GoConqr has a new look! Let us know what you think.

Sign up free

Flashcards

VPN

Jörg Fischer VPN und IT-Security Meister Informationstechnik German 75 cards

Cards in this deck (75)

  1. 1Geben Sie einige Merkmale zum IPSec-Protokoll an.• Schutz der Integrität und Vertraulichkeit durch Verschlüsselung
    • Authentisierung des Senders
    • Authentifizierung durch Schlüssel
    • Schlüsselmanagement
    • Zugangskontrolle
    • OSI-Schicht 3
    • Implementiert in IPv6
  2. 2Welchen UDP Port nutzt die IKE?• UDP Port 500
  3. 3Setzt ein Virtual Private Network (VPN) immer die Verwendung von IPsec voraus?Nein, es können unterschiedliche Verfahren wie zum Beispiel IPSec, SSL, TLS oder SSH zur
    Anwendung kommen
  4. 4Welcher Mode und welches Protokoll für Datentransport werden bei unserem IPSec verwendet (sichere Datenübertragung über Internet)?• Tunnelmodus (in gängigen immer in Verbindung mit ESP)
  5. 5IPSec besteht aus mehreren Protokollen, die beim Verbindungsaufbau und beim Datentransport verwendet werden. Ordnen Sie folgende Protokolle: ESP, AH, DH, IKE zu.a) beim Verbindungsaufbau
    • IKE → Internet Key Exchange
    • DH → Diffie-Hellmann Verfahren
    b) beim Datentransport
    • ESP → Encapsulated Security Payload
    • AH → Authentication Header
  6. 6IPSec wurde ursprünglich für Site-to-Site-VPN entwickelt, lässt sich heute sowohl für Site-to-Site als auch für Host-to-Site verwenden. Ist die Aussage richtig?• richtig
  7. 7Wozu wird Diffie Hellmann (DH) bei IPSec verwendet?Das Diffie-Hellmann Verfahren ist ein Verfahren zum Verbindungsaufbau für den sicheren Schlüsselaustausch.
  8. 8Wofür steht die Abkürzung A) AH B) IKE C) SA und D) ESP?A) AH → Authentication Header
    B) IKE → Internet Key Exchange
    C) SA → Security Association
    D) ESP → Encapsulated Security Payload
  9. 9Wozu dient bei IPSec der ESP-Header?zur Authentifizierung der Payload
    zur Verschlüsselung der Payload
  10. 10Der Aufbau einer IPSec-Verbindung besteht aus zwei Phasen innerhalb der IKE. Beschreiben Sie kurz was passiert und womit die Phase endet (Ziel, was erreicht wird).In der Phase 1 authentifizieren sich die Kommunikationspartner und vereinbaren einen gemeinsamen symmetrischen Schlüssel für die Phase 2. Zum Abschluss haben sich beide Parteien über einen gemeinsamen Schlüssel geeinigt und für diese eine Leasetime festgelegt.
    In der Phase 2 wird ein Schlüssel für die Datenübertragung erzeugt. Zum Abschluss ist ein gemeinsamer Schlüssel vereinbart mit einer entsprechenden Leasetime.
  11. 11Wie heißt der Mode in Phase 2 beim Aufbau einer IPSec- Verbindung?In Phase 2 ist nur ein Mode möglich, er wird mit Quick-Mode bezeichnet.
  12. 12Aus wie viel Datenpaketen besteht Phase zwei?• 3 Datenpaketen
  13. 13Welche Modes sind in Phase 1 möglich und wie viele Datenpakete dazu?Hier wird zwischen dem Main-Mode und dem Aggressive-Mode unterschieden. Der Main-Mode ist sicherer da er 6 Datenpakete verschlüsselt zur Vereinbarung verwendet, der Aggressive-Mode ist mit 3 Datenpaketen schneller.
  14. 14Wofür steht die Abkürzung IKE?• IKE → Internet Key Exchange
  15. 15Wozu die IKE?Durch IKE ist es möglich Schlüsselmaterial auszuhandeln und ggf. zu erneuern.
