Publikation utgiven av International Data Group AB. Världens största utgivare av datarerlaterad fackpress. www.idg.se Särtryck ur TechWorld 5/2008 Testade produkter: Cisco ASA 5505 Juniper SA4000 Microsoft IAG 2007 Sonicwall Aventail EX-2500 Cisco bäst Informationen alltid inom räckhåll Cisco ASA 5505 bäst i test De testade produkterna erbjuder fantastiska möjligheter att kontrollera trafiken till företagsnätet. Samtidigt är det inte helt lätt att utnyttja och konfigurera alla funktioner på ett bra sätt den som säljer routrarna kan enkelt sälja även en bunt konsulttimmar för konfigurering. Det här är inga produkter du hanterar genom att skjuta från höften. Väl igång ger de dock företagets anställda en grym möjlighet att alltid ha rätt information inom räckhåll. Cisco ASA 5505 vinner testet med minsta möjliga marginal över Juniper SA4000 och Aventail EX-2500. Det är inga stora skillnader mellan de tre produkterna när det gäller säkerhet och funktion. Microsoft IAG är också en bra produkt, men tappar något på att den är väldigt Windowsorienterad. Dessutom saknar den funktionen secure virtual desktop. Anders Krus, produkttestare anders.krus@techworld.se
4 s s l - v p n - r o u t r a r t e s t l a b b e t Med ssl-vpn kan du på ett säkert sätt nå dina dokument på distans. Vi har testat fyra burkar som tar oss en bit på vägen, men så värst klientoberoende blir det tyvärr inte. på ssl-vpn men med Linux fungerar det sämre! Text: Anders Krus Foto: Andreas Eklund Du kommer plötsligt på att du behöver ett dokument eller en fil, men du är oförberedd och har inte med dig din egen bärbara dator. Eller så är du ute på ett kundbesök och får plötsligt frågan som du inte förväntade dig eller har förberett dig på. Vad gör du? Med ett vpn, virtuellt privat nätverk, går det att nå det egna säkra hemmanätet via ett osäkert nät, till exempel internet. Vpn är inget nytt fenomen utan har funnits i stort sett lika länge som ip-protokollet. Att kunna nå informationen säkert handlar om att godkänna ändpunkterna och att skydda informationen med kryptering. Ser vi det översiktligt kan vi säga att det finns tre alternativ för att skydda data: på ip-nivå, på transportnivå och på tillämpningsnivå. Säkerhetslager ovanpå Att skydda data på ip-nivå handlar om att klämma in ett säkerhetslager ovanpå ip i osi-stacken och på så sätt kryptera transport och tillämpningslager. Det har några nackdelar, som att trafiken bara skyddas fram till ändhårdvaran (den dator användaren har), eftersom innehållet först måste dekrypteras innan portnumret som pekar ut aktuell tillämpning blir synligt. Protokollet som används är ipsec med antingen authentication header, ah, eller encryption security payload, esp. Ipsec fastnar också om det passerar en network address translator, nat, såvida man inte tar till extraåtgärder och kapslar in all trafik i udppaket. Om du i stället väljer kryptering på tilllämpningsnivå är det inte helt glasklart hur du ska gå tillväga. Mejl kan säkras genom att man krypterar innehållet med till exempel s/mime eller pgp, men mejlklienterna kan inte handskaka fram nya fräscha sessionsnycklar, eftersom de inte står i direktkontakt med varandra. Utvecklades av Netscape En mellanväg är att använda secure socket layer, ssl. Protokollet utvecklades av Netscape 1994 för att säkra webbläsartrafik mellan server och klient, men blev uppskattat och används numera i flertalet tillämpningar. Version 3 kom ut 1995 och är den standard vi använder i dag. Ssl finns även som en IETF-standard kallad transport layer security, tls, som kom 1996. Skillnaden mellan ssl och tls är liten och tls-klienter kan anpassa sig till ssl om så krävs. Den stora fördelen med ssl är att trafiken skyddas hela vägen mellan ett enskilt, lokalt program och en server. Du kan till exempel skapa en säker anslutning mellan det webbläsarfönster du använder och din bank, utan att övriga program på datorn kan ta del av informationen. Visst riskerar du fortfarande att keyloggers eller skärmdumpsprogram fångar delar av informationen, men förhoppningsvis ser ditt virusskydd till att några sådana inte finns installerade. Att välja ssl i stället för ipsec innebär också att du kan nyttja alla de funktioner som finns i webbläsarna för att säkert erbjuda funktioner till användaren, utan att det krävs en massa installerade program på klientsidan. Kräver mycket arbete Vi har testat fyra ssl-vpn-routrar. Det är Aventail EX-2500, Cisco ASA 5505, Microsoft IAG 2007 och Juniper SA4000. Vi har ganska mycket tidigare erfarenhet av ssl-vpn, vilket visade sig vara bra. Det måste nämligen till en hel del handpåläggning innan produkterna är igång. Alla de testade produkterna är av appliance-typ, Den stora fördelen med ssl är att trafiken skyddas hela vägen mellan ett program och en server. Särtryck ur TechWorld 5 2008 techworld.se
