Bundesamt für Sicherheit in der Informationstechnik

B 5.20 OpenLDAP

Logo OpenLDAP

Beschreibung

In diesem Baustein werden die grundsätzlichen Sicherheitseigenschaften von Open LDAP beschrieben. OpenLDAP ist ein frei verfügbarer Verzeichnisdienst, der in einem Datennetz Informationen über beliebige Objekte, beispielsweise Benutzer oder Computer, in einer definierten Art zur Verfügung stellt. Die Informationen können einfache Attribute wie die Namen oder Nummern von Objekten oder auch komplexe Formate wie Fotos oder Zertifikate für elektronische Signaturen umfassen. Typische Einsatzgebiete sind zum Beispiel Adressbücher oder Benutzerverwaltungen.

OpenLDAP stellt eine Referenz-Implementierung für einen Server im Rahmen des Lightweight Directory Access Protocols ( LDAP ) dar. Als Open Source Software steht OpenLDAP für eine Vielzahl von Betriebssystemen zur Verfügung.

Abgrenzung des Bausteins

In diesem Baustein werden die für OpenLDAP spezifischen Gefährdungen und Maßnahmen betrachtet. Dabei wird die Version 2.4 von OpenLDAP zugrunde gelegt. Allgemeine Sicherheitsempfehlungen zu Verzeichnisdiensten befinden sich im Baustein B 5.15 Allgemeiner Verzeichnisdienst . Die dort beschriebenen Maßnahmen werden im vorliegenden Baustein konkretisiert und ergänzt. Der vorliegende Baustein ist auf jeden Server des betrachteten Informationsverbunds anzuwenden, auf dem der slapd-Daemon von OpenLDAP betrieben wird.

Gefährdungslage

Für den IT-Grundschutz von OpenLDAP werden folgende typische Gefährdungen angenommen:

Höhere Gewalt

G 1.2 Ausfall von IT-Systemen

Organisatorische Mängel

G 2.1 Fehlende oder unzureichende Regelungen
G 2.2 Unzureichende Kenntnis über Regelungen
G 2.7 Unerlaubte Ausübung von Rechten
G 2.28 Verstöße gegen das Urheberrecht
G 2.155 Fehlende oder unzureichende Planung von OpenLDAP

Menschliche Fehlhandlungen

G 3.8 Fehlerhafte Nutzung von IT-Systemen
G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.13 Weitergabe falscher oder interner Informationen
G 3.88 Falsche Vergabe von Zugriffsrechten
G 3.110 Fehlerhafte Konfiguration von OpenLDAP
G 3.111 Unzureichende Trennung von Offline- und Online-Zugriffen auf OpenLDAP

Technisches Versagen

G 4.10 Komplexität der Zugangsmöglichkeiten zu vernetzten IT-Systemen
G 4.13 Verlust gespeicherter Daten
G 4.22 Software-Schwachstellen oder -Fehler
G 4.33 Schlechte oder fehlende Authentikationsverfahren und -mechanismen
G 4.67 Ausfall von Verzeichnisdiensten

Vorsätzliche Handlungen

G 5.16 Gefährdung bei Wartungs-/Administrierungsarbeiten
G 5.18 Systematisches Ausprobieren von Passwörtern
G 5.19 Missbrauch von Benutzerrechten
G 5.20 Missbrauch von Administratorrechten
G 5.21 Trojanische Pferde
G 5.65 Verhinderung der Dienste eines Datenbanksystems
G 5.71 Vertraulichkeitsverlust schützenswerter Informationen
G 5.78 DNS-Spoofing
G 5.85 Integritätsverlust schützenswerter Informationen
G 5.144 Kompromittierung von Verzeichnisdiensten durch unbefugten Zugriff

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Um die mit OpenLDAP verarbeiteten Daten angemessen absichern zu können, muss das darunterliegende Serverbetriebssystem entsprechend geschützt sein. Dessen Absicherung ist nicht Teil dieses Bausteins, sondern wird in den entsprechenden Bausteinen der Schicht B 3 behandelt. Kommt beispielsweise Unix als Plattform zum Einsatz, ist der Baustein B 3.102 Server unter Unix zu berücksichtigen.

Für den sicheren Einsatz von OpenLDAP ist eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Installation bis zum Betrieb. Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Ist die allgemeine Planung des Verzeichnisdienstes abgeschlossen, müssen Teilkonzepte für den Einsatz von OpenLDAP, unter Berücksichtigung aller geltenden übergeordneten Konzepte und Richtlinien, erstellt werden. Als Einstieg empfiehlt es sich, zunächst die Maßnahme M 3.85 Einführung in OpenLDAP zu betrachten, die einen Überblick über Aufbau und Begrifflichkeiten von OpenLDAP bietet. Die generelle Vorgehensweise wird in M 2.484 Planung von OpenLDAP erläutert. Während der Planung müssen unter anderem wichtige Entscheidungen über den Einsatz von Backends getroffen werden, siehe M 2.485 Auswahl von Backends für OpenLDAP . Bevor OpenLDAP eingerichtet wird, ist im Vorfeld eine spezifische Sicherheitsrichtlinie für OpenLDAP zu erstellen (siehe M 2.405 Erstellung einer Sicherheitsrichtlinie für den Einsatz von Verzeichnisdiensten ).

