OFTP2

OFTP2 ist die zweite Generation des IT-Protokolls OFTP zur Datenübertragung und steht für „Odette File Transfer Protocol 2“. Anders als beim FTP können bereits gestartete File-Transfers bei einer Verbindungsunterbrechung wieder aufgenommen und der vollständige Empfang vom Zielrechner bestätigt werden. Beides war und ist zwingend notwendig, weil OFTP bei der Übertragung großer IT-Dateien (CAD-Zeichnungen etc.) zum Einsatz kommt. In seiner ersten Version hatte das Protokoll keine Verschlüsselung vorausgesetzt und wurde hauptsächlich auf der Basis von ISDN-Verbindungen betrieben, da diese deutlich schwieriger abzuhören waren. Mit OFTP2 wurde die Verwendung von TLS bzw. dessen Vorläufer SSL implementiert, wodurch eine sichere und moderne Datenübertragung über das Internet gewährleistet werden kann.

Vorgehensweise und Ablauf der mit OFTP2 abzuwickelnden Prozesse müssen im Vorfeld mit den Datensicherheitsrichtlinien des Unternehmens abgeglichen und bei Bedarf angepasst werden. Die Art der zu übertragenden Dateien sowie ihre Vertraulichkeitsstufe bieten den Rahmen für den Einsatz und die Klassifizierung der IT-Sicherheitsmaßnahmen. Hinsichtlich der Auswahl der einzusetzenden OFTP2-Software muss darauf geachtet werden, ob das entsprechende Programm die Odette Interoperability Tests mit Erfolg absolviert hat.

Sicherheitstechnik von OFTP2 – Verschlüsselung

Es wurden drei IT-Sicherheitsstufen für den Einsatz von OFTP2-Software definiert:

Sicherheit der Verbindung: Basis für den File-Transfer ist eine Verbindung über das in der IT vorherrschende Netzwerkprotokoll TCP/IP, bei der jedes Datenpaket mit TLS (bzw. SSL) einzeln verschlüsselt wird. Als Standard für die dabei verwendeten Zertifikate wird das X509-Format verwendet, welches die PKI (Public-Key-Infrastruktur) und das CMS-Format umschreibt und das Erstellen digitaler Signaturen ermöglicht.
Datenverschlüsselung: OFTP2 verschlüsselt die Dateien asymmetrisch und nutzt folglich ein zusammenpassendes Schlüsselpaar (Private und Public Key). Dabei wird der öffentliche Schlüssel dem Transferpartner zugestellt oder mitgeteilt, der in der Folge die mit dem privaten Key codierten Daten mit seinem Public Key entschlüsseln kann. Nur der Empfänger kann auf diese Weise die Daten lesbar machen.
Verifizierung und Signierung: Mittels sogenannter Hash-Werte werden die Dateien und die übertragenen File-Segmente mittels des eigenen privaten Schlüssels geprüft und identifiziert. Auf diese Weise können große Dateien sicher übertragen werden.

IT-Authentifizierung und Zertifikate

In einer speziellen Liste (TSL = Trust Service Status List) werden alle nach festgelegten IT-Standards überprüften Aussteller von Zertifikaten (CA) hinterlegt. Empfängt ein Transferpartner ein Zertifikat, ruft er diese Liste zur Vertraulichkeitsüberprüfung ab. OFTP2 bietet die folgenden drei Mechanismen zur Zertifikatserzeugung, bei denen jeweils eine Rückversicherung via Telefon oder anderer Mittel die Sicherheit erhöht:

Selbst ausgestellte Zertifikate (self signed Certificates): Das Zertifikat wird durch den Partner selbst generiert.
Zertifikate von einer autorisierten Stelle (certificate authority (CA)): Die Partner erhalten das Zertifikat von einer – oder ggf. mehreren – Stellen.
Gemeinsam erstelltes Zertifikat (mutually signed certificate): Ein Partner schickt ein Zertifikat, das von der Gegenstelle (dem Empfänger) gegengezeichnet und zurückgeschickt wird.

Herstellung einer sicheren IT-Verbindung via OFTP2

Im Regelfall werden von beiden Seiten Datenübertragungen initiiert, weshalb die Voraussetzung für die Erstellung der Zertifikate bei allen Partner gegeben sein sollten. Die Herstellung kann über mehrere Stufen erfolgen.

Stufe 1: Basisverbindungen via TLS: Die einfachste und weniger sicherheitsintensive Übertragung ist eine TCP/IP-Verbindung, dessen Datenstrom mittels TLS verschlüsselt wird. Hier werden nicht die Daten selbst, sondern nur die Punkt-zu-Punkt-Verbindung mit Schlüsseln abgesichert. Etwaige Authentifizierungen finden nicht statt.
Stufe 2: Austausch verschlüsselter und signierter Daten via OFTP2: Hier muss im Vorfeld der Austausch von Zertifikaten geregelt werden. Normalerweise wird vor dem File-Transfer ein Zertifikatsantrag bei einer CA gestellt. Sinnvoll ist es, hier gleich die volle Funktionalität für die Leitungs- und Datenverschlüsselung (inkl. Root-Zertifikat) zu beantragen.

Der Eigner des Zertifikats teilt dem Empfänger den öffentlichen Schlüssel (Zertifikatsteil) mit. Dieser gleicht die Informationen mittels eines Zugriffs auf die TSL-Liste durch seine OFTP2-Software ab.

Der Austausch der Zertifikate muss nur einmalig vor dem ersten Transfer erfolgen. Zur Sicherheit sollte neben dem automatischen Abgleich der Systeme noch eine Authentifizierung via Telefon oder Mail erfolgen.

Weblinks

RFC: 5024 – OFTP 2. (löst RFC 2204 ab, englisch).
RFC: 2204 – ODETTE File Transfer Protocol. (englisch).
Odette-Website.
VDA-Empfehlung 4900 „Datenfernübertragung von ODETTE-Nachrichten“, Januar 1991. vda.de
VDA-Empfehlung 4912 „File Transfer Protocol“, März 1988. vda.de