Siemens SIMATIC NET SCALANCE S615 Projektierungshandbuch Seite 30

Technische Grundlagen
2.5 Security-Funktionen
● Das Internet Key Exchange (IKE) ist ein Schlüsselaustauschverfahren. Der
Schlüsselaustausch erfolgt in zwei Phasen:
– Phase 1
– Phase 2
Authentifizierungsverfahren
● CA-Zertifikat, Geräte- und Gegenstellenzertifikat (digitale Signaturen)
Die Verwendung von Zertifikaten ist ein asymmetrisches Kryptosystem, wobei jeder
Teilnehmer (Gerät) über ein Schlüsselpaar verfügt. Jeder Teilnehmer besitzt einen
geheimen, privaten Schlüssel und einen öffentlichen Schlüssel der Gegenstelle. Der
private Schlüssel ermöglicht es, sich zu authentisieren und digitale Signaturen zu
erzeugen.
● Preshared Key
Die Verwendung eines Preshared Key ist ein symmetrisches Kryptosystem. Jeder
Teilnehmer besitzt nur einen geheimen Schlüssel für die Ent- und Verschlüsselung von
Datenpaketen. Die Authentifizierung erfolgt über ein gemeinsames Passwort.
Lokale-ID und Remote-ID
Die Lokale-ID und die Remote-ID werden vom IPsec genutzt, um beim Aufbau der VPN-
Verbindung die Gegenstellen (VPN-Endpunkt) eindeutig zu identifizieren.
30
In dieser Phase sind noch keine Sicherheitsdienste wie Verschlüsselung,
Authentifizierung und Integritätsprüfung verfügbar, da die notwendigen Schlüssel und
die IPSec-SA noch nicht erstellt wurden. Phase 1 dient zum Aufbau eines sicheren
VPN-Tunnels für Phase 2. Dafür verhandeln die Kommunikationspartner eine ISAKMP
Security Association (ISAKMP-SA), welche die notwendigen Sicherheitsdienste
(verwendete Algorithmen, Authentifizierungsmethoden) definiert. Damit werden die
weiteren Nachrichten und Phase 2 abgesichert.
Phase 2 dient zur Aushandlung der benötigten IPSec-SA. Ähnlich wie bei Phase 1
wird durch das wechselseitige Anbieten eine Einigung über die
Authentifizierungsmethoden, die Algorithmen und die Verschlüsselungsverfahren
getroffen, um die IP-Pakete mit IPSec-AH und IPSec-ESP zu schützen.
Geschützt wird der Nachrichtenaustausch über die ISAKMP-SA, die in Phase 1
vereinbart wurde. Durch die in Phase 1 ausgehandelte ISAKMP-SA ist die Identität
der Teilnehmer sowie das Verfahren zur Integritätsprüfung bereits gegeben.
SCALANCE S615 Web Based Management
Projektierungshandbuch, 05/2015, C79000-G8900-C388-02