Sicherheitskonzept (intern) - Versionsgeschichte

Sjw: update http links

2017-06-14T02:18:16Z

update http links

Langweiler: Langweiler verschob die Seite Sicherheitskonzept nach Sicherheitskonzept (intern), ohne dabei eine Weiterleitung anzulegen

2015-06-22T18:53:39Z

Langweiler verschob die Seite Sicherheitskonzept nach Sicherheitskonzept (intern), ohne dabei eine Weiterleitung anzulegen

Tjingz: /* Bekannte Lücken sowie geplante, zukünftige Sicherheitsmaßnahmen */

2015-05-24T17:27:50Z

‎Bekannte Lücken sowie geplante, zukünftige Sicherheitsmaßnahmen

Tjingz: /* Umgesetzte Sicherheitsmaßnahmen */

2015-05-24T17:26:17Z

‎Umgesetzte Sicherheitsmaßnahmen

Degrtbw am 18. Mai 2015 um 16:42 Uhr

2015-05-18T16:42:34Z

Pepto: /* Umgesetzte Sichgerheitsmaßnahmen */

2015-05-18T14:43:31Z

‎Umgesetzte Sichgerheitsmaßnahmen

Langweiler: /* Abgeleitete Sicherheitsanforderungen */

2015-05-17T15:07:03Z

‎Abgeleitete Sicherheitsanforderungen

Langweiler: /* Geplante, zukünftige Sicherheitsmaßnahmen */

2015-05-17T15:06:00Z

‎Geplante, zukünftige Sicherheitsmaßnahmen

Langweiler: /* Schutzziele und Gefährdungen */

2015-05-17T15:05:25Z

‎Schutzziele und Gefährdungen

Langweiler: /* IC-VPN Gateways */

2015-05-17T15:04:43Z

‎IC-VPN Gateways

@@ Zeile 42: / Zeile 42: @@
 Die Freifunk-Router sinde handelsübliche WLAN-Router, ausgestattet mit einer speziellen Software ("Firmware"). Die spezielle Firmware gestattet es den Freifunk-Routern spontan Verbindung mit anderen Freifunk-Routern in Reichweite aufzunehmen. Hierbei kommt der offizielle, zugelassene WLAN-Standard 802.11n zum Einsatz. Gleichzeitig agieren die Router als WLAN-Zugangspunkt und ermöglichen damit Klienten (z.B. Smartphones) den direkten Zugang zum Freifunknetz.
-Damit die Daten in dieser chaotischen Struktur ihren Weg finden, kommt ein spezielles Routing-Protokoll zum Einsatz. Im Fall des FF3L handelt es sich um das Protokoll [http://www.open-mesh.org/projects/batman-adv/wiki B.A.T.M.A.N. Advanced]. Dieses arbeitet auf der Netzzugangsschicht (Layer 2 nach dem OSI-Netzwerkschichtmodell). Das Freifunk-Netz verhält sich damit effektiv so, als wären alle Knoten über einen einzigen Netzwerk-Switch miteinander verbunden.
+Damit die Daten in dieser chaotischen Struktur ihren Weg finden, kommt ein spezielles Routing-Protokoll zum Einsatz. Im Fall des FF3L handelt es sich um das Protokoll [https://www.open-mesh.org/projects/batman-adv/wiki B.A.T.M.A.N. Advanced]. Dieses arbeitet auf der Netzzugangsschicht (Layer 2 nach dem OSI-Netzwerkschichtmodell). Das Freifunk-Netz verhält sich damit effektiv so, als wären alle Knoten über einen einzigen Netzwerk-Switch miteinander verbunden.
 Neben der direkten Verbindung von Freifunk-Routern via WLAN gibt es die Option, isolierte Funkwolken über Tunnelverbindungen zu zentralen Servern ("Bündel-Servern") miteinander zu verbinden. Die Tunnelverbindungen laufen über das Internet und sind verschlüsselt (d.h. der Inhalt ist für Dritte nicht einsehbar). Der Internetanschluss wird hierbei auf freiwilliger Basis von den Knotenbetreibern zur Vefügung gestellt.
@@ Zeile 101: / Zeile 101: @@
 #* Der FF3L betreibt einen Aktualisierungs-Dienst, welcher über das Freifunk-Netz erreichbar ist. Mit Hilfe des Aktualisierungsdienstes lassen sich neuere Versionen der Firmware auf den Routern automatisch einspielen. Die Konfiguration der Freifunk-Router bleibt hierbei soweit möglich erhalten.
 #* Der Aktualisierungs-Dienst ist in der Standardkonfiguration der Freifunk-Firmware aktiviert (Zweig "stable"). Der Aktualisierungs-Dienst kann im Konfigurationsmodus in den Experteneinstellungen deaktiviert werden ("opt-out").
-#* Die Authentitizät der Firmware-Images wird durch ein Signaturverfahren gewährleistet (signiertes Manifest). Neue Images werden von den Freifunk-Routern nur bei vorhandensein einer gültigen Signatur installiert (siehe auch [http://gluon.readthedocs.org/en/v2014.4/index.html Gluon-Dokumentation]).
+#* Die Authentitizät der Firmware-Images wird durch ein Signaturverfahren gewährleistet (signiertes Manifest). Neue Images werden von den Freifunk-Routern nur bei vorhandensein einer gültigen Signatur installiert (siehe auch [https://gluon.readthedocs.org/en/v2014.4/index.html Gluon-Dokumentation]).
 #* Veröffentlichte Firmware-Images werden in die Zweige "experimental", "beta" und "stable" unterteilt. Neue Firmware-Versionen werden in eben dieser Reihenfolge ausgerollt, um einen ausreichenden Testbetrieb vor der Verbreitung zu gewährleisten.
-#* Die Aktuelle Praxis bezüglich der Veröffentlichung von neuen Firmware-Versionen ist im [http://wiki.freifunk-3laendereck.net/Freifunk-Router:Firmware Wiki] des FF3L dokumentiert.
+#* Die Aktuelle Praxis bezüglich der Veröffentlichung von neuen Firmware-Versionen ist im [https://wiki.freifunk-3laendereck.net/Freifunk-Router:Firmware Wiki] des FF3L dokumentiert.
 # Übertragene Daten sind vor dem Zugriff Dritter geschützt.
 #* Die Datenübertragung zu den Bündel-Servern erfolgt mittels der VPN-Software fastd über das Internet. Die übertragenen Daten sind mittels des Chiffre Salsa20/12 verschlüsselt.
@@ Zeile 125: / Zeile 125: @@
 #* Die Datenübertragung zwischen den Freifunk-Routern erfolgt auf Grund der eingesetzen Technologie unverschlüsselt. Sie ist damit durch Dritte vor Ort abhörbar.
 #* Umfassende Sicherheit lässt sich allein durch End-zu-End-Verschlüsselung gewährleisten. Die Anwendung dieser erfolgt auf den Endgeräten und liegt damit in der Verantwortung der Freifunk-Nutzer und nicht des FF3L.
-#* Um eine sichere Übetragung von den Klienten zu den Bündel-Servern zu gewährleisten, soll optional ein VPN-Zugang für Klienten angeboten werden (z.B. [http://www.openvpn.net OpenVPN]).
+#* Um eine sichere Übetragung von den Klienten zu den Bündel-Servern zu gewährleisten, soll optional ein VPN-Zugang für Klienten angeboten werden (z.B. [https://openvpn.net OpenVPN]).
 #* Um eine sichere Übertragung von Endpunkt zu Endpunkt innerhalb des Freifunk-Netzes anzubieten, ist die Einrichtung eines verschlüsselten Overlay-Netzes angedacht (z.B. [http://cjdns.info/ cjDNS]).
 # Ein zuverlässiger, störungsfreier Betrieb ist gewährleistet

