Unser FAQ-Artikel „transObjects® vs. LinuxXY oder warum ist VPN eine Rückzugstechnologie?“ hat insofern seine Zielsetzung verfehlt, als dass er anstatt Fragen zu beantworten, was die eigentliche Aufgabe dieser Sparte ist, eine Lawine derselben aufgeworfen hat J; jedenfalls haben wir selten zuvor eine so lebhafte, teils leidenschaftliche Diskussion losgetreten, wie mit der ganzen „Rückzugstechnologie“. Allerdings, dass eine solche (Dis-) Qualifizierung die gesamte VPN-Gemeinde gegen uns aufbringen wird, hätten wir uns im Prinzip denken können.
Auch wenn wir vorliegend Eure Einwände in gewohnter Klarheit qualifizieren, habt vielen Dank für jeden Diskussionsbeitrag. Auch in Zukunft freuen wir uns über Eure kritischen Fragen und Anregungen!
Eure Einwände – nennen wir es einfach Fragen – lassen sich im Wesentlichen in zweierlei Gruppen gliedern:
1. Wie kommt Ihr denn darauf, VPN als eine „Rückzugstechnologie“ zu bezeichnen, wo doch immer mehr Firmen – z.B. Fa. XY – nach und nach auf das VPN einschwenken?
2. Wie kommt Ihr denn darauf, VPN als ein „Sicherheitsrisiko“ zu qualifizieren, wo doch diese und jene Vorrichtung eines so bekannten Herstellers das VPN doch so unglaublich sicher macht?
Beginnen wir nun mit letzterem der beiden Fragenkomplexe. Viele unter Euch, die sich als „security professionals“ (oder so ähnlich) bezeichnen, wenden ein, dass Eure VPN’s (die Ihr einsetzt oder vertreibt) doch so sicher seien, da alles Mögliche für den notwendigen Schutz sorge – von dynamischer 156-Bit-Verschlüsselung über Radius bis hin zu irgendwelchem kryptischen Zusatzequipment. Einer von Euch hat sogar „seine“ VPN (den Hersteller lassen wir hierbei unerwähnt) als „absolut sicher“ bezeichnet.
Zu diesem Fragenkomplex ist zunächst anzumerken, dass unser FAQ-Artikel auf VPN’s als solche abzielt, jedoch nicht auf konkrete Schutzvorrichtungen von Checkpoint, Cisco, Telekom und weiss der Kuckuck von wem noch, die im Produktnamen das Kürzel „VPN“ mit verbrämt haben. Diesen Produktbezeichnungen ist auch das grösste Missverständnis zuzuschreiben, worüber unser Artikel handelt, nämlich, dass VPN etwas mit Sicherheit zu tun habe, dass es die beste Firewall sei ;-).
In Wahrheit hat VPN per se mit dem einen wie dem anderen rein gar nichts zu tun. Gewiss ist einem System, das auf Smartcards aufbaut, die einem wiederum an die Hose gepappt werden (wodurch bei jedem Gang auf Toilette eine Trennung vom VPN erfolgt ;-)) ein ausgesprochen hohes Mass an Sicherheit zu bescheinigen… Nur: Diese Sicherheit besteht nicht aufgrund oder gar dank VPN sondern vielmehr trotz des VPN! Anders ausgedrückt: VPN macht gewisse Sicherheits-Vorrichtungen erst zwingend erforderlich, denn das zu Schützende ist nun nicht mehr nur eine „kleine“ DMZ sondern bereits das unternehmensweite System. Noch anders ausgedrückt, für diejenigen, die mathematisch fundierte Beweise benötigen: Würden wir die Wahrscheinlichkeit der Korrumpierung einer Schutzvorrichtung mit den entsprechend quantifizierten Folgen derselben, etwa den finanziellen Folgen, multiplizieren, so erhielten wir durch:
den stochastischen Erwartungswert für die finanziellen Verluste, die aufgrund von destruktiver Nutzung unserer Anlage einzukalkulieren wären. Da wir bei unserem Modell der Einzelkanal-Freigabe absolut die gleichen Schutzvorrichtungen verwenden können, die in Euren so genannten VPN’s drinnen stecken, erreichen wir genau das gleiche p, jedoch ein ungleich geringeres V. Die Folgen der Korrumpierung eines einzelnen Datenbankkanals, der womöglich noch auf eine demilitarisierte Zone geroutet wird, sind überhaupt nicht mit denen einer völligen Entblössung des gesamten Systems zu vergleichen!
Natürlich werdet Ihr jetzt einwenden, dass Euer p doch so klein sei – und einer hat wie gesagt behauptet, dieses sei gleich Null! Wir wollen die Binsenweisheit, wonach es eine absolute Sicherheit nicht gebe, nicht diskutieren. Der Kollege mit dem „absolut sicheren VPN“ möge jedoch bedenken, dass eine destruktive Nutzung des Systems nicht unbedingt von aussen generiert sein muss. Wenn jemand seine Smartcard stecken lässt und Kaffe trinken geht, kann jemand anders Verschiedenes anstellen. Die Frage ist, ob Ihm dabei das weltweite Unternehmensnetzwerk offen „zur Verfügung“ steht oder nicht.
Nein, an den gnadenlosen Zwängen könnt Ihr einfach nicht vorbei. Um ein Produkt zweier Zahlen gering zu halten, müssen beide Faktoren möglichst klein gehalten werden. Für den ersten der beiden habt Ihr alle viel zu bieten, für den zweiten nicht unbedingt. Hier darf man keine getrennten Standorte zu einem einzigen zusammenfassen und auch nicht getrennte IP-Kanäle zu einer logischen „Leitung“ bündeln. Mit anderen Worten: Weg mit dem VPN!
Als Fazit muss die unsererseits ausgemachte Sicherheitsschwäche des VPN’s als solchen ohne jeden Abstrich bestehen bleiben.
Was den ersten Fragenkomplex anbelangt, so können wir Euch teilweise Recht geben. Denn VPN’s als „Rückzugstechnologie“ zu qualifizieren ist – zumindest unter markettingtechnischen Gesichtspunkten – derzeit (Ende 2005) noch nicht belastbar und von daher kann man es durchaus als zu kategorisch bezeichnen. Dieses Prädikat entsprang einfach der Beobachtung, dass Alternativen zu VPN mit hohem Aufwand entwickelt werden.
Aber ansonsten muss an der Relativierung festgehalten werden, dass VPN eine Konzession an veraltete Software oder Systeme darstellt und das auf Kosten (und nicht etwa zu Gunsten) der Sicherheit. Inwieweit das bereits als ein „Rückzug“ unsererseits zu werten ist, kann vortrefflich diskutiert werden. Sofern Ihr aber als weiteres Argument „namhafte Unternehmen“ ins Feld führt, darunter solche, die in der jüngsten Vergangenheit ihre „Klasse“ gezeigt haben, so werdet Ihr verstehen, dass wir darin als alles Mögliche sehen, aber nicht den Beweis für die Zukunftsträchtigkeit des VPN. Bedenkt bitte, dass die Lagerhallen bei so machen IT-Grossunternehmen mit Ladenhütern gefüllt sind, die nicht selten das „VPN“ mit in der Produktbezeichnung tragen. Und diese Unternehmen verfügen über exzellente Marketingabteilungen 😉 !!!