• CAT6: bis 250 MHz
• CAT6a: bis 500 MHz

Verwendung: Datenübertragung, Sprachübertragung, Multimedia

Kategorie 7/7A (CAT7/7A):
Maximale Frequenz:

• CAT7: bis 600 MHz
• CAT7A: bis 1000 MHz

Sonstiges: Kein RJ-45 Stecker mehr! Damit der Abstand zwischen den Adern Paaren größer wird, wurde der RJ-45-CAT-7 Stecker konzipiert.

Patchkabel erhält man mit verschiedenen Schirmen.
Die genauen Bezeichnungen dazu:

• TP = Twisted Pair
• U = Ungeschirmt
• F = Folienschirm
• S = Geflechtschirm

Switching

Switching ist ein Mechanismus, um Datenpakete vom Eingang zum richtigen Ausgang weiterzuleiten (z.B. Switch). Dabei wird mit der Hardware Adresse der Clients eine Verbindung  zu den beiden Ports geschalten.

Die MAC- Adressen vom Sender und Empfänger werden in die lokale MAC- Tabelle des Switches gespeichert. Diese dient dem Performancegewinn, da Switch gleich weiß, auf welchem Port welches Gerät hängt. Somit können Datenpakete schneller an den richtigen Port weitergeleitet werden. Diese Einträge werden nach regelmäßigen Zeitabständen automatisch gelöscht.

Arten:

Symmetrisches Switching:

• Dies findet zwischen Ports statt, die die gleiche Datenübertragungsrate haben. (Bsp. Port 1 hat 1 Gbit/s und Port 2 hat ebenfalls 1 Gbit/s)

Asymmetrisches Switching:

• Darunter versteht man das Switching zwischen Ports mit unterschiedlichen Datenübertragungsraten. (Bsp. Port1 hat 100 Mbit/s und Port 2 hat 1 Gbit/s)

Verfahren:

Store Forward

Hierbei wird das gesamte Frame in einem Puffer gespeichert und genau überprüft (Struktur des Frames + CRC Prüfsumme). Nachdem wird das Frame anhand der Ziel- MAC- Adresse an den richtigen Port weitergeleitet. Ist diese nicht bekannt (lokale MAC- Tabelle), wird das Frame an alle Ports weitergeleitet (Broadcast). Kommt dieses mit der Ziel- Adresse wieder zurück, wird die Hardwareadresse mit dem dazugehörigen Port in der MAC- Tabelle vom Switch eingetragen.

Dieses Verfahren benötigt zwar mehr Zeit bis ein Frame weitergeleitet wird, jedoch wird die Netzwerklast durch versenden von fehlerhaften Frames reduziert.

Cut Throug

Bei diesem Verfahren werden die Frames schon analysiert, bevor sie vollständig eingetroffen sind. Auf eine vollständige Überprüfung wird verzichtet. Sobald die Ziel- Adresse identifiziert ist, wird das Frame sofort an den Ziel Port weitergeleitet. Dadurch ist die Latenzzeit (Verzögerungszeit) zwischen Empfangen und Weiterleiten eines Frames verringert. Fehlerhafte Frames bleiben jedoch unerkannt und werden auch weitergeleitet. Dies kann zu einer hohen Netzlast führen, da defekte Frames nochmals übertragen werden müssen.

Es gibt noch weiter Herstellerspezifische Verfahren. Diese können einen eigenen Namen und ein eigenes Verfahren haben.

Spanning Tree Protokoll (STP)

Das Spanning Tree Protokoll soll das Auftreten von doppelten Frames in einem geswitchten Ethernet Netzwerk verhindern. Diese entstehen durch mehrere parallele Verbindungen zwischen zwei Switches. Frames, die mehrfach beim Empfänger ankommen, können zu Fehlern führen.

Das Netzwerk wird zu einem logischen Baum aufgespannt, in dem zu jedem Ziel nur ein Weg existiert. Switche oder Bridges kommunizieren mit Hilfe von BPDUs (Bridge Protocol Data Units). Diese Frames werden alle 2 Sekunden an den nächst tiefer gelegenen Switch übermittelt. So werden parallele Strecken erkannt und die optimale Strecke ermittelt. Die nicht bevorzugten Ports werden deaktiviert.

Unterbricht die bevorzugte Strecke, so bleibt auch das BPDU- Frame aus. Somit muss sich das Netzwerk Reorganisieren. Es kann sein das der Baum (Spanning Tree) neu berechnet werden muss und es zu einer Verzögerung von über 30 Sekunden kommt. Erst nachdem kann die Übertragung auf der redundanten Strecke fortgesetzt werden.

RSTP (Rapid Spanning Tree Protocol)

Da das Neuberechnen unter STP relativ lange dauert, könnten Angreifer das Netzwerk mit nur einem gefälschtem STP- Frame lahm legen. Deshalb wurde das abwärtskompatible RSTP entwickelt. Dieses sieht vor, dass beim Ausfall einer Strecke mit der bestehenden Netzwerkstruktur weitergearbeitet wird, bis eine alternative Strecke berechnet ist. Nachdem wird ein neuer Spanning Tree erstellt und erst dann umgestellt. Die Umstellung dauert ca. eine Sekunde.

Loop Detection

Einige einfache Switches ohne STP haben eine Loop- Detection- Funktion. Dazu wird alle paar Minuten ein Frame an eine bestimmte Adresse gesendet. Bekommt der Switch dieses mit seiner eigenen Adresse zurück, existiert ein Loop (Schleife), welcher über ein LED angezeigt wird.
Die Schleife wird zwar nicht verhindert, der Administrator kann sie aber zumindest optisch erkennen.

Routing Protokolle

Routing  ist der Vorgang, der den Weg eines Datenpakets zur nächsten Station bestimmt. Dabei steht die Wahl der Route über die verfügbaren Router im Vordergrund.

Routed Protokolle stellen die Informationen bereit, welche die Router benötigen, um die Weiterleitung der Datenpakete durchzuführen. Z.B. IP, IPX,…

Routing Protokolle teilen die Informationen über den Netzwerkaufbau und ermöglichen den Austausch dieser Daten zum Erstellen und Aktualisieren der Routing Tabellen. Z.B. RIP, OSPF, BGP,…

IGP‘s (Interior Gateway Protocols)
IGP’s sind Protokolle, die den Datentransfer innerhalb (intern) eines zusammengehörenden Netzwerkes (Autonome Systeme) regeln. Die autonomen Systeme (AS) können mehrere Router enthalten. Dazu gehören Protokolle wie RIP, IGRP, EIGRP und OSPF.

EGP’s (Exterior Gateway Protocols)Diese Protokolle regeln den Verkehr zwischen (extern) autonomen Systemen. Z.B. BGP (Border Gateway Protocol)

Distanz- Vektor- Protokolle:
Diese kennen die Entfernung, Richtung und die Distanz zum Nachbarn. Die Distanz wird in Hops gemessen. Umso mehr Hops, desto größer ist die Distanz. Die Informationen werden in regelmäßigen Zeitabständen zu den angeschlossenen Routern geschickt, auch wenn keine Änderung vorliegt. Dazu gehören Protokolle wie IGRP oder RIP.

Link- State- Protokolle:
Hier werden die Informationen nur gesendet, wenn Änderungen bekannt werden, oder die Informationen von Routern angefordert werden. Fixe Updates werden nur in größeren Zeitabständen durchgeführt. Jeder Router hat ein Abbild des gesamten Netzwerkes. OSPF gehört zu den Link- State- Protokollen. Bei der Übertragung werden unter anderem Brandbeite, Kosten, Auslastung und Verzögerungen berücksichtigt.