Sicherheitsanforderungen (Kap. 3) überprüfen

[hellner-init]

WebSocket

[DohmenClaus]

Erläuterung aus der Sitzung vom 14./15.04.2025:
In Kapitel 3 sind Sicherheitsmechanismen beschrieben (Authentifizierung, Zertifikate). Vor einer erneuten Veröffentlichung ist zu prüfen, ob die beschriebenen Mechanismen noch dem aktuellen Stand der Technik entsprechen.

[mafrenzelpsi]

In dem Zusammenhang sollte die neueste Version der VDV 440 betrachtet werden. Beziehungsweise dazu erhältliche Umsetzungshinweise.

[DohmenClaus]

Aufgaben:

1. Überprüfen, ob Aussagen in Kap. 3.2 noch Stand der Technik sind
   Wenn nicht: Anpassen
2. Prüfen ob z.B. über VDV440 weitere, noch nicht behandelte Anforderungen im Kontext der Schnittstelle zu beachten sind
   -> ggf. Sub-Tasks erstellen

[mafrenzelpsi]

Moin,

ich habe gerade mal die VDV440 und aktuelle Empfehlungen von BSI, ISO 27001 angesehen. Wenn man davon ausgeht das der Websocket-Server intern betrieben wird und zusätzlich noch andere Maßnahmen zur Sicherung getroffen sind, dann haben wir mit der existierenden im Kapitel IT-Sicherheit m.E. nur wenig umittelbaren Handlungsdruck. M.E. sollten wir nur den Satz "Die WebSocket-Kommunikation soll TLS-verschlüsselt erfolgen. " in "Die WebSocket-Kommunikation muss TLS-verschlüsselt erfolgen. "

Allerdings bietet es sich an die folgenden Punkte zu detaillieren:

• Verhalten des Servers bei der Authentifizierung
• Hinweise zu sicheren Zugangsdaten
• Die Vorsysteme müssen in der Lage sein die LMS Zertifikate zu validieren.

und Empehlungen für neue Umsetzungen auszusprechen:

• TLS 1.3 und AED Verschlüsselung z. B. TLS_AES_128_GCM_SHA256 zu verwenden (aktuell 1.2 und TLS_ECDHE_ECDSA _WITH_AES_128_CBC_SHA256)
• Die JSON Daten zu validieren (und ungültige Nachrichten abweisen (ERR))
• Verbindungsversuche und Abbrüche zu protokollieren
• Timeout für inaktive Verbindungen zu implementieren

Damit werden erhöhen wir das Sicherungsniveau zeitgemäß, geben Nutzern die Chance das schrittweise zu adaptieren und sind bis auf den Zwang zur Verschlüsseung abwärtskompatibel.

VG, Martin

[DohmenClaus]

Hallo,

ich stimme den Ausführungen und Vorschlägen von Martin zu. Auch die Aktualisierung der Angaben (z.B. TLS 1.3 statt 1.2) macht aus heutiger Sicht Sinn. Das zeigt aber gleichzeitig auch prinzipielles ein Problem: Wir können immer nur die Sicherheits-Standards zitieren, die zum Überarbeitungs-Zeitpunkt aktuell sind.
Ich schlage daher zusätzlich folgende Erläuterung vor:
"Die empfohlenen Sicherheits-Standards entsprechen dem empfohlenen Stand zum Zeitpunkt der Veröffentlichung dieser Schrift. Bei Implementierungen und während des Betriebs wird empfohlen, die jeweils aktuellen Sicherheits-Standards einzusetzen, wie sie z.B. vom BSI (https://www.bsi.bund.de) empfohlen werden."
Ich werde diesen Satz auch nochmal innerhalb des VDV mit den entsprechenden Ausschüssen abstimmen, denn dieses Thema begegnet uns ja im Prinzip in allen VDV-Schriften, in denen wir Aussagen zu IT-Sicherheitsmaßnahmen machen.

VG
Claus

[BenjaminKowatschVector]

TODO:

• Technische Durchsprache und Einpflegen in die Spezifikation