SYSTEMS: BSI kündigt Proxy-Plattform an

Um unautorisierten Datenausfluss aus Unternehmen und Organisationen besser zu kontrollieren, setzen diese Firewalls, VPNs und Proxys ein. Allerdings stellen auch diese Komponenten im Hochsicherheitsumfeld mitunter eine Gefahr dar und sind selten in Freigabeprozesse integriert. Das Secure Exchange Gateway (SEG) des BSI will diesen Mangel kurieren.

In seinem Vortrag im Sicherheitstrack der Perspektive Open Source auf der SYSTEMS stellte Oliver Zendel, Referent beim Bundesamt für Sicherheit der Informationstechnik, das SEG-Projekt vor, dass das BSI gemeinsam mit EADS entwickelt. Mitte November will die Behörde die Software unter einer Open-Source-Lizenz veröffentlichen. Sie stellt eine Plattform dar, die von applikations- und protokollspezifischen Connectoren genutzt werden kann. Jeder Connector besteht aus einer Kette von Filtern. Sie entscheiden, ob sie Daten aus dem gesicherten in den ungesicherten Bereich oder umgekehrt transferieren dürfen. Jede einzelne Komponente kapselt die Plattform in mehreren geschachtelten Containern, darunter die Java-VM von OpenJDK und die Virtualisierungslösung Virtual Box.

Einzelne Komponenten kommunizieren über Datendioden, die Informationen nur in eine Richtung weiterleiten. Diese Interprozesskommunikation (IPC) steuert eine Datenflusskomponente, die regelbasiert ist. Zendel erklärte, dass es ein Ziel des Projektes sei, langfristig auch komplexe Freigabeprozesse zu unterstützen. Die Verschlusssachen-Anweisung (VSA) des Bundes ist dafür ein Beispiel, sie beschreibt den Umgang mit klassifizierten Dokumenten. Gleichzeitig betonte er aber auch, dass die demnächst freigegebene Software nur eine Grundlage bilde und im ersten Schritt erst wenige Connectoren mitbringe. Er nannte HTTP- und SMTP-Komponenten zum Überprüfen von Web- und Mail-Inhalten.

Das Bundesamt veröffentliche die Software deshalb als Freie Software, weil es sich davon eine breite Nutzung verspricht und hofft, dass Unternehmen und Behörden sie als Grundlage von Erweiterungen verwenden. So werde gegenwärtig eine Technologiestudie vorbereitet, die evaluieren soll, ob sich das SEG auch für Datenströme wie Voice over IP (VoIP) eigne.