VPN with Mobile Devices 55 DFN Betriebstagung Oktober

VPN with Mobile Devices 55. DFN Betriebstagung Oktober 2011 Berlin Prof. Dr. Andreas Steffen Institute for Internet Technologies and Applications HSR Hochschule für Technik Rapperswil andreas. steffen@hsr. ch

Wo um Himmels Willen liegt Rapperswil? Berlin 18. 10. 2011, dfn_berlin_2011. pptx 2

HSR - Hochschule für Technik Rapperswil • • • Fachhochschule mit ca. 1500 Studierenden Abteilung für Informatik (400 Studierende) Bachelorstudium (3 Jahre), Masterstudium (+1. 5 Jahre) 18. 10. 2011, dfn_berlin_2011. pptx 3

VPN with Mobile Devices 55. DFN Betriebstagung Oktober 2011 Berlin strong. Swan die VPN Open Source Lösung

strong. Swan Einsatzszenarien Remote Access VPN Client 10. 1. 0. 5 10. 3. 0. 2 10. 2. 0. 3 55. 66. x. x Internet VPN Tunnel Hauptsitz 10. 1. 0. 0/16 VPN Tunnel VPN Gateway 11. 22. 33. 44 • Aussenstelle VPN Gateway 10. 2. 0. 0/16 55. 66. 77. 88 strong. Swan ist ein Internet Key Exchange Dämon, der für den automatischen Verbindungsaufbau von IPsec-basierten VPN Verbindungen zuständig ist. 18. 10. 2011, dfn_berlin_2011. pptx 5

Der Free. S/WAN Stammbaum 1999 Free. S/WAN 1. x 2000 X. 509 1. x Patch Free. S/WAN 2. x 2004 Super Free. S/WAN 2003 X. 509 2. x Patch Openswan 1. x 2004 Openswan 2. x strong. Swan 2. x 2005 IKEv 2 RFC 4306 2007 IKEv 1 & minimales IKEv 2 strong. Swan 4. x ITA IKEv 2 Projekt Neue Architektur, gleiche Konfig. IKEv 1 & IKEv 2 18. 10. 2011, dfn_berlin_2011. pptx 6

IKEv 2 Interoperability Workshops Frühling 2007 in Orlando, Florida Frühling 2008 in San Antonio, Texas • strong. Swan funktionierte einwandfrei mit IKEv 2 Produkten von Alcatel-Lucent, Certicom, Check. Point, Cisco, Furukawa, IBM, Ixia, Juniper, Microsoft, Nokia, Safe. Net, Secure Computing, Sonic. Wall, und dem IPv 6 TAHI Projekt. 18. 10. 2011, dfn_berlin_2011. pptx 7

strong. Swan Schlüsselkunden • Alcatel-Lucent, Clavister, Ericsson, Nokia Siemens Networks, Ubiquisys • Femtocells/Security Gateways für GSM/UMTS/LTE Mobilfunknetze • Astaro, Karlsruhe • Secunet, Dresden • U. S. Regierung (NSA) • Astaro Security Gateway • SINA Box für Hochsicherheitsanwendungen (BSI, Auswärtiges Amt) • Open Source IKEv 2/IPsec Referenz- und Test-System für Suite B Elliptische-Kurven-Kryptografie 18. 10. 2011, dfn_berlin_2011. pptx 8

Unterstützte Plattformen • Betriebsysteme • Hardware Plattformen (32/64 bit) • Netzwerk Stacks • Portabler Quellcode • • Linux Android Free. BSD Mac OS X 2. 6 / 3. x 2. x 7. x / 8. x 10. 5 … 10. 7 • Intel, Via, AMD • ARM, MIPS (z. B. Freescale, Marvell, 16 -Core Cavium Octeon) • Power. PC • IPv 4 • IPv 6 (Su. SE Linux Enterprise mit strong. Swan zertifiziert 2008 durch Do. D) • 100% in C geschrieben, aber mit einem object-orientierten, • modularen Ansatz IKE Durchsatz skalierbar durch Verwendung von Multi-Threading 18. 10. 2011, dfn_berlin_2011. pptx 9

