Zertifikate Und Schlüssel - Siemens SCALANCE XB-200 Projektierungshandbuch

Security-Empfehlungen
3.1 Security-Empfehlungen
• Ändern Sie regelmäßig Ihre Passwörter, um die Sicherheit zu erhöhen.
• Ein Passwort muss gewechselt werden, wenn es unbefugten Personen bekannt geworden ist
oder der Verdacht dazu besteht.
• Wenn die Benutzerauthentifizierung über RADIUS ausgeführt wird, stellen Sie sicher, dass
sämtliche Kommunikation innerhalb des Sicherheitsumfelds erfolgt oder durch einen
sicheren Kanal geschützt wird.
• Achten Sie auf Link-Layer-Protokolle, die keine eigene Authentifizierung zwischen den
Endpunkten bieten, wie ARP oder IPv4. Ein Angreifer könnte Schwachstellen in diesen
Protokollen ausnutzen, um mit Ihrem Layer-2-Netzwerk verbundene Hosts, Switches und
Router anzugreifen, zum Beispiel durch Manipulation (Poisoning) der ARP-Caches von
Systemen im Subnetz und anschließendem Abfangen des Datenverkehrs. Gegen nicht
sichere Layer-2-Protokolle sind angemessene Sicherheitsvorkehrungen zu ergreifen, um
unbefugten Zugriff auf das Netzwerk zu verhindern. Unter anderem kann der physische
Zugriff auf das lokale Netzwerk gesichert oder es können sichere höherschichtige Protokolle
verwendet werden.
Zertifikate und Schlüssel
• Im Gerät ist ein voreingestelltes SSL/TLS (RSA)-Zertifikat mit Schlüssellänge 2048 Bit
vorhanden. Ersetzen Sie dieses Zertifikat durch ein selbst erstelltes höherwertiges Zertifikat
mit Schlüssel. Verwenden Sie ein Zertifikat, das entweder durch eine zuverlässige externe
oder interne Zertifizierungsstelle signiert ist. Sie können das Zertifikat über das WBM
("System > Laden und Speichern") installieren.
• Verwenden Sie Zertifikate mit einer Schlüssellänge von 4096 Bit.
• Nutzen Sie eine Zertifizierungsstelle inklusive Schlüsselwiderruf und -verwaltung, um die
Zertifikate zu signieren.
• Stellen Sie sicher, dass benutzerdefinierte private Schlüssel geschützt und unzugänglich für
unbefugte Personen sind.
• Ändern Sie bei Verdacht auf eine Sicherheitsverletzung sofort alle Zertifikate und Schlüssel.
• Verwenden Sie passwortgeschützte Zertifikate im Format "PKCS #12".
• Verifizieren Sie Zertifikate anhand des Fingerprints auf Server- und Clientseite, um "Man-in-
the-middle"-Angriffe zu verhindern. Verwenden Sie hierzu einen zweiten, sicheren
Übertragungsweg.
• Bevor Sie das Gerät zur Reparatur an Siemens zurückschicken, ersetzen Sie die aktuellen
Zertifikate und Schlüssel durch temporäre Wegwerfzertifikate und -schlüssel, die bei der
Rückkehr des Geräts zerstört werden können.
30
SCALANCE Layer 2 Switches Web Based Management (WBM) V4.4
Projektierungshandbuch, 02/2023, C79000-G8900-C360-14