  16. 16Was wird bei IPSec im Tunnelmodus als Nutzdaten (Payload) angesehen?Es wird das gesamte IP-Paket, bestehend aus IP-Header und IP-Nutzdaten als Payload angesehen.
  17. 17Welche Betriebsart (Mode) und Protokoll beim Datentransport hat a) AVM IPSec? b) Astaro (Sophos) IPSec?a) AVM IPSec?
    • Tunnelmodus mit ESP
    b) Astaro (Sophos) IPSec?
    • Tunnelmodus mit ESP
  18. 18Welche Betriebsart und welches Protokoll sollte beim Datentransport über das Internet (ungesichertes Netz) verwendet werden?• IPsec im Tunnelmodus mit ESP
  19. 19Welchen Mode verwendet AVM-IPSec beim Verbindungsaufbau in Phase 1?• Aggressive Mode (3 Datenpakete)
  20. 20Welchen Mode verwendet AVM-IPSec beim Verbindungsaufbau in Phase 2?• Quick Mode (3 Datenpakete)
  21. 21Welchen Mode verwendet das VPN-Gateway bei ASG (Sophos) beim Verbindungsaufbau in Phase 1?• Main Mode (6 Datenpakete)
  22. 22Welches IPSec-Protokoll ist für die Verschlüsselung und Authentisierung geeignet?• ESP
  23. 23Geben Sie die erforderlichen Firewallregeln für IPSec an a) Firewall im VPN- Client- Netz b) Firewall im VPN- Gateway- Netza) Firewall im VPN- Client- Netz
    • IKE → UDP Port 500
    • ESP → IP / Port 50
    b) Firewall im VPN- Gateway- Netz
    • IKE → UDP Port 500
    • ESP → IP / Port 50
  24. 24Geben Sie erforderlichen Firewall Regel für SSL- VPN (L3-SSL/OpenVPN) an.• TCP Port 443 (HTTPS; ursprünglich UDP Port 1194)
  25. 25Welche Authentifizierungsmöglichkeiten sind bei IPSec möglich?• Pre-Shared-Key (PSK, alle den selben Schlüssel)
    • Zertifikate
    • XAUTH (zusätzlich, Benutzername und Passwort)
  26. 26Was ist der „klassische Fernzugriff“ und wie wird er eingerichtet?Als klassischer Fernzugriff wird eine Portweiterleitung(Masquerading) bezeichnet. Auf dem Gerät auf das zugegriffen werden soll läuft ein Websever. Im Router der „Fernzugriffseite“ wird eine Portweiterleitung von öffentlicher IP – Port 80 auf den Webserver eingerichtet. Der Anwender, der die öffentliche IP der „Fernzugriffseite“ über seinen Webbrowser anspricht wird dann an den Webserver weitergeleitet.
  27. 27Durch welche einfachen Maßnahmen lässt sich der „klassische Fernzugriff“ absichern?Mögliche Schutzmaßnahmen:
    • Äußere Portnummer in den 5-stelligen Bereich legen
    • Aktuellste Firmware auf dem Gerät auf das zugegriffen werden soll
    • Remote Anmeldung mit komplexem Passwort
    • Standardwerte der Anmeldung ändern
    • Wenn möglich zusätzliches Anmeldefenster
    • Zugriff nur aktivieren wenn wirklich nötig
    • Risikobewertung
  28. 28a) beim klassischen Fernzugriff ist der gleichzeitige Zugriff über einen Kanal auf mehrere Ressourcen im Firmennetz möglich? ja oder nein• Nein
  29. 29b) Beim klassischen Fernzugriff kann von mehreren Stellen gleichzeitig auf die Ressourcen zugegriffen werden (zum Beispiel Überwachungskamera)? ja oder nein• Ja (alle haben eine andere Sendeadresse und laufen über die Portweiterleitung)
  30. 30c) Beim klassischen Fernzugriff kann jeder Anwender (gut oder böse) bis zur Ressourcen vordringen? ja oder neinJa
  31. 31Welche Information enthält eine Portweiterleitungsregeln?• Äußerer Port (Port auf dem Fernzugriff angesprochen wird)
    • Innere IP-Adresse (IP-Adresse vom Gerät auf das zugegriffen werden soll)
