Sicherheit - Antrax Multibox-Pro Lan+ Bedienungsanleitung

ANTRAX Datentechnik GmbH / MultiBox-pro LAN+
Verschlüsselung
Die Verfahren "DES", "3DES", "AES-128", "AES-192" und "AES-256" werden in Kombination mit
"HMAC-MD5-96" und "HMAC-SHA-96" unterstützt. Für die "HMAC-SHA-2" Protokolle gibt es zur Zeit
weder ein RFC noch ein Draft, das eine Zusammenarbeit mit einer Verschlüsselung ermöglicht.
Während bei der Einstellung "AES-192" und "AES-256" die Schlüssel nach "draft-blumenthal-
aes-usm-04" berechnet werden, benutzen die Verfahren "AES-192-3DESKey" und "AES-256-
3DESKey" eine Art der Schlüsselerzeugung, die auch beim "3DES" ("draft-reeder-snmpv3-usm-
3desede-00") eingesetzt wird. Ist man kein SNMP Experte, empfiehlt es sich, jeweils die Einstellungen
mit und ohne "...-3DESKey" auszuprobieren.
Passwörter
Die Passwörter für Authentifizierung und Verschlüsselung sind aus Sicherheitsgründen nur als
berechnete Hashes abgespeichert. So kann, wenn überhaupt, nur sehr schwer auf das
Ausgangspasswort geschlossen werden. Die Berechnung des Hashes ändert sich aber mit den
eingestellten Algorithmen. Werden die Authentication oder Privacy Algorithmen geändert, müssen im
Konfigurationsdialog die Passwörter wieder neu eingegeben werden.

Sicherheit

Folgende Aspekte gibt es zu beachten:
· Sollen Verschlüsselung oder Authentifizierung zum Einsatz kommen, dann SNMP v1 und v2c
ausschalten, da sonst darüber auf das Gerät zugegriffen werden kann.
· Wird nur authentifiziert, dann sind die neuen "HMAC-SHA-2" Verfahren den MD5 oder SHA-1
Hashing Algorithmen überlegen. Da nur SHA-256 in Hardware beschleunigt wird, und SHA-384
sowie SHA-512 rein in Software berechnet werden, sollte man im Normalfall SHA-256 auswählen.
Vom kryptographischen Standpunkt reicht die Sicherheit eines SHA-256 zur Zeit vollkommen aus.
· Für SHA-1 gibt es derzeit etwas weniger Angriffsszenarien als für MD5. Im Zweifelsfall ist SHA-1
vorzuziehen.
· Die Verschlüsselung "DES" gilt als sehr unsicher, nur im Notfall aus Kompatibilitätsgründen
einsetzen!
· Es gilt bei Kryptologen als umstritten, ob "HMAC-MD5-96" und "HMAC-SHA-96" genügend Entropie
für die Schlüssellängen von "AES-192" oder "AES-256" aufbringen können.
· Ausgehend von den vorhergehenden Betrachtungen empfehlen wir zur Zeit "HMAC-SHA-96" mit
"AES-128" als Authentifizierung und Verschlüsselung.
NET-SNMP
NET-SNMP bietet eine sehr weit verbreitete Sammlung von SNMP Kommandozeilen Tools (snmpget,
snmpset, snmpwalk, etc.) NET-SNMP ist u.a. für Linux und Windows verfügbar. Nach der Installation
von NET-SNMP sollten Sie die Gerätespezifische MIB des Geräts in das "share" Verzeichnis von NET-
SNMP legen, z.B. nach
c:\usr\share\snmp\mibs
bzw.
Seite 31