[HaBo]

schmidtl_dd

Anzeige

Folgendes Setup:

Eine DMZ mit einem DB Server, über die Firewall aus dem Internet zugänglich. Ein internes Netz (auch mit einem DB Server), über eine Firewall aus anderen Netzen zugänglich (nicht aus dem Internet).

Eine Submenge der Daten des internen DB Servers soll auf den DB Server in der DMZ übertragen werden. Also auf dem Pfad internes Netz -> Firewall 2 -> Firewall 1 -> DMZ

Zur Verdeutlichung:


Nun, dort Daten im Klartext drüber zu jagen, halte ich für sehr gefährlich. Besser wäre IPsec. Doch mit IPsec habe ich auf den Firewalls kaum noch Kontrolle darüber, welche Daten dort rumschwirren...
Eine Verschlüsselung aus Anwendungsebene fällt leider aus :(

Hat jemand Ideen, Anmerkungen, Vorschläge?

bitmuncher

Ein SSH-Tunnel wäre eine Lösungsmöglichkeit. Damit wird die Verbindung dann verschlüsselt.

__________________

Elderan

Hallo,
hmm also viele DB Server bieten SSL Zugang an, z.B. MySQL, ist dies bei deinem DBMS nicht möglich?
Sonst evt. einen Wrapper programmieren/verwenden, den man z.B. per SSL erreichen kann. Dieser Wrapper reicht baut dann eine Connection mit der DB auf und reicht die Daten einfach nur weiter.

schmidtl_dd

SSL ist zum jetztigen Projektfortschritt schlecht, das würde zu große Änderungen nachziehen.

Ich tendiere dazu, den IPsec Tunnel auf der zweiten (internen) Firewall temporär auszupacken... wenn DORT ein Angreifer sitzt sind die Sorgen eh andere als das mitlesen von Traffic...

Elderan

Hallo,
Mit einem guten Design evt. nicht (bitte nicht böse nehmen).

Da man aber SSL Sockets eigentlich fast genauso programmiert wie normale Sockets, mit der Außnahme der Authentifizierung (2 Zeilen extra Code), müsste man nur den normalen Socket auf einen SSL-Socket abändern (oft erbt ein SSL Socket auch von einem normalen Socket so das man nur die Instanzierung anpassen muss).
Bei einem guten Design sollte der Socket eigentlich zentral liegen, sprich du solltest nur eine (oder wenige) Klasse haben die sich um den gesamten Netzwerktraffic kümmert (bzw. andere Klassen die dann davon erben). Wenn jede Klasse aber selber einen Socket verwendet, ist dies natürlich schlecht und aufwendig.

Aber dies sollte nur mal so ein Anstoß sein, evt. beim nächsten Mal das Design besser zu prüfen. Natürlich kann ich nicht beurteilen ob das Design einfach nicht gut ist, oder ob es wirklich so umständlich sein muss. Sollte es so seien, nehme ich alles zurück.

schmidtl_dd

Das Problem ist, das ich nichts vom Design verstehe, da selbiges nicht meine Aufgab ist. Weder bin ich der Entwickler, noch habe ich mit der Entwicklung etwas zu tun, ich wurde nur nach einer Lösung für die Sicherheit gefragt, die (externen) Programmierer sagen "Aufwändig" (lies teuer).. zumal ich bei SSL doch noch eine PKI einführen müsste, bei selbst signierten Zertifikaten bin ich zumindest skeptisch....

Elderan

Hallo,
das Problem mit den Zertifikaten hast du immer, egal ob du nun einen SSH Tunnel, VPN Tunnel oder was auch immer benutzt

Auch hier hast du das Problem mit den Zertifikaten.

Im kleinen Maßstab kann man es aber noch relativ einfach lösen:
Der DB Server erstellt ein SSL Zertifikat und den Fingerprint (die Prüfsumme des Zertifikates) bringst du auf sicherem Weg zum Client. Der Client muss dann nur noch überprüfen, ob die aktuelle Prüfsumme gleich der gespeicherten Prüfsumme ist. Wenn dies der Fall ist, ist der Client mit dem richtigem Server verbunden.
Also musst du dort keine aufwändige PKI erstellen, sofern die Kommunikationspartner immer die gleichen bleiben.