Sicherheitsmechanismen unter DHCP

  Beim Einsatz von Computern stellen sich oft auch Probleme wie die eines nichtauthorisierten Zugriffs auf die bereitgestellten Ressourcen durch Benutzer. Aus dieser Problemlage heraus hat man sich schon seit längerem Verfahren überlegt, wie Rechner vor ungewolltem Zugriff zu schützen sind. Jeder Benutzer eines UNIX-Systems beispielsweise kennt wohl die Login-Prozedur, bei der man ein nur dem Benutzer bekanntes Paßwort eingeben muß, bevor man die bereitgestellten Dienste des Systems nutzen kann. Gerade beim Einsatz von mobilen Systemen wie Laptops, die über eine Infrarot- oder eine andere drahtlose Verbindung an ein Netz angschlossen sind, kann die Notwendigkeit einer Authentifizierung von zugangsberechtigten Benutzern entstehen.

Mittlerweile existieren schon zahlreiche Verfahren, um die Sicherheit im Umgang mit Computern zu gewährleisten [#!KPS96!#]. Bei vielen Verfahren werden übertragene Daten mit kryptologischen Verfahren verschlüsselt, wobei Codes als Schlüssel verwendet werden, die nur dem Benutzer bzw. dem Netzbetreiber bekannt sind. Bei den Verschlüsselungsverfahren kennt man Sender und Empfänger von kodierten Nachrichten. Bemühungen um die Sicherheit in IP-Netzen werden von Workgroups wie der IP Security Workgroup vorgenommen [#!ipsec!#].
Welches oder welche Verfahren zur Sicherung eines Systems oder Netzes verwendet werden, hängt zum größten Teil von der sogenannten Policy der Betreiber ab. Die Policy wiederum, also die Strategie, mit der die Sicherheit erreicht werden soll, hängt teils von den lokalen Gegebenheiten, teils von den individuellen Ansprüchen der Netzbetreiber ab.
Für DHCP gibt es zur Zeit die für die Lösung von Sicherheitsfragen nur einen theoretischen Vorschlag [#!Dro96a!#]. Im Rahmen dieser Arbeit interessiert vor allem, wie sich ein solcher Sicherheitsansatz in einer Managementumgebung für DHCP verwirklichen läßt. Dabei soll aber nicht auf alle Verfahren eingegangen werden, die zur Zeit theoretisch umsetzbar wären, vielmehr soll anhand eines Beispiels erklärt werden, wie man grundsätzlich an dieses Problem herangehen kann.
Abhängig von der Sicherheits-Policy der Netzbetreiber kann es gewünscht werden, DHCP-Meldungen durch eine Authentifizierung überprüfbar auf ihre Herkunft und Berechtigung zu machen. Es ist vorstellbar, daß falsche DHCP-Server (s.) versuchen, DHCP-Clients zu konfigurieren oder daß falsch konfigurierte DHCP-Server versuchen, DHCP-Clients ebenso falsch zu konfigurieren.
Zum Ermöglichen des Authentifizierens von DHCP-Meldungen wird deshalb ein Message Authentification Code (MAC) eingeführt, der in jeder PDU enthalten sein soll.
Bei der Authentifizierung von DHCP-Nachrichten ergibt sich allerdings folgendes Problem: DHCP-Clients benutzen den sogenannten limited broadcast für die Kommunikation mit den DHCP-Servern. Deshalb setzen die Relay Agents für die Kommunikation mit DHCP-Servern außerhalb des lokalen Netzes in die weitervermittelten DHCP-Nachrichten ihre Adresse in das giadress-Feld (Relay Agentenadresse) ein, damit der DHCP-Server später seine Antwort an den Client zurückschicken kann. Außerdem machen die Relay Agents einen Eintrag in das hops-Feld der Nachricht. Das bedeutet, wenn der Client eine DHCP-Meldung mit einer sogenannten Message Digest-Funktion verschlüsselt, können die Informationen giadress und hops nicht verschlüsselt werden. Diese Tatsache wird bei den folgenden Verschlüsselungsmechanismen berücksichtigt.