Standarder for sikker bruk av VPN med og i offentlig sektor Standardiseringsrådsmøte 23.-24. november 2011 beslutningssak
Bakgrunn Grønn IKT (Hjemmekontor, videokonferanser) Fjernarbeid og distribuert samarbeid VPN Forprosjekt e-id anvendelser (SSL sertifikater) Sikre kommunikasjonskanaler Standardisering av krypto i offentlig sektor krypto protokoller
Avgrensninger Kryptoalgoritmer (styrke AES, RSA osv) Nøkkelhåndtering (IKE, shared secrets osv) Autentiseringsmekanismer (eid, sertifikater osv) Meldingskryptering (SOAP, XML kryptering, S/MIME for e-post osv) Behov for andre sikkerhetstiltak utover kryptering av kommunikasjonskanal (klientsikkerhet, nettverksarkitektur eller informasjonsflyt)
VPN (Virtual Private Network) Er et virtuelt nettverk på toppen av et fysisk nettverk, for eksempel på toppen av internett. VPN brukes primært for å sette opp en sikker kommunikasjonskanal mellom to endepunkter (klient/serverapplikasjoner) som kommuniserer over åpne nett. Kryptering og andre sikkerhetsmekanismer brukes for å sikre at bare autoriserte brukere får tilgang til data som oversendes i denne kanalen.
Offentlig sektors behov Stort fokus på effektivisering ved elektronisk behandling av informasjon med og i offentlig sektor. Elektronisk samhandling innad i og på tvers av sektorer, og dialog med innbyggere og næringsliv innebærer ofte kommunikasjon over usikre nett. Bruk av sikre kanaler vil bidra til å ivareta sikkerheten ved elektronisk behandling av informasjon. Dato
Kartlegging For å vise hvilke områder de evaluerte standardene bør dekke, er anvendelsesområder for bruk av VPN, kartlagt. Følgende anvendelsesområder kan fremme behov for bruk av ulike typer VPN for sammenkobling av dataressurser og infrastruktur. Dette gjelder både i forhold til samhandling internt i en sektor og på tvers av sektorer innad i offentlig sektor Dato
Anvendelsesområder innad i offentlig sektor Deling av databaser/datagrunnlag mellom offentlige virksomheter, er et virkemiddel for å sikre den elektroniske samhandlingen mellom kommuner og offentlige etater. Behovet vil være tilstede i de tilfeller hvor flere offentlige virksomheter skal arbeide med de samme datagrunnlagene. Sammenkobling av ulike avdelingskontorer innad i et forvaltningsorgan, krever ofte at flere tjenester skal deles mellom de ulike kontorene. Dette ses ofte på som en utvidelse av det enkelte Local Area Network (LAN). Sikre soner, benyttes i en viss grad for å gi informasjon med et spesielt beskyttelsesbehov tilstrekkelig sikring. Tilkobling til slike soner vil kunne føre til ekstra krav til sikring av den tilknyttede infrastruktur.
Anvendelsesområder innad i offentlig sektor Videokonferanser, er et verktøy som tas stadig mer i bruk for å redusere reisevirksomhet og øke samhandlingen. Man kan gjennomføre møter og ulike former for opplæringsvirksomhet over Internett. Dette vil i hovedsak være aktuelt for samhandling innen en sektor, men også til en viss grad på tvers av sektorer. Deling av applikasjoner/tjenester, gjør det mulig for flere kontorer innad i forvaltningen å kunne dele på IKT-investeringer som f.eks. saksbehandlingsverktøy, noe som kan gi besparelser for både innkjøp og drift. Delt teknisk support og overvåking, er en besparende effekt av økt samkjøring og bruk av VPN. I enkelte slike tilfeller vil det være mest hensiktsmessig å la en ekstern driftsleverandør drifte virksomhetens serverpark. Kanskje man også ønsker at driftsleverandøren skal huse serverparken i deres lokasjoner. Her vil behovet for bruk av VPN kunne være i forhold til sentralt management av klienter, samt all ekstern kommunikasjon mot serverparken.
Anvendelsesområder med og i offentlig sektor Det finnes en rekke anledninger hvor det er hensiktsmessig at den enkelte ansatte gjør sine arbeidsoppgaver over usikre nett. I slike tilfeller fremkommer det et behov for å sikre selve kommunikasjonskanalen, noe VPN løsninger er godt egnet til. Dialog mellom forvaltningen og innbyggerne eller næringsliv over usikre nett kan også sikres med tilsvarende løsninger. Følgende beskrivelse omhandler tilknytningen av enkeltmaskiner som kommuniserer over usikre nett mot lukkede nett.