Wie steht es mit Windows? 18. 10. 2011, dfn_berlin_2011. pptx 10

Windows 7 VPN mit Maschinenzertifikaten • Microsoft testete die IKEv 2 Interoperabilität unter Verwendung von strong. Swan bis zum endgültigen Windows 7 Release. 18. 10. 2011, dfn_berlin_2011. pptx 11

Windows 7 VPN mit EAP Authentisierung • Verwendung von IKEv 2 EAP-MSCHAPv 2 oder IKEv 2 EAP-TLS mit Chipkarten 18. 10. 2011, dfn_berlin_2011. pptx 12

strong. Swan Applet für den Linux Desktop • D-Bus basierte Kommunikation zwischen Network. Manager und strong. Swan IKEv 2 Dämon. 18. 10. 2011, dfn_berlin_2011. pptx 13

strong. Swan in heterogener VPN Umgebung Windows Active Directory Server Corporate Network Linux Free. Radius Server High-Availability strong. Swan VPN Gateway Internet Windows 7 Agile VPN Client vpn-mopo. vpn. uni-freiburg. de strongswan. hsr. ch strong. Swan Linux Client 18. 10. 2011, dfn_berlin_2011. pptx 14

strong. Swan IKEv 2 Authentisierungsmethoden • Basierend auf Public Keys • Basierend auf Pre-Shared Keys (PSK) • Based auf dem Extended Authentication Protokoll (EAP) • Schnittstelle zu AAA Server • EAP und TNC Methoden als Plugins implementiert • X. 509 Zertifikate mit RSA or ECDSA Schlüssel • PKCS#11 Chipkarten-Schnittstelle • CRLs von HTTP/LDAP Server und/oder Einsatz von OCSP • Beliebige PSK Länge, Vorsicht bei schwachen Passwörtern! • EAP-MD 5, EAP-MSCHAPv 2, EAP-GTC • EAP-SIM, EAP-AKA (GSM/UMTS/CDMA 2000) • EAP-TLS, EAP-TTLS, EAP-PEAPv 0, EAP-TNC (Trusted Network Connect) • EAP-RADIUS • Der strong. Swan IKEv 2 Dämon lädt die Plugins dynamisch beim Starten 18. 10. 2011, dfn_berlin_2011. pptx 15

VPN with Mobile Devices 55. DFN Betriebstagung Oktober 2011 Berlin strong. Swan unter Android

Android VPN Konfiguration 18. 10. 2011, dfn_berlin_2011. pptx 17

Android VPN Verbindungsaufbau 18. 10. 2011, dfn_berlin_2011. pptx 18

Android VPN Status • Android IPsec Erweiterung • Damit strong. Swan unter Android • • läuft, muss der Android Kernel um einige IPsec Kernel Module ergänzt werden. Dies bedingt das „Rooten“ des Android Geräts. Android strong. Swan Build • Der strong. Swan IKEv 2 Dämon und die zugehörigen Libraries müssen mit dem Android Emulator gebaut und anschliessend auf das Gerät raufgeladen werden. 18. 10. 2011, dfn_berlin_2011. pptx 19

strong. Swan Roadmap • Portierung auf neue Android Versionen • strong. Swan VPN App für Mac OS X • • Android 3. x für Tablet PCs (Samsung Galaxy Tab 10. 1) • Android 4. 0 für Tablet PCs und Smartphones (Google Nexus Prime) • Einfaches GUI für die Konfiguration und Starten des strong. Swan IKEv 2 Dämons (Mac. Book Air) Apple i. Phone and i. Pad • Leider sind diese Plattformen völlig geschlossen, so dass die Benutzer mit dem unsäglichen IKEv 1 Cisco VPN Client vorlieb nehmen müssen. • TCG Trusted Network Connect (TNC) • TCG Platform Trust Service (PTS) • IF-MAP 2. 0 Interface für die Überwachung von strong. Swan Gateways. • Überprüfung von Trusted Boot Vorgängen und Messen von Dateien und Anwendungen via TNC (Masterthesis an der HSR) 18. 10. 2011, dfn_berlin_2011. pptx 20

Danke für Ihre Aufmerksamkeit! Fragen? www. strongswan. org 18. 10. 2011, dfn_berlin_2011. pptx 21