BSI-Siegel für geschützte Datentransfers an Rot-Schwarz-Gateways

Ob mit simplen Phishing-Mails an Bundestagsabgeordnete oder ausgefeilten Infiltrationen über längere Zeiträume: Cyber-Spionageangriffe gegen kritische IT-Infrastrukturen staatlicher Institutionen gehören auch zukünftig zum Alltag. Eine neuralgische Schnittstelle, die Angreifer ins Visier nehmen, ist die Datenübertragung aus sicherheitstechnisch niedrig eingestuften, sog. „schwarzen“ Netzen, in als GEHEIM-eingestufte „rote“ Netze – etwa beim Empfang von E-Mails, bei der Übertragung von Video- und Radardaten oder beim Upload aktueller Patterns für Antivirensysteme.

Für umfassend abgesicherte Datentransfers an diesen Rot-Schwarz-Gateways hat genua die Datendiode vs-diode entwickelt. Deren aktuelle Version 2.0 erhielt erneut die BSI-Zulassung für die Verarbeitung und Übertragung von Informationen bis einschließlich zum Geheimhaltungsgrad GEHEIM. Zudem ist die vs-diode 2.0 für den Schutz von EU-Informationen bis zum Geheimhaltungsgrad SECRET UE / EU SECRET für den nationalen Einsatz sowie für den Schutz von NATO-Informationen bis zum Geheimhaltungsgrad NATO SECRET zugelassen. Der Geheimhaltungsgrad bezeichnet die Stufe der Schutzbedürftigkeit von Verschlusssachen, also im öffentlichen Interesse geheimhaltungsbedürftigen Tatsachen, Gegenständen oder Erkenntnissen. "Wir freuen uns über die Neuzulassung und über die damit einhergehende Bestätigung des BSI, dass die Datendiode über herausragende Sicherheitseigenschaften verfügt", sagt Matthias Ochs, Geschäftsführer der genua GmbH.Neben der Zulassung zeichnet die neue Version der vs-diode aus, dass diese eine Performance-Steigerung von zwei auf bis zu drei Gbit/s realisiert.

Neben der Zulassung zeichnet die neue Version der vs-diode aus, dass diese eine Performance-Steigerung von zwei auf bis zu drei Gbit/s realisiert.

Sicherheitsarchitektur mit One-Way-Prinzip und strikter Segmentierung

Die vs-diode besteht aus zwei Application Level Gateways (ALG) – jeweils für das schwarze und rote Netzwerk – sowie einem dazwischen liegenden One-Way-Mittelteil. Dieses kopiert Daten nur von Schwarz nach Rot. In die Gegenrichtung wird ausschließlich signalisiert, ob die Daten korrekt auf der Gegenseite angekommen sind. Diese Übermittlungsmeldung ermöglicht eine rasche Datenübertragung ohne ein redundantes und langsames Senden. Die Kommunikation zwischen dem roten und schwarzen ALG erfolgt mittels TCP oder UDP.

Der Mittelteil der vs-diode besteht aus zwei paravirtualsierten genuscreen Firewalls und einem dazwischen liegenden One-Way Task. Er nutzt einen Separation-Kernel der L4-Familie, der die Hardware in drei strikt voneinander getrennte Compartments aufteilt. Jedes dieser Compartments besitzt seinen eigenen CPU-Kern. Auch der Arbeitsspeicher ist durch den Microkernel strikt von den anderen Compartments separiert. Zwischen den beiden Firewalls befindet sich der One-Way-Task, der die einzige Schnittstelle zwischen den beiden Firewall-Compartments darstellt.

Die vs-diode 2.0 unterstützt neu das Protokoll FTPS (FTP mit TLS-Verschlüsselgung) sowie weiterhin FTP, SMTP, SNMP Traps, TCP, Lumberjack (Elastic Stack), Syslog und UDP.