Anvendelsesområder med og i offentlig sektor Mobil databehandling innad i forvaltningen, gjør det mulig for den ansatte å gjøre innrapportering i fagsystemer i de tilfeller hvor arbeid ikke kan utføres på noen fast plass. Dette er en type databehandling som har fått stor fokus innen helsesektoren de siste årene. Her ser man muligheten for at helsepersonell kan gjøre nødvendig databehandling mens man er ute hos pasient. Hjemmekontor; gjør det mulig for de ansatte i forvaltningen å arbeide hjemmefra eller fra andre lokasjoner. Selv om fysisk plassering kan variere, vil en god VPN løsning sørge for at datamaskinen logisk sett vil befinne seg innenfor virksomhetens LAN. I dette tilfellet har medarbeideren behov for tilgang til de samme tjenester som gis fysisk på arbeidsplassen. Selvbetjeningsportaler, gjør det mulig for den enkelte innbygger å behandle egne skjemaløsninger mot forvaltningen.
Anvendelsesområder med og i offentlig sektor Tjenester for smarttelefoner og lesebrett, er en arena som forvaltningen har begynt å se på som et potensial for å øke tjenestetilbudet til innbyggerne. I hovedsak benytter forvaltningen denne muligheten i dag til å nå ut med ikke-beskyttelsesverdig informasjon til borgerne. Men her finnes det et stort potensiale for videre utvikling av tjenestetilbudet til mer individuelle tjenester. Sikring av web services med VPN, gjør det mulig å etablere hybridløsninger bestående av VPN og tjenester sammen med XML, SOAP, WSDL, UDDI osv. Kryptering mellom vertsmaskin og plattform for web services ivaretas av VPN tunell. Bruken av VPN vil ikke hindre bruk av andre sikkerhetsmekanismer som XML signatur eller SAML for å sikre punkt-til-punkt kommunikasjon, men de legger til et annet nivå av sikkerhet. Dato
Overordnet om VPN protokoller Det er arkitektoniske forskjeller mellom de mest anerkjente og benyttede VPN protokollene anvendbarhet og funksjonalitet varierer mellom disse Ingen «one size fits all» løsning VPN protokoller må struktureres i forhold til deres operasjonsmåte Dato
VPN protokoller i forhold til OSImodell Høyere lags VPN (lag 4-7) VPN protokoller på lag 4 og høyere benyttes for sikring av transaksjoner på tvers av offentlige nettverk. De gir vanligvis en sikker kanal mellom kommuniserende programmer, og dermed sikrer konfidensialitet og integritet i løpet av transaksjonen. VPN på lag 3 (Nettverkslaget) Tilbyr tunnellering på tvers av eksterne nett. Det mest benyttede anvendelsesområdet for lag 3 VPN er for å sikre kommunikasjon mellom to private nett, og for å tilby fjernaksess mellom datamaskiner og en virksomhets nett.
VPN protokoller i forhold til OSImodell VPN på lag 2 (Datalinklaget) Beskriver anvendelse for å skape en-til-en eller entil-mange forbindelser på datalink-laget. Dette gjelder korrekt overføring av data mellom tilstøtende nettverksenheter. Slike løsninger tilbyr et simulert LAN ved å benytte VPNtilkoblinger.
VPN protokollenes anvendelsesområder -Høyere lags VPN- SSL/TLS VPN er betegnelser som i hovedsak brukes om tilknytningen av enkeltmaskiner over det åpne internett mot et lukket nettverk. SSL/TLS baserte VPN-løsninger kan deles inn i to hovedgrupper: SSL/TLS VPN for applikasjonstilgang (uten VPN klient) Den viktigste begrensning av SSL/TLS-baserte VPN-løsninger er at det primært gir applikasjonslaget beskyttelse, noe som vanligvis er begrenset til nettleser-baserte tilkoblinger. SSL/TLS VPN for nettverkstilgang (krever VPN klient) I den senere tid har det også kommet SSL/TLS VPN løsninger som tilbyr nettverkstilgang og ikke bare applikasjonstilgang. For å få til dette må det installeres en VPN-klient på den enkelte vertsmaskin.
VPN protokollenes anvendelsesområder -Lag 3 VPN- IPSec opererer på nettverkslaget og støtter all datakommunikasjon på høyere lag i OSI-modellen. I hovedsak er det to anvendelsesområder for bruk av IPsec: Kommunikasjon mellom to private nett Hos avsender vil en VPN server fange opp og beskytte IPpakkene før de slippes ut på Internett. Disse pakkene innkapsles i en ytre IP-pakke som adresseres mot VPN server hos mottaker. Pakkene vil så bli sjekket og formidles til ulike maskiner på det private nettet bakenfor. Fjernaksess Individuelle klienter kommuniserer mot VPN server over Internett og forbindelsen krypteres mellom disse. I og med at IPsec opererer på IP-laget gir denne løsningen tilgang til alle applikasjoner uten ekstra tilpasning.
