Verbesserte Netzwerksicherheit dank Trusted Network Connect

Nach Angaben der Trusted Computing Group liegt das Fernziel in der Entwicklung einer offenen und herstellerunabhängigen Spezifikation zur Überprüfung der Endpunkt-Integrität. Diese Überprüfung sei grundlegend zur Feststellung der Vertrauenswürdigkeit eines Rechnersystems. Zusätzlich bietet die TNC-Spezifikation erweiterte Sicherheitsmechanismen für die Zugriffskontrolle.

So definiert die TNC-Architektur drei verschiedene Komponenten. Neben Access Requestor (AR) sind dies Policy Decision Point (PDP) sowie Policy Enforcement Point (PEP). TNC soll dabei keine vorhandenen Sicherheitstechnologien ersetzen, sondern auf ihnen aufbauen. So werden beispielsweise aktuelle Sicherheitstechnologien für den Netzwerkzugriff (802.1x und VPN), für den Nachrichtentransport (EAP, TLS und HTTPS) und für die Authentifizierung unterstützt.

Durch diese Eigenschaften soll sich TNC leicht in bestehende Netzinfrastrukturen integrieren lassen. Welche Hard- und Software in einem Netzwerk erlaubt ist, kann vom Netzbetreiber über Policies fesgelegt werden. Beispielsweise lassen sich aktuelle Virenscanner zur Bedingung machen oder lokal angeschlossene Drucker untersagen.

Das Rechnersystem, das eine Verbindung zum Netzwerk aufbauen soll, wird als Access Requestor (AR) bezeichnet. Das Gegenstück dazu bietet der Policy Decision Point (PDP). Direkt am Zugriffspunkt zum Netzwerk befindet sich der Policy Enforcement Point (PEP). Als „mission critical“ erweist sich die Authentifizierung beziehungsweise Autorisierung für das Virtual Private Network (VPN). Bekanntlich benötigt der User hierfür Credentials wie Benutzername und Passwort.

TNC versucht nun, in diesen Prozess verschiedene Module zwischenzuschalten. So sendet etwa der VPN-Client seine Credentials zum VPN-Gateway, der wiederum mit einer Access-Request-Nachricht an einen RADIUS-Server aufwartet. Dieser nutzt etwa einen Verzeichnisdienst (DS), um das Zugriffsrecht zu prüfen. Der RADIUS erfragt die Logindaten wiederum vom Verzeichnisdienst. Er prüft die Credentials und sendet eine Nachricht ans VPN-Gateway.

Besitzt die Zielperson die nötigen Zugriffsrechte, so erhält der Nutzer einen verschlüsselten und sicheren Zugriff ins Netzwerk. Allerdings geschehe dies mit der Einschränkung, dass auch Malware auf den Access Requestor (AR) gelangen oder ein Angreifer mit gestohlenem Token oder Passwort sich ebenfalls einloggen könne, erläutert Pohlmann. Folglich gilt es, weitere Stufen in der Absicherung zu erklimmen.