vilket innebär att de består av program installerade på en färdig hårdvara. I Microsofts fall handlar det om Windows Server 2003 med ISA och ssl-produkten IAG som installerats på en Pyramidhårdvara. Övriga hade mer eller mindre dedikerade operativsystem och hårdvara för just sslvpn-funktionen. Microsoft IAG hanteras via Windows vanliga menysystem och det installerade Whaleprogrammet via exempelvis Remote Desktop. Aventail och Juniper administreras via ett webbgränssnitt. Cisco kan administreras via webb, men vi rekommenderar att du installerar en lokal administratörskonsol. Certifikat Det första du måste göra är att välja ett signerat certifikat för krypteringsnycklarna. Med ssl delar servern ut en publik nyckel till klienten och certifikatet ska vara signerat av någon. Det privata/publika nyckelparet från respektive ändpunkt används sedan för att skapa en gemensam symmetrisk sessionsnyckel. Den används för att kryptera de data som ska transporteras. Väljer du en av de etablerade certificate authorities, ca, som finns listade som Trusted CA i de vanligaste webbläsarna slipper användaren få en varning. Ssl kan autentisera både användare och server, men det vanligaste är att servern autentiseras med ett signerat certifikat och användaren Cisco ASA 5505 Feldelning. Att nå filer från datorer på nätet var inga problem. Här i Cisco-tappning. Överskådligt. Innan användaren tillåts autentisera sig kan Cisco utvärdera var användaren kommer ifrån och agera därefter.
4 s s l - v p n - r o u t r a r t e s t l a b b e t out-of-band, det vill säga med andra medel när den krypterade sessionen väl är uppe. Vi valde vi ett self-signed servercertifikat och fick därmed klicka för I trust this certificate varje gång vi anslöt. Aventail hade två certifikat igång parallellt ett för användarna och ett för administratören. Aventail har också en mycket bra checklista som administratören kan bocka av under installationen. Cisco har ett antal guider till hjälp. Alla installationer flöt på utan några större bekymmer. Importera användare Sedan var det dags att få in användare i systemet. Samtliga produkter kunde hämta användarna från externa autentiseringsservrar, till exempel active directory. Hos Cisco måste administratören själv skriva in vilka sökvägar hos ldap-servern som skulle gälla. Microsoft, Juniper och Aventail hämtade sökvägarna automatiskt. Förutom ad och ldap klarade produkterna även radius, kerberos, pki-certifikat och diverse andra typer av autentisering. Hos alla gick det att skapa grupper med olika åtkomstbehörigheter, beroende på användare och grupp i autentiseringsservern. Klient- och webbläsarkontroll Vi var mycket nyfikna på om produkterna hade möjlighet att kontrollera miljöerna som användarna ansluter från. Eftersom sslvpn är tänkt att ge åtkomst från alla möjliga ställen är det bra om administratören kan erbjuda olika tillgång till nätet beroende på hur säker platsen som användaren ansluter från är. För Windowsklienter kan vilka krav som helst ställas, till exempel speciellt virusskydd Produkterna visar upp ett fantastiskt register av tester som kan utföras och krav som kan ställas på klienterna. Det gäller under förutsättning att användaren använder ett Windowssystem och inte Mac eller Linux. Microsoft tycker att alla Linuxvarianter är uncheckable medan Cisco, Juniper och Aventail bara tillhandahåller vissa klientcheckar för Linux. För Windowsklienter kan i princip vilka krav som helst ställas, till exempel speciellt virusskydd, speciellt servicepack, speciella processer som ska vara igång och så vidare. Vi testade att ansluta både från Windows XP och från Vista samt med eller utan antivirusprogram. Produkterna hade inga problem att upptäcka det samt att agera därefter. Administratören kan erbjuda åtkomst åt slutanvändaren utifrån den säkerhet som klienten har. Ett annat sätt produkterna använder för att se om en klientdator tillhör företaget är att lägga en fil någonstans i filsystemet och sedan kräva att den finns närvarande vid anslutningstillfället. Finns den där kommer anslutningen från en känd dator. Cisco, Juniper och Aventail kan placera användare Särtryck ur TechWorld 5 2008 techworld.se
som exempelvis saknar korrekt antivirusskydd i en karantänzon. Användaren får då veta vad som saknas och hur han eller hon kan agera för att klara klientkontrollen. I karantänzonen kan man lägga länkar till exempelvis uppdateringssidor eller antivirusinstallationer. Microsoft kan enbart ange anledningen till varför en klient inte klarar kontrollen. En annan intressant sak som alla fyra klarar är att erbjuda ett virtuellt tangentbord där användaren med hjälp av musen knappar in användarnamn och lösenord. På så vis kan man undvika att keyloggers kommer över hemliga uppgifter. Portal eller vpn När du som administratör vill dela ut åtkomst till användaren måste du bestämma dig för om du vill dela ut en tunnel och låta användaren sköta trafiken till och från programmet, eller om du vill ge användaren en portal med innehåll som han eller hon kan konsumera i sin webbläsare. Själva grejen med ssl-vpn jämfört med ip-vpn är dock just att kunna erbjuda klientlös åtkomst till resurser. Så värst klientlös är man dock inte, eftersom de testade produkterna bygger på en ganska rejäl nedladdning av antingen active x-komponenter eller javatillämpningar. Med ett virtuellt tangentbord kan man undvika att keyloggers kommer över hemliga uppgifter Juniper SA4000 Intern säker chatt. Juniper skickar med en chattklient där användarna kan bjuda in varandra till att dela ett skrivbord och chatta samtidigt. Det är bra vid exempelvis demonstrationer eller felsökning. Webbmejl. Hos Juniper kan administratören ange hur han eller hon vill göra med cache och attachments, här i exemplet gäller det webbmejl. Flertalet OK och Accept krävdes innan vi som testanvändare fick igång funktionerna i webbläsaren. När vi testade från vår Ubuntuinstallation fick vi massvis med problem med java och funktionaliteten i webbläsaren. Ingen av tillverkarna kunde erbjuda Linuxanvändaren samma funktioner som Windowsanvändaren. Vi hade möjligen kunnat installera bättre stöd i Firefox, men samtidigt kändes det intressant att testa en standardinstallation för att se hur det fungerade. Här finns det mycket att göra för samtliga tillverkare, inte minst med tanke på hur Linux breder ut sig på skrivbordssidan. I portalen kan administratören ge användaren möjlighet att nå resurser beroende på vem denne är och varifrån uppkopplingen kommer. Samtliga kunde erbjuda länkar, fildelning, webbmejl med mera. Microsoft IAG kunde separera upp- och nedlänk, och därmed få god kontroll över
vad användaren får och inte får göra. Alla produkterna i testet klarade så kallad single sign-on. Om den bakomliggande resursen kräver inloggning försöker ssl-produkten logga in användaren transparent med användarnamn och lösenord från tidigare inloggning. Juniper har en funktion för fildelning där överföringen mellan ssl-produkten och kli- enten är komprimerad. Det gör överföring av stora filer snabbare, speciellt över långsamma förbindelser. Processer och skrivbord Cisco, Juniper och Aventail har två funktioner som vi inte hittade hos Microsoft. Om du vill köra till exempel Citrix utan att ha tillgång en lokal klient kan den simuleras med hjälp av Java i webbläsaren. Detsamma gäller remote desktop. Vi testade det senare och det fungerade förvånansvärt bra, även om vi noterade att färgupplösningen blev något annorlunda. Microsoft meddelar dock att man kan ordna en direkt nerladdning av en Citrixklient om så önskas. Den andra funktionen kallas secure virtual workspace av Juniper, virtual vault av Microsoft IAG 2007 Upp- eller nerlänk? Flödet kan kontrolleras i båda riktningar, här i Microsofts IAG-tappning. Back-end. Användarna kan godkännas mot central server. Microsoft tar även med några konkurrerande tillverkares lösningar. Sonicwall Aventail EX-2500 Host check. Det var enkelt att kräva mycket detaljerade egenskaper hos den anslutande klienten. Här kräver vi ett specifikt antivirus hos Aventail. Dela ut insidan. Här definieras en insidesresurs hos Aventail. Särtryck ur TechWorld 5 2008 techworld.se