VPN protokollenes anvendelsesområder -Lag 2 VPN- L2VPN tilbyr funksjonalitet som åpner for at eksterne klienter kan arbeide som om de var direkte tilsluttet LANet. Da vi her snakker om sammenkobling av nettverk istedenfor vertsmaskiner, er denne metoden godt egnet å gi en ekstern tilkobling mellom virksomheter. L2VPN er egnet spesielt for sammenkobling av ulike avdelingskontorer, videokonferanser og for teknisk support i delt infrastruktur Dato
Kartlegging av standarder for VPN ISO/IEC 18028-5:2006 Overordnet VPN standard med referanser til andre relevante spesifikasjoner NIST Special Publication (SP) 800-113, Guide to SSL VPNs Høyere lags VPN NIST Special Publication (SP) 800-77, Guide to IPsec VPNs Lag 3 VPN RFC 4664 og RFC 4665 L2VPN Dato
Standardenes dekningsområde i forhold til VPN protokoll De foreslåtte standardene vil ha ulik relevans og nytteverdi i de ulike fasene av en VPN implementasjons livssyklus
Vurdering av ISO/IEC 18028-5 ISO/IEC 18028-5 vil være egnet og gi føringer for valg av VPN teknologi i offentlig sektor Ulike VPN protokollers funksjonalitet settes opp mot hverandre slik at man kan foreta et riktig valg av løsning Peker også på andre relevante standarder som bør brukes før og etter valg av løsning ISO/IEC planlegger å inkludere denne standarden i ISO/IEC 27000 familien som ISO/IEC 27033
Vurdering av NIST SP 800-113 Dette dokumentet har til hensikt å bistå organisasjoner i å forstå SSL/TLS VPN teknologien Veiledningen gir anbefalinger for design, implementering, konfigurering, sikring, overvåking og vedlikehold av SSL/TLS VPNløsninger Det inkluderer også en sammenligning med andre lignende teknologier som IPsec VPN og andre VPN-løsninger
Vurdering av SP 800-77 Dette dokumentet har til hensikt å bistå organisasjoner i å forstå IPsec VPN teknologien gir også anbefalinger for design, implementering, konfigurering, sikring, overvåking og vedlikehold av IPsec VPN-løsninger NIST SP 800-77 bidrar med god veiledning for å gjøre den totale sikkerheten rundt en IPsec implementasjon tilstrekkelig, noe som vil ha stor nytteverdi i offentlig sektor.
Vurdering av RFC 4664 og RFC 4665 Det internasjonale standardiseringsarbeidet for VPN-teknologier på lag 2 domineres av IETF, som også har en egen arbeidsgruppe for L2VPN. RFC 4664 beskriver rammeverket og de funksjonelle anvendelsene for L2VPN, og diskuterer de tekniske aspekter som er viktige å ta hensyn i forhold til design av slike løsninger RFC 4664 er egnet til å forstå funksjonalitet og arkitektoniske utfordringer som ligger i slike løsninger. RFC 4665 kan oppfattes som en kravspesifikasjon. Den vil fungere som en sjekkliste for å oppfylle relevante krav for systemeier og tjenestetilbyder.
Rådet bør vurdere ISO/IEC 18028-5:2006 som en anbefalt forvaltningsstandard i Referansekatalogen for valg av VPN protokoll. Den peker på tiltak og gir anbefalinger som er nyttige å ta hensyn til ved sikker implementasjon og drift av VPN løsninger. Den omhandler og vil være nyttig for alle anvendelsesområder som er kartlagt i rapporten.
Rådet bør vurdere (forts.) NIST Special Publication (SP) 800-113 - Guide to SSL VPNs, som anbefalt forvaltningsstandard i Referansekatalogen for SSL/TLS VPN. Følgende områder er relevante for ssl/tls VPN: Deling av databaser/datagrunnlag mellom offentlige virksomheter Mobil databehandling innad i forvaltningen Deling av applikasjoner/tjenester Sikring av web services med VPN Selvbetjeningsportaler Hjemmekontor Tjenester for smarttelefoner og lesebrett
Rådet bør vurdere (forts.) NIST Special Publication (SP) 800-77 - Guide to IPSEC VPNs, som anbefalt forvaltningsstandard i Referansekatalogen for bruk av IPsec VPN. Følgende områder er relevante for IPsec VPN: Mobil databehandling innad i forvaltningen Hjemmekontor Delt teknisk support og overvåking Tjenester for smarttelefoner og lesebrett Sikre soner
Rådet bør vurdere (forts.) RFC 4664 - Framework for Layer 2 Virtual Private Networks (L2VPNs) og RFC 4665 - Service Requirements for Layer 2 Provider- Provisioned Virtual Private Networks som anbefalte forvaltningsstandarder for L2VPN i Referansekatalogen. Følgende områder er relevante for L2VPN: Sammenkobling av ulike avdelingskontorer innad i et forvaltningsorgan Sikre soner Videokonferanser Delt teknisk support og overvåking