Definition Was ist SCION?

SCION ist ein Konzept für eine hochsichere, neue Internetarchitektur mit geschützter Ende-zu-Ende-Kommunikation, Routenkontrolle und Fehlerisolation. Auf Basis eines SCION-Netzes lassen sich hochvertrauliche Kommunikationsverbindungen einrichten, wie sie bisher nur mithilfe von privaten, dedizierten Netzen möglich waren.

Das Kürzel SCION steht für Scalability, Control, and Isolation on Next-Generation Networks. Es handelt sich um ein Konzept und eine Technologie für eine hochsichere, neuartige Internetarchitektur.

Entwickelt wird SCION bereits seit dem Jahr 2009 von Forschern der ETH Zürich unter der Leitung von Prof. Dr. Adrian Perrig. Mit SCION lassen sich die Schwächen und Sicherheitsrisiken des heute im Internet vorherrschenden Inter-Domain-Routingprotokolls BGP überwinden. Die Technologie bietet ein hohes Maß an Routenkontrolle und sorgt für Fehlerisolation. Es lassen sich hochvertrauliche Kommunikationsumgebungen mit geschützter Ende-zu-Ende-Kommunikation einrichten, wie sie bisher nur mithilfe von privaten, dedizierten Netzen möglich waren.

Es können so genannte Gated Communities eingerichtet und Geozoning-Konzepte umgesetzt werden, zu denen nur zugelassene Kommunikationspartner beziehungsweise Kommunikationsknoten Zugang erhalten. SCION schafft sichere Datenübertragungswege, wie sie für die geschäftskritische Unternehmenskommunikation und die Anforderungen in besonders geschützten Branchen benötigt werden.

Mittlerweile gibt es zahlreiche produktive Implementierungen auf Basis des SCION-Konzepts, mit deren Hilfe Unternehmen oder andere Organisationen streng vertrauliche oder hochsensible Daten austauschen, ohne dass diese für Außenstehende im Internet sichtbar sind. So wurden in einem Pilotprojekt beispielsweise Schweizer-Botschaften per SCION über ein sicheres Hochleistungsinternet miteinander vernetzt. Auch einige Unternehmen im Finanz- und Gesundheitssektor, akademische Institutionen und andere Organisationen setzen inzwischen SCION-Technologie ein. Aus der Forschungsarbeit der ETH-Zürich sind zudem Spin-offs für die kommerzielle Implementierung von SCION entstanden.

Motivation und Ziele der Entwicklung von SCION

Private Unternehmen oder öffentliche Institutionen sind auf sichere und zuverlässige Datenübertragungsmöglichkeiten angewiesen. Diese Anforderungen erfüllt das öffentliche Internet nur eingeschränkt, da es einige empfindliche Schwachstellen aufweist, über die es leicht angreifbar ist.

Die Schwächen des heute vorherrschenden Inter-Domain-Routingprotokolls BGP hinsichtlich Sicherheit, Resilienz und Skalierbarkeit sowie kriminelle Angriffsmethoden wie BGP-Hijacking können dazu führen, dass Daten andere Wege nehmen als vermutet oder gewünscht. Auch die Verfügbarkeit und Leistungsfähigkeit der über das Internet erreichbaren Systeme oder ganzer Internetbereiche sind relativ leicht zu beeinträchtigen. Für den Austausch sensibler oder vertraulicher Daten stellt die Datenübertragung per Internet daher ein hohes Risiko dar. In der Vergangenheit wurden zwar zahlreiche Erweiterungen des BGP-Protokolls und anderer Protokolle entwickelt, die die Sicherheit und Zuverlässigkeit des BGP-Protokolls und des Internets verbessern, diese wirken sich aber teils negativ auf die Performance und Geschwindigkeit des Routingprotokolls und der Datenübertragung aus und erhöhen die Komplexität des Internets. Hinzu kommt, dass sie nicht durchgängig implementiert sind.

An dieser Stelle setzt das SCION-Konzept an. Es sorgt für eine Neugestaltung der Routingarchitektur und für mehr Sicherheit und Transparenz. Das Sicherheitsniveau des Datenaustauschs im Internet wird mit SCION deutlich verbessert. Routen werden vor dem Datenaustausch vordefiniert und authentifiziert. Unsichere oder unerlaubte Routen können ausgeschlossen werden. Bei Netzwerkstörungen leitet SCION die definierten Routen schnell um.

Kurz zusammengefasst verfolgt die Entwicklung von Scalability, Control, and Isolation on Next-Generation Networks diese Hauptziele:

• Verbesserung des Sicherheitsniveaus der Kommunikation

• Verbesserung der Verfügbarkeit der Kommunikