Wer beim Websurfen und E-Mailen höchste Sicherheit will, tut gut daran, Browser und Mailer nicht auf seiner Arbeitsstation zu starten. Unter dem Namen Tightgate stellt M-Privacy eine gehärtete Appliance vor, die dem Desktop-Rechner diese Clients abnimmt. Der Test untersucht, ob das Konzept in der Praxis taugt.

Tightgate verlagert die potenziell gefährlichen Internetclients auf einen zentralen Server, den der Hersteller M-Privacy [1] aufwändig sichert. Unter anderem steckt RSBAC (Rule Set Based Access Control, [2], [3], [4]) im Kernel (2.4.31-rsbac) der Debian-basierten Appliance und regelt viel detaillierter als unter Linux gewohnt, welcher Prozess welche Aktionen ausführen darf.

Die grafische Oberfläche gelangt per VNC (Virtual Network Computing, [5]) zum Arbeitsplatzrechner. Aus Sicherheitssicht ist das einfache VNC-Protokoll ideal, zudem gibt es VNC-Viewer für alle wichtigen Plattformen. Leichte Abstriche sind bei der Geschwindigkeit zu machen, da VNC die Oberfläche als Bitmap-Grafik betrachtet.

Je nach Einstellung sieht der Benutzer den kompletten Desktop des Servers entweder als Vollbild oder in einem Fenster auf seinem Arbeitsplatzrechner. Tastatur- und Mauseingaben sendet der VNC-Client zum Server. Der Anwender steuert also seine Applikationen aus der Ferne, man spricht von Server-based Computing. Ganz ähnliche Konzepte verfolgen Tarantella [6] und der Citrix Presentation Server [7].

Installation und Implementierung

M-Privacy vertreibt die Tightgate-Produktlinie nur als Appliance, Installations-CDs sind nicht erhältlich. Zum Test stand der Tightgate Server Pro, rev. 1.2, zur Verfügung, installiert auf einem Shuttle-XPC [8]. Die kompakten Geräte des taiwanischen Herstellers Shuttle sind unter anderem wegen ihres Designs, des geringen Platzbedarfs und der leisen Lüfter beliebt.

Als Appliance taugt die Plattform lediglich für kleinere Arbeitsgruppen, Werkstätten und Geschäftsräume. Beim Unternehmenseinsatz geraten die Geräte schnell an ihre Grenzen. M-Privacy sieht diese Plattform auch nur als Testumgebung, im realen Einsatz installiert die Firma ihren Server auf Hardware, die ins Rechenzentrum des Kunden passt. Dazu kommt M-Privacy ins Haus und erledigt auch die Erstkonfiguration.

Beim Test würde ein Vertreter des Herstellers aber stören, daher kam das Paket ohne Begleitservice ins Haus. Dennoch war der gelieferte Shuttle-PC innerhalb von fünf Minuten so weit konfiguriert (Abbildung 1), dass man die ersten Benutzer anlegen (Abbildung 2) und zum Internetbrowsen zulassen konnte (Abbildung 3). Vermisst haben die Tester am Shuttle-PC einen Zugang über die serielle Schnittstelle (Abbildung 4), um von einer Laptop-Konsole aus die Appliance zu konfigurieren. Stattdessen waren Tastatur und Monitor nötig.

Die beiliegende Dokumentation erwies sich als unerwartet umfangreich und gut. Sie führt sehr gut in die Sicherheitsphilosophie ein, die Kunden des Tightgate-Pro-Servers mit erwerben. Wer diese Philosophie nicht teilt, wäre mit dem Produkt schlecht beraten.

Tightgate Pro

Produkt: Tightgate Pro Server Hersteller: M-Privacy, Berlin [http://www.m-privacy.de] Kosten: Appliance für 15 Arbeitsplätze 2900 Euro (inklusive Shuttle XPC SB86i), für 100 Clients 17200 Euro (inklusive Dell-Server) Aufgabe: Sichere Ausführungsumgebung für Internetapplikationen, Clientanbindung per VNC, datenschutzgeprüft Wichtige Komponenten: RSBAC, VNC, OpenSSH, E-Mail- und Webclients (weitere Clientprogramme siehe Tabelle 1) Getestete Hardware: Shuttle XPC SB83G5 Getestete Software-Release: 1.2

Unter anderem erklärt die Dokumentation das Rollenkonzept, das mittels RSBAC (siehe Kasten "RSBAC") meisterhaft umgesetzt ist. Die Zugriffsrechte sind so gestaltet, dass nur der Datenschutzbeauftragte Zugriff auf personenbezogene Daten erhält. Die Rolle des Datenschutzbeauftragten (bei Tightgate Revisor genannt) ist nicht mit der des Systemadministrators (Root) identisch. Personenbezogene Leistungskontrollen, etwa das Auswerten der Logs des internen Squid-Proxy, sind auch dem Datenschutzbeauftragten nicht möglich. Der interne Proxyserver schreibt vorsorglich keine »access_log«-Dateien.

Mögliche Topologien

Tightgate Pro Server lässt sich an zwei Stellen sinnvoll ins eigene Netzwerk implementieren: direkt im internen LAN zusammen mit den dort angesiedelten Arbeitsplatzrechnern und Servern oder in strikter Trennung vom LAN in einer eigenen DMZ. Sie ist meist als eigener Port der Firewall ausgeführt oder als so genanntes Screened Subnet zwischen interner und externer Firewall.

Obwohl das Manual gelegentlich vom Einsatz als "Enforcing Firewall" spricht, empfiehlt M-Privacy Tightgate Pro nicht als alleinigen Übergabepunkt zum Internet zu verwenden. Zum Schutz der Internetanbindung vertreibt M-Privacy eine Proxy-Firewall aus der Tightgate-Produktlinie, die bereits länger auf dem Markt ist als Tightgate Pro Server.

Arbeitet Tightgate Pro in einer DMZ, muss die Firewall für die Clients nur die VNC-TCP-Ports (Nummer 5900 plus Displaynummer) und SSH/SCP (TCP-Port 22) freigeben. Im Test befand sich Tightgate Pro in Kolokation mit den Arbeitsplatzrechnern; für den Produktivbetrieb ist eine DMZ eher zu empfehlen.

Wer beim Websurfen und E-Mailen höchste Sicherheit will, tut gut daran, Browser und Mailer nicht auf seiner Arbeitsstation zu starten. Unter dem Namen Tightgate stellt M-Privacy eine gehärtete Appliance vor, die dem Desktop-Rechner diese Clients abnimmt. Der Test untersucht, ob das Konzept in der Praxis taugt.