@@ Zeile 169: / Zeile 169: @@
 #* Die Erteilung von Zugriffsrechten erfolgt derzeit weitestgehend monolithisch, soll in Zukunft jedoch granular und nach Bedarf erfolgen. Erteilte Rechte sollen an geeigneter Stelle transparent dokumentiert und veröffentlicht werden.
 #* Bzgl. der verwendbaren Passwörter gibt es aktuell keine Vorgaben. In der Zukunft soll eine Überprüfung der Passwortstärke sowie Vorgabe einer minimalen Entropie implementiert werden.
-#* Die Authentizfizierung im Rahmen des Shell-Login via SSH ist aktuell mittels eines Passworts möglich. Die Authentifizierung soll auf asymmetrische Schlüsselverfahren beschränkt werden, um die Folgen von Man-in-der-Mitte-Angriffen zu mildern.
+#* Die Authentifizierung im Rahmen des Shell-Login via SSH ist aktuell mittels eines Passworts möglich. Die Authentifizierung soll auf asymmetrische Schlüsselverfahren beschränkt werden, um die Folgen von Man-in-der-Mitte-Angriffen zu mildern.
 #* Sicherheitssoftware zur Erkennung von Eindringlingen wird aktuell nur auf einem Teil der Freifunk-Server verwendet. Die Erstellung und Umsetzung eines flächendeckenden Konzepts steht nachwievor aus.
 # Fehler und Sicherheitslücken in der verwendeten Software werden behoben.

@@ Zeile 162: / Zeile 162: @@
 #* Das Administratoren-Team verfolgt sicherheitsrelevante Ankündigungen über die Mailing-Liste debian-security-announce@lists.debian.org.
 # Ein zuverlässiger, störungsfreier Betrieb ist gewährleistet.
-#* Kritische Server und Dienste werden über ein zentrales Monitoring auf der Basis von Nagios(-Derivaten) überwacht. Das Monitoring ist redundant aufgesetzt. Der aktuelle Zustand aller Server und Diense ist über eine Web-Oberfläche einsehbar. Optional erfolgt eine Mitteilung per e-Mail im Fall von Statusänderungen.
+#* Kritische Server und Dienste werden über ein zentrales Monitoring auf der Basis von Nagios(-Derivaten) überwacht. Das Monitoring ist redundant aufgesetzt. Der aktuelle Zustand aller Server und Dienste ist über eine Web-Oberfläche einsehbar. Optional erfolgt eine Mitteilung per e-Mail im Fall von Statusänderungen.
 #* Die Server des FF3L werden von Host Providern angemietet. Diese bieten üblicherweise einen gewissen Schutz vor DoS-Angriffen in der Form adaptiver Firewalls.

