Chap und ipsec – Dell PowerVault NX3100 Benutzerhandbuch
Seite 39
Konfigurieren gesicherter iSCSI-Verbindungen über das CHAP
39
Konfigurieren gesicherter iSCSI-
Verbindungen über das CHAP
(Challenge-Handshake
Authentication Protocol)
Bis auf Sicherheitsschichten, die in den unteren TCP/IP- und Ethernet-
Schichten vorhanden sein können, sind nur wenige Sicherheitsmerkmale des
iSCSI-Protokolls in der iSCSI-Schicht selbst lokalisiert. Sie können die
iSCSI-Sicherheitsmerkmale nach Bedarf aktivieren und deaktivieren.
Der Microsoft
®
iSCSI-Initiator überprüft mithilfe des CHAP-Protokolls
(CHAP = Challenge-Handshake Authentication Protocol) die Identität von
iSCSI-Hostsystemen, die versuchen, auf iSCSI-Targets zuzugreifen. Sowohl
der iSCSI-Initiator als auch das iSCSI-Target verwenden CHAP und nutzen
gemeinsam ein vordefiniertes Secret. Der Initiator fasst das Secret mit ande-
ren Informationen zu einem Wert zusammen und berechnet mithilfe der
Fun- ktion MD5 (Message Digest 5) eine eindirektionale Kontrollsumme.
Der Kontrollwert wird an das Target übermittelt. Das Target berechnet aus
dem gemeinsam genutzten Secret und weiteren Informationen seinerseits
eine eindirektionale Kontrollsumme. Wenn beide Kontrollwerte übereinstim-
men, ist die Authentifizierung des Initiators erfolgreich. Zu den weiteren Si-
cherheitsinformationen gehört ein Kennwert, der mit jedem CHAP-Dialog
erhöht wird, um Wiederholungsangriffen vorzubeugen. Die Dell™ Power-
Vault™ NAS Speicherlösung unterstützt auch Mutual (gegenseitiges) CHAP.
CHAP gilt allgemein als sicherer als das PAP-Protokoll (Password Authenti-
cation Protocol).
CHAP und IPSec
Das CHAP-Protokoll dient zur Authentifizierung eines Verbindungspartners
und basiert darauf, dass die Verbindungspartner ein Secret (ein Sicherheits-
schlüssel, der ähnlich wie ein Passwort funktioniert) gemeinsam nutzen. Beim
IP Security (IPSec)-Protokoll werden Authentifizierung und Datenverschlüs-
selung in der IP-Paketschicht durchgeführt und eine zusätzliche Sicherheits-
stufe bereitgestellt.