Beschaffung

Nach Abschluss der konzeptionellen Planungsarbeiten muss die Integrität und Authentizität der zur Installation zu verwendenden Pakete (Quelltext- oder Binärpakete) überprüft werden (siehe M 4.382 Auswahl und Prüfung der OpenLDAP-Installationspakete ).

Umsetzung

Bevor OpenLDAP auf einem IT -System installiert wird, muss zunächst dessen Betriebssystem geeignet konfiguriert und abgesichert werden. Außerdem müssen im Rahmen der Planung ermittelte notwendige Programme zur Unterstützung installiert sein. Bei der eigentlichen Installation und der anschließenden Grundkonfiguration sind eine Reihe von Punkten zu beachten, die in M 4.383 Sichere Installation von OpenLDAP , M 4.384 Sichere Konfiguration von OpenLDAP , M 4.385 Konfiguration der durch OpenLDAP verwendeten Datenbank , M 4.386 Einschränkung von Attributen bei OpenLDAP , M 4.387 Sichere Vergabe von Zugriffsrechten auf OpenLDAP , M 4.388 Sichere Authentisierung gegenüber OpenLDAP sowie M 4.389 Partitionierung und Replikation bei OpenLDAP beschrieben werden.

Die sichere Installation von OpenLDAP ist kein einmaliger Vorgang. Statt dessen ist die Software, wie in der Maßnahme M 4.390 Sichere Aktualisierung von OpenLDAP beschrieben, auf einem aktuellen Stand zu halten.

Die Administratoren müssen für die sichere Installation und den sicheren Betrieb von OpenLDAP geschult werden. Wichtige Aspekte, die eine solche Schulung abdecken sollte, sind in M 3.86 Schulung der Administratoren von OpenLDAP beschrieben.

Betrieb

Im Regelbetrieb muss eine aktuelle Dokumentation gewährleistet sein. Weiterhin ist neben dem zugrunde liegenden Betriebssystem auch OpenLDAP selbst sorgfältig zu administrieren (siehe M 4.391 Sicherer Betrieb von OpenLDAP ). Um aufkommende Probleme rechtzeitig erkennen zu können, sollte die entsprechende Maßnahme M 4.407 Protokollierung beim Einsatz von OpenLDAP berücksichtigt werden. Zum Schutz der Vertraulichkeit und der Integrität der übermittelten Daten ist außerdem stets eine gesicherte Kommunikation zwischen dem OpenLDAP-Server und den Clients aufrecht zu erhalten (siehe M 5.170 Sichere Kommunikationsverbindungen beim Einsatz von OpenLDAP ).

Aussonderung

Aspekte, die bei der geregelten Aussonderung einer OpenLDAP-Installation zu berücksichtigen sind, werden in der Maßnahme M 2.410 Geregelte Außerbetriebnahme eines Verzeichnisdienstes näher beschrieben.

Notfallvorsorge

Aspekte der Notfallplanung für OpenLDAP werden in der Maßnahme M 6.106 Erstellung eines Notfallplans für den Ausfall eines Verzeichnisdienstes thematisiert. Das Vorgehen zur Datensicherung bei OpenLDAP wird in M 6.150 Datensicherung beim Einsatz von OpenLDAP beschrieben.

Nachfolgend wird das Maßnahmenbündel für den Baustein "OpenLDAP" vorgestellt:

Planung und Konzeption

M 2.405 (A) Erstellung einer Sicherheitsrichtlinie für den Einsatz von Verzeichnisdiensten
M 2.484 (A) Planung von OpenLDAP
M 2.485 (A) Auswahl von Backends für OpenLDAP
M 3.85 (W) Einführung in OpenLDAP

Beschaffung

M 4.382 (C) Auswahl und Prüfung der OpenLDAP-Installationspakete

Umsetzung

M 3.86 (A) Schulung der Administratoren von OpenLDAP
M 4.383 (B) Sichere Installation von OpenLDAP
M 4.384 (A) Sichere Konfiguration von OpenLDAP
M 4.385 (B) Konfiguration der durch OpenLDAP verwendeten Datenbank
M 4.386 (B) Einschränkung von Attributen bei OpenLDAP
M 4.387 (A) Sichere Vergabe von Zugriffsrechten auf OpenLDAP
M 4.388 (B) Sichere Authentisierung gegenüber OpenLDAP
M 4.389 (B) Partitionierung und Replikation bei OpenLDAP

Betrieb

M 4.390 (C) Sichere Aktualisierung von OpenLDAP
M 4.391 (B) Sicherer Betrieb von OpenLDAP
M 4.407 (B) Protokollierung beim Einsatz von OpenLDAP
M 5.170 (C) Sichere Kommunikationsverbindungen beim Einsatz von OpenLDAP

Aussonderung

M 2.410 (B) Geregelte Außerbetriebnahme eines Verzeichnisdienstes

Notfallvorsorge

M 6.150 (B) Datensicherung beim Einsatz von OpenLDAP

Stand: 13. EL Stand 2013