@@ Zeile 243: / Zeile 243: @@
 Zusätzlich gelten die Schutzziele und Gefährdungen für Server im allgemeinen.
-===Abgeleitete Sichgerheitsanforderungen===
+===Abgeleitete Sicherheitsanforderungen===
 # Übertragene Daten sind vor dem Zugriff Dritter geschützt.
 #* Die Datenübertragung zu den Bündel-Servern erfolgt mittels verschlüsselter Tunnelverbindungen (End-zu Endverschlüsselung) unter Verwendung von nach heutigem Wissenssand sicherer Verfahren.

@@ Zeile 109: / Zeile 109: @@
 # Ein zuverlässiger, störungsfreier Betrieb ist gewährleistet.
 #* Der Ausfall einzelner Server führt nicht zu Störungen innerhalb des Netzes, sofern alternative Routen existieren. In diesem Fällen wird das Routing durch das verwendete Routing-Protokoll batman-adv automatisch korrigiert und die Lücke geschlossen
-#* Die Freifunk-Firmware stellt auf den Knoten eine Stauts-Seite bereit. Auf dieser kann man sehen, ob der Knoten mit dem Freifunk-Netz und auf welche Weise er mit dem Freifunk-Netz verbunden ist.
+#* Die Freifunk-Firmware stellt auf den Knoten eine Status-Seite bereit. Auf dieser kann man sehen, ob der Knoten mit dem Freifunk-Netz und auf welche Weise er mit dem Freifunk-Netz verbunden ist.
-#* Der Status aller Knoten wird zusätzlich in Form einer Knotenkarte auf den Servern des FF3L visualisiert. Der Karte lässt sich neben der Lage des Knotes (freiwillige Angabe) entnehmen, ob ein Knoten mit dem Freifunk-Netz verbunden ist und wie er vebunden ist.
+#* Der Status aller Knoten wird zusätzlich in Form einer Knotenkarte auf den Servern des FF3L visualisiert. Der Karte lässt sich neben der Lage des Knotens (freiwillige Angabe) entnehmen, ob ein Knoten mit dem Freifunk-Netz verbunden ist und wie er verbunden ist.
 ===Bekannte Lücken sowie geplante, zukünftige Sicherheitsmaßnahmen===

← Nächstältere Version	Version vom 22. Juni 2015, 18:53 Uhr
(kein Unterschied)

@@ Zeile 221: / Zeile 221: @@
 # Gleichmäßige Verteilung der verfügbaren Bandbreite auf alle Klienten sowie adequate Priorisierung des Verkehrs nach Diensten.
 #* Verwendung geeigneter Queueing Disciplines.
 # Unterbindung von Rechtsverletzungen
 #* Unterbindung des Versands von SPAM-Nachrichten.

@@ Zeile 228: / Zeile 228: @@
 ===Umgesetzte Sicherheitsmaßnahmen===
-===Geplante, zukünftige Sicherheitsmaßnahmen===
+===Bekannte Lücken sowie geplante, zukünftige Sicherheitsmaßnahmen===
 ==IC-VPN Gateways==

@@ Zeile 231: / Zeile 231: @@
 ==IC-VPN Gateways==
-IC-VPN Gateways stellen die Verbindung zwischen dem Freifunk-Netz und anderen Freifunk-Netzen innerhalb des Intercity VPNs (IC-VPN) her. Die Verbindung erfolgt über ein virtuelles Transportnetz. Die zugeheörigen Routen werden mittels BGP ausgetauscht. In der aktuellen Konfiguration wird zusätzlich der Verkehr ins Internet via IPv6 zu den "Exit Nodes" anderer Freifunk-Netze geroutet. Konkret erfüllen IC-VPN Gateways die folgenden Aufgaben:
+IC-VPN Gateways stellen die Verbindung zwischen dem Freifunk-Netz und anderen Freifunk-Netzen innerhalb des Intercity VPNs (IC-VPN) her. Die Verbindung erfolgt über ein virtuelles Transportnetz. Die zugehörigen Routen werden mittels BGP ausgetauscht. In der aktuellen Konfiguration wird zusätzlich der Verkehr ins Internet via IPv6 zu den "Exit Nodes" anderer Freifunk-Netze geroutet. Konkret erfüllen IC-VPN Gateways die folgenden Aufgaben:
 * Peering mit IC-VPN Gateways anderer Freifunk-Netze
 * Austausch von Routeninformation via BGP