Inhaltsverzeichnis
Werbung
Spezifikationen
Passwörter
Die Passwörter für Authentifizierung und Verschlüsselung sind aus Sicherheitsgründen
nur als berechnete Hashes abgespeichert. So kann, wenn überhaupt, nur sehr schwer
auf das Ausgangspasswort geschlossen werden. Die Berechnung des Hashes ändert
sich aber mit den eingestellten Algorithmen. W erden die Authentication oder Privacy
Algorithmen geändert, müssen im Konfigurationsdialog die Passwörter wieder neu
eingegeben werden.
Sicherheit
Folgende Aspekte gibt es zu beachten:
· Sollen Verschlüsselung oder Authentifizierung zum Einsatz kommen, dann SNMP v1
und v2c ausschalten, da sonst darüber auf das Gerät zugegriffen werden kann.
· W ird nur authentifiziert, dann sind die neuen "HMAC-SHA-2" Verfahren den MD5 oder
SHA-1 Hashing Algorithmen überlegen. Da nur SHA-256 in Hardware beschleunigt
wird, und SHA-384 sowie SHA-512 rein in Software berechnet werden, sollte man im
Normalfall SHA-256 auswählen. Vom kryptographischen Standpunkt reicht die
Sicherheit eines SHA-256 zur Zeit vollkommen aus.
· Für SHA-1 gibt es derzeit etwas weniger Angriffsszenarien als für MD5. Im Zweifelsfall
ist SHA-1 vorzuziehen.
·
Die
Verschlüsselung
Kompatibilitätsgründen einsetzen!
· Es gilt bei Kryptologen als umstritten, ob "HMAC-MD5-96" und "HMAC-SHA-96"
genügend Entropie für die Schlüssellängen von "AES-192" oder "AES-256" aufbringen
können.
· Ausgehend von den vorhergehenden Betrachtungen empfehlen wir zur Zeit "HMAC-
SHA-96" mit "AES-128" als Authentifizierung und Verschlüsselung.
Änderung im Trap-Design
In älteren MIB-Tabellen wurde für jede Kombination aus einem Event und einer
Portnummer ein eigener Trap definiert. Dies führt bei den Geräten zu längeren Listen von
Trap-Definitionen. Z.B. von epc8221Sw itchEvtPort1 bis epc8221Sw itchEvtPort12. Da
neue Firmwareversionen viel mehr verschiedene Events generieren können, produziert
dieses Verhalten schnell mehrere hundert Trap-Definitionen. Um diese Überfülle an Trap-
Definitionen einzuschränken, wurde das Trap-Design so verändert, das für jeden Event-
Typ nur ein bestimmter Trap erzeugt wird. Die Port- oder Sensornummer wird jetzt im
Trap als Index OID innerhalb der "variable bindings" zur Verfügung gestellt.
Damit diese Änderung direkt erkannt wird, wurde der "Notification" Bereich in der MIB
Tabelle von sysObjectID.0 nach sysObjectID.3 verschoben. So werden erstmal nicht
identifizierte events generiert, bis die neue MIB Tabelle eingespielt wird. Aus
Kompatibilitätsgründen werden SNMP v1 Traps genauso erzeugt wie früher.
ANS3101RM
"DES"
gilt
als
sehr
unsicher,
nur
im
Notfall
aus
KESS Power Solutions GmbH
Werbung
Inhaltsverzeichnis