    • Innere Port (Port des Service der angesprochen werden soll)
    • Regel aktiv / inaktiv
    • Protokoll (TCP/UDP)
    • Regelbezeichnung
  32. 32Wozu wird der Fernzugriff benötigt? Geben Sie mehrere Anwendungsfälle an.• Fernwartung
    • Fernadministration
    • Fernsteuerung
    • Fernkonfiguration
    • Fernüberwachung
    • Zugriff auf Unternehmensdaten
  33. 33Welche grundsätzlichen Konzepte für Fernzugriff außer VPN kennen Sie?• Klassische Portweiterleitung
    • Teamviewer (cloudbasierter Ansatz)
    • Terminal-Server (z.B. Citrix)
    • Herstellerspezifische Lösungen
  34. 34Wie können Sie testen, ob eine eingerichtete Port Weiterleitung Regel aktiv ist?• Testen des klassischen Fernzugriffs, bei Funktion → i.o.
    • Heise Portscan
  35. 35Womit kann Fernzugriff erfolgen?• Notebook / PC
    • Smartphones etc.
    • Tablet etc.
  36. 36Auf welche Ressourcen (worauf) kann über ein Fernzugriff zugegriffen werden?• Ressourcen im Firmennetz
    • Control Panel / Photovoltaik-Anlage
    • Kameras
    • Gebäudesteuerung
    • Daten im Netzwerk
    • Diverse Dienste im Netzwerk
  37. 37Im Firmennetz läuft auf einem PC die ETS- Software, womit sie die KNX- Konfiguration durchführen. Welche Möglichkeiten des Fernzugriffs gibt es hierfür? Wie machen Sie das?• Team Viewer
    • Remote Desktop (Portweiterleitung → unsicher weil Port geöffnet)
    • VPN für die sichere Verbindung
  38. 38Bei Fernzugriff zu Wartungszwecken zwischen internem und externem Wartungspersonal unterschieden. Warum sind diese beiden Gruppen sicherheitstechnisch unterschiedlich zu betrachten?Internes Wartungspersonal ist geschultes Personal der Firma, Sicherheitskonzepte sind ihm bekannt. Für externes Wartungspersonal müssen Schulungen gehalten werden und Verschwiegenheitserklärungen müssen abgegeben werden. Zusätzliche Sicherheitseinstellungen sind erforderlich, denn externes Wartungspersonal bringt andere Hardware ins Netzwerk und könnte eine Sicherheitslücke darstellen.
  39. 39Welche Maßnahmen empfiehlt das BSI zur sicheren Fernwartung?• Fernwartung sollte nur von innen eingeleitet werden
    • Sichere Verfahren verwenden
    • Fernwartung sollte protokolliert werden
  40. 40Welche technischen Möglichkeiten zum Zugriff auf Windows Rechnern (Fernbedienung) gibt es?• Remote Desktop (Portweiterleitung)
    • Team-Viewer
  41. 41Welche Fernzugriffsmöglichkeiten auf ein Gerät mit Weboberfläche gibt es?• Klassischer Fernzugriff (Portweiterleitung)
    • VPN
  42. 42Welche Fernzugriffs Möglichkeiten zum Zugriff auf ein Windows-Share gibt es?• Ordnerfreigabe über NAS
    • SMB (Windows Service für Ordnerfreigabe)
    • Beides nur über VPN
  43. 43Welche Möglichkeiten zum Zugriff auf die Bedienoberfläche auf ein KNX Comfort-Panel gibt es?• VNC-Server auf Panel aktivieren und VNC-Client auf Notebook
    o Zugang über Portfreigabe oder über VPN-Tunnel
  44. 44Wie funktioniert der „Teamviewer-Ansatz = Cloudbasierter Ansatz“ für Fernzugriff?Verbindungsaufbau über Herstellerplattform. Der Zusteuernde muss dem Steuernden die bei ihm sichtbaren Zugangsdaten mitteilen und bei Verbindungsversuch den Zugang erlauben.