t e s t l a b b e t 4 s s l - v p n - r o u t r a r Cisco och secure desktop av Aventail. Användaren kan starta ett lokalt, virtuellt skrivbord, där alla lokala program finns tillgängliga men där den lokala informationen är krypterad. Även om användaren laddar ned information lokalt kan den inte nås från en annan plats på datorn. Inte ens om användaren stänger sessionen med ssl-servern blir informationen tillgänglig. Det här är en kanonfunktion om du exempelvis behöver ladda ned och redigera ett textdokument från en dator på ett internetkafé. När du avslutar sessionen får du frågan om du vill spara informationen lokalt i krypterad form (och kanske fortsätta jobba senare) eller om du vill slänga den. Hos Cisco var det verkligen smidigt och enkelt att växla mellan det riktiga och det virtuella skrivbordet, vilket uppskattades. Juniper låter också hälsa att när man väl slänger sitt krypterade skrivbord skrivs informationen över tre gånger av nonsensdata. Det är en extra säkerhetsåtgärd för att garantera att data inte kan återskapas. När vi testade de virtuella skrivborden var de faktiskt så pass säkra att vi inte ens lyckades göra Print Screen, eftersom den funktionen var startad utanför den krypterade sfären. Bilderna blev helt svarta. Snacka om hög säkerhet! Fakta & betyg Ssl som tunnel Vi testade så klart även att använda ssl som en ren tunnel in till det bakomliggande nätet. Vi anser dock att det är en mindre viktig del av funktionaliteten, eftersom det ligger nära ip-vpn och de funktioner som erbjuds av ipsec. Översiktligt handlar det om att du nu i stället får en klient du installerar, antingen via en portal eller helt självständigt, som dina lokala tillämpningar kan nyttja. Det här klarade alla de fyra produkterna enkelt med diverse kringfunktionalitet som tillägg. TechWorlds slutsats Med ssl-vpn är det inga problem att erbjuda sina användare en säker och kontrollerad Så gjorde vi testet En representant för varje tillverkare kom till vårt testlabb och kopplade in sin produkt. I nätverket fanns en Exchange 2003-mejlserver med active directory samt ett antal fildelnings- och webbservrar. Klienterna som vi kopplade till produkterna hade Windows Vista Business utan antivirus, Windows Vista Business med Trend Micro Officescan 8.0 antivirus, tillgång till företagets nätverk. Administratören har mycket goda möjligheter att i detalj styra vad han eller hon vill och inte vill tillåta, baserat på vem användaren är, varifrån han eller hon försöker nå nätet och från vilket miljö det sker. I vårt test är det närmast ett dött lopp mellan Juniper, Aventail och Cisco. Microsoft saknar några av de funktioner som de tre övriga har och kommer strax därefter. När vi till sist ska välja en vinnare får det bli Cisco, eftersom den är mest komplett och detaljrik. Anders Krus är civilingenjör från KTH och arbetar med utbildning inom fast och mobil it-säkerhet. Du når honom på anders.krus@techworld.se. Microsoft XP Home med Trend Micro Officescan 6.5 antivirus, Ubuntu Linux 7.10 och Windows 2003 server. För att säkerställa att inga konfigureringsmissar hade gjorts fick varje representant starta sin produkt samt gå igenom alla väsentliga funktioner hos den. Vi fortsatte sedan med våra egna tester, där tillverkarna inte fick delta. Cisco ASA 5505 Juniper SA4000 Microsoft IAG 2007 Sonicwall Aventail EX-2500 Tillverkare Cisco (www.cisco.com) Juniper Networks (www.juniper. Microsoft och Pyramid (www.pyramid.de/en) Sonicwall (www.sonicwall.com) net) Namn på testad produkt ASA 5505 Secure Access 4000 Valueserver VPN Microsoft IAG Aventail EX-2500 2007 Kontakt Scribona, Techdata, Ingram Micro Comuterlinks, DNS, Techdata Pointsharp Infinigate, Azlan/Techdata Cirkapris slutkund 8 996 kr för 10 användare 101 400 kr för 50 användare 55 000 kr för 500 användare 137 970 kr för 50 användare Prisexempel övriga modeller SA 2500: 30 000 kr/10 användare, SA 6500: 264 000 kr/100 40 000 kr/200 användare, 80 000 kr/1 800 användare 287 970 kr/500 användare, EX- 750: 23 970 kr/10 användare användare Effekt (kwh) 0,01 0,10 0,08 0,07 Kostnad effekt/år 88 kr 832 kr 701 kr 569 kr Gränssnitt 21 av 25 22 av 25 20 av 25 22 av 25 Funktioner 20 av 25 20 av 25 15 av 25 18 av 25 Inställningar 21 av 25 21 av 25 18 av 25 20 av 25 Kontroll 21 av 25 19 av 25 20 av 25 22 av 25 Totalt 83 82 73 82 AV 100 AV 100 AV 100 AV 10 0