transocean
Goto Top

Wie sicher ist SSL VPN mit Cisco Anyconnect im Vergleich zu IPSec VPN?

Moin Wissende,

da Cisco ab der Windows Version 8 ja nur noch Anyconnect VPN unterstützt, habe ich meine ASA 5505 gemäß dieser Anleitung

http://www.techrepublic.com/blog/smb-technologist/quick-guide-anyconnec ...

mit einem selbst gebastelten Zertifikat eingerichtet. Der Zugriff klappt auch ohne Probleme. Mail- und Datenzugriff flutschen recht munter.

Nun treibt mich aber die Frage nach der Sicherheit um. Die Verbindung wird nach Eingabe des PW ja nur noch über das selbst erstellte Zertifikat verschlüsselt.

Wie sieht es denn da nun mit der Sicherheit meiner Daten aus. Können die unterwegs nicht leichter abgefischt werden als bei einer IPSec Verbindung?

Für geistreiche Antworten bin ich wie immer dankbar.

Grüße und schönes Wochenende,

Uwe

Content-Key: 230054

Url: https://administrator.de/contentid/230054

Ausgedruckt am: 29.03.2024 um 15:03 Uhr

Mitglied: wiesi200
Lösung wiesi200 15.02.2014 aktualisiert um 19:33:12 Uhr
Goto Top
Zitat von @transocean:

Moin Wissende,

da Cisco ab der Windows Version 8 ja nur noch Anyconnect VPN unterstützt, habe ich meine ASA 5505 gemäß dieser
Anleitung

Du, IPSec funktioniert genau so. Mit dem Shrew Soft Client ohne Probleme und mit dem Cisco Client kann es sein das man einen Reg Key umschreiben muss.
Mitglied: Dani
Lösung Dani 15.02.2014 aktualisiert um 19:33:14 Uhr
Goto Top
Hi Uwe,
Der handshake von SSL und IKE sind sich ähnlich. Die Verschlüsselung hängt eigentlich vom verwendeten Algorithmus ab.
Im Normalfall liegt die Entscheidung zwischen IPSec und SSL nur darin, für welchen Zweck man das Ganze benutzen möchte.
Grundsätzlich sollte das Zertifikat sorgfältig verräumt werden.


Grüße,
Dani
Mitglied: 108012
Lösung 108012 15.02.2014 aktualisiert um 19:33:17 Uhr
Goto Top
Hallo,

mit einem selbst gebastelten Zertifikat eingerichtet.
Das kann auch ein Segen sein, denn dann bestimmst Du
welche Schlüsselgröße genutzt wird, das kann dann auch
256Bit sein und da es sich in der Regel immer nur um
temporäre Zugriffe seitens der Klienten handelt ist dies
auch als relativ sicher anzusehen.

Denn es sollen ja auch schon und das auch noch vermehrt
Gerüchte aufgekommen sein, dass die NSA SSL Verbindungen
live entschlüsseln und mitlesen kann, aber da Du ja auch selber
Deine eigene CA dastellst und garantiert weißt ob Du jemandem
ein Generalzertifikat ausgestellt hast bist Du eventuell sicherer
als wenn Du Zertifikate gekauft hast und dieser Anbieter hat denn
ein RootCA Zertifikat an die NSA weitergeleitet, denn das entfällt ja
bei Dir und es ist nichts darüber bekannt, dass die NSA rein nur mit
Rechenpower die SSL Verbindung geknackt hat.

Der Zugriff klappt auch ohne Probleme. Mail- und Datenzugriff
flutschen recht munter.
Erst mal danke für die Erfahrungslektüre.

Nun treibt mich aber die Frage nach der Sicherheit um.
Die Verbindung wird nach Eingabe des PW ja nur noch
über das selbst erstellte Zertifikat verschlüsselt.
Das sollte dann eben nicht 1,2,3,4,5,6,7,8,9,10,11,12 sein
und der Server sollte auch nicht einfach nackt im Internet
erreichbar sein und eventuell hinter einer Firewall oder einem
Router in einer DMZ stehen, aber da es sich bei Dir so anhört
würde ich mir da eher weniger Gedanken drüber machen wollen.

Wie sieht es denn da nun mit der Sicherheit meiner Daten aus.
Das ist so oder so immer relativ, da es sich nun einmal um eine
Kopf an Kopf Rennen handelt was sich die Kryptographen und
Kryptoanalytiker liefern und man weiß nie so recht wer nun
den Kopf vorne hat und wer nicht, denn das halten die natürlich
immer so lange geheim wie es nur irgend wie geht, was sicherlich
auch hinsichtlich des immensen Aufwands zu verstehen ist.

Können die unterwegs nicht leichter abgefischt werden als bei
einer IPSec Verbindung?
Ich denke das eine IPSec Verbindung sicherer ist als eine SSL
Verbindung und somit schätze ich auch eine VPN Verbindung
so ein, hinzu kommt noch dass bei IPSec keine Ports vorne
am WAN Interface geöffnet sind und auch noch nichts und sei
es nur gerüchteweise dazu bekannt geworden ist dass IPSec
ein "Problem" hat und man kann eine IPSec Verbindung auch
noch zusätzlich mittels eines Radius Zertifikates absichern.

Für geistreiche Antworten bin ich wie immer dankbar.
Ich hoffe ich habe Dich nicht enttäuscht obwohl ich auch
weiß das es zu dem Thema immer sehr konträre Meinungen
gibt und auch von den unterschiedlichsten Lagern (Krytologie)
diverse Leute das alles "beschmunzeln" sich aber eben auch
nicht in die Karten gucken lassen wollen. Bitte nicht vergessen
ich bin nur Heimanwender!

Gruß
Dobby♬
Mitglied: transocean
transocean 15.02.2014 um 17:24:24 Uhr
Goto Top
Jo, mit dem Shrew Soft Client klappt es auch. Und auch der Cisco IPSec Client läuft hier ohne Probleme. Aber dieser wird eben von Cisco
ab Windows 8 nicht mehr unterstützt.

Cisco IPSec VPN Client is not supported on Windows 8, it has never been tested on Windows 8 and it is not on the roadmap.
Anyconnect Secure Mobility Client is the only supported VPN client on Windows 8.


Meine Frage bezieht sich auch nicht auf die möglichen alternativen Clients, sondern auf den Unterschied zwischen IPSec und Anyconnect.

Gruß

Uwe
Mitglied: 108012
108012 15.02.2014 um 17:30:42 Uhr
Goto Top
Cisco IPSec VPN Client is not supported on Windows 8,

und

Meine Frage bezieht sich auch nicht auf die möglichen alternativen Clients,

Warum denn das jetzt? Cisco schreibt doch das Ihr eigener
IPSec VPN Klient unter Windows 8 nicht mehr unterstützt
wird und auch nichts weiter in Planung dahingehend ist.

Und der ShrewSoft VPN Klient, da er ja gut funktionieren
soll ist doch dann gerade eine willkommene Alternative!
Oder habe ich es jetzt mal wieder verrissen und nicht
geschnallt!

Gruß
Dobby♬
Mitglied: transocean
transocean 15.02.2014 um 17:36:11 Uhr
Goto Top
Hallo D.o.b.b.y,

ich weiß um die möglichen Alternativen bei den Klienten. Meine Frage zielte aber auf den Unterschied bei der Sicherheit ab.
Das hast Du oben ja auch gut erklärt.

Besten Dank dafür.

Uwe
Mitglied: Dani
Dani 15.02.2014 aktualisiert um 19:45:32 Uhr
Goto Top
@d.o.b.b.y
Ich denke das eine IPSec Verbindung sicherer ist als eine SSL Verbindung und somit schätze ich auch eine VPN Verbindung so ein, hinzu kommt noch dass bei IPSec keine Ports vorne am WAN Interface geöffnet
Äh und wie ist es bei SSL-VPN? Ob du an einer Firewall die IPSec- oder SSL-Port aufmachst, macht doch kein Unterschied.
Auch SSL-Appliances lassen mit einem Client-Zertifikat im Notfall schützen. Ich würde IPSec eher noch den Vorteil geben auf Grund von AH und ESP.


Grüsse,
Dani