  45. 45Warum etabliert sich gerade im Home- und Smart- Bereich diese „cloudbasierte Lösung“ für Fernzugriff? (Statt VPN oder einfacher Fernzugriff)Cloudbasierte Anwendungen sind als Freeware zu erhalten und einfach zu bedienen. Der Errichter der Anlage haftet nicht.
  46. 46Wie werden heutzutage M2M-Anwendungen (Machine-to-Machine) realisiert?• Cloudbasierte Herstelleranwendung
    • Direkte VPN-Verbindung
  47. 47Welche Fernzugriffs Ansatz bietet die sicherste Universal Lösung?Das Virtual-Private-Network bietet die Universal-Lösung.
  48. 48Wie wirkt das Arbeiten mit VPN?Wie das Arbeiten im Firmennetzwerk direkt.
  49. 49Welche Sicherheitsmaßnahmen gelten für Fernzugriff im industriellen Umfeld?• VPN
    • Netzsegmentierung
    • Firewall
    • Authentisierung
    • Whitelist, Blacklist
    • Schlüsselschalter-Funktion (erst aktivieren wenn Fernzugriff stattfinden soll)
  50. 50Wofür steht die Abkürzung VPN?• Virtual Private Network
  51. 51Erklären Sie den Begriff „Virtual Private Network“ mithilfe der AVM- Dokumentation „VPN für Experten: die Technik im Detail“.Das Internet bietet flexible Verbindung zwischen allen Teilnehmern, diese Verbindung ist allerdings ungesichert. Um sensible Daten vor Angriffen zu schützen wird die Verbindung im Virtual Private Network durch einen sogenannten Tunnel geschützt. Tunnel können jederzeit auf und abgebaut werden, die Endpunkte können einzelne PC´s oder auch Netzwerke sein die über die entsprechenden Protokolle verfügen.
  52. 52Nennen Sie die Grundwerte der Informationssicherheit, die auch beim Thema VPN eine Rolle spielen.• Vertraulichkeit
    • Integrität
    • Authentizität
  53. 53Welcher Grundwert der Informationssicherheit kann nicht garantiert werden?• Verfügbarkeit (keinen Einfluss auf die Verfügbarkeit des Internets)
  54. 54Was ist Prüfung der Authentisierung? Wie kann das erfolgen?Mit der Authentisierung weist der Kommunikationspartner nach ob er es tatsächlich ist. In der Praxis wird dies mit Login-Systemen und Zertifikaten erreicht. Im VPN erfolgt die Authentisierung mittels dem AH und / oder ESP.
  55. 55Nennen Sie die drei möglichen Faktoren für Authentisierung und geben Sie hierfür jeweils ein Beispiel.• Wissen
    o z.B. Passwort
    • Besitz
    o z.B. Zugangskarte
    • biometrische Merkmale
    o z.B. Fingerabdruck
    o z.B. Irisscan
    o z.B. DNA-Analyse
  56. 56Das BSI empfiehlt eine Zwei Faktor Authentifizierung. Was ist das und geben Sie ein Beispiel aus dem Alltag an, wo dies bereits umgesetzt wird.Eine Zwei Faktor Authentifizierung fordert zur Legitimation zwei unterschiedliche Verfahren die nacheinander abgefragt werden. An einem Bankautomaten im Alltag verwendet man seine Bankkarte und muss sich zusätzlich mit einem PIN legitimieren.
  57. 57Geben Sie Beispiele für symmetrische Schlüssel.• AES
    • Camellia
  58. 58Geben Sie ein Beispiel für einen (aus heutiger Sicht) sicheren symmetrischen Schlüssel.• AES 256
  59. 59Nennen Sie Beispiele für asymmetrische Verschlüsselungsverfahren.• ECC
    • RSA
  60. 60Nennen Sie ein sicheres (aus heutiger Sicht) asymmetrisches Verschlüsselungsverfahren.• ECC 384 / 521
    • RSA 4096 / 8192
  61. 61Nennen Sie Beispiele für kartographische Prüfsummen.• SHA 3 512
    • RIPE MD 320
  62. 62Ein VPN bietet Authentifizierung, Vertraulichkeit und Integrität der übertragenen Informationen. Wozu?Im Internet werden die klassischer Weise Daten unverschlüsselt übertragen. VPN´s nutzen das Internet als Übertragungsmedium. Im Internet sollen die zu übertragenden Daten vor fremden Zugriffen und Manipulationen geschützt werden.
  63. 63Welche Sicherheitsanforderungen an VPN´s gestellt?• Authentizität
    • Integrität
    • Vertraulichkeit
  64. 64Geben Sie Anwendungsszenarien für VPN.• Sicherer Fernzugriff auf ein Unternehmensnetz (Außendienst, Home Office)
    • Standortvernetzung
  65. 65Was sind die klassischen VPN Realisierung?• End to Site
    • Site to Site
    • Host to Host
  66. 66Was ist ein Client-to-Site-VPN?In dieser Variante wird eine Verbindung zwischen dem Endgerät des Außendienstmitarbeiters und dem Firmennetzwerk realisiert.
  67. 67Welche drei Faktoren der Authentisierung sind möglich?• Wissen
    • Besitz
    • Biometrische Merkmale
  68. 68Geben Sie Alternativbezeichnungen für die VPN Realisierungen an:• Host-to-Host → End-to-End; Remote-Desktop
    • Site-to-Site → LAN-to-LAN; Gateway-to-Gateway; Standortvernetzung
    • Host-to-Site → Host-to-Gateway; Remote-Access; Client to LAN; Client to Site
  69. 69Nennen Sie einige Fakten, warum eine IPSec- VPN- Lösung in der Praxis recht teuer und kompliziert ist?Teuer weil:
    • VPN-Client muss gekauft werden (Lizenzkosten)
    • Produkte sollten Herstellergebunden gekauft werden, unterschiedliche Hersteller bei den Verbindungspartnern treibt den Konfigurationsaufwand in die höhe
    • Konfiguration ist aufgrund der Konfigurationsmöglichkeiten komplizierter
    Arbeitsleistung → Lohnkosten höher
    Kompliziert weil:
    • Für technische Leihen ist eine Konfiguration schwer zu realisieren, Dienstleister ist erforderlich
    • Probleme mit Firewalls
    • unterschiedliche Hersteller bei den Verbindungspartnern treibt den Konfigurationsaufwand in die höhe
  70. 70Authentisierungsverfahren beim VPN?• Pre-Shared-Key (PSK) → alle Nutzer gleichen Schlüssel
    • Zertifikate → jeder Benutzer hat ein eigenes Zertifikat
    • XAUTH → zusätzlich – Benutzername und Passwort
  71. 71Der Aufbau einer VPN Verbindung erfolgt unabhängig vom Protokoll in drei Schritten. Welche sind das?• Authentifizierung
    • Schlüsselaustausch
    • Datenaustausch
  72. 72Welche Übertragungstechniken werden bei IP-VPNs (Secure VPNs) verwendet?• IPsec
    • SSL-VPN (Open-VPN)
    • L2TP over IPsec
    • PPTP (unsicher)
  73. 73Welche Vorteile bietet ein Site-to-Site VPN basierend auf dem IP- VPN (Tunnel basiert)?• Sichere Standortverbindung über unsicheres öffentliches Netz
  74. 74Definieren Sie den Begriff „Split-Tunneling“.Hierbei wir im PC geroutet, verwendet wird die Netzwerkkarte für Internetverkehr und eine virtuelle Netzwerkkarte für VPN Verkehr.
  75. 75Definieren Sie den Begriff "kein Split-Tunneling".Gesamter ausgehender Datenverkehr über VPN-Tunnel zu VPN-Server und dann in das entsprechnde Netz.

Information

Description
Meister Informationstechnik VPN und IT-Security Flashcards on VPN, created by Jörg Fischer on 31/08/2016.
Created by
Jörg Fischer
Views
49
Rating

Feedback

What is it about?

What do you think of the new look?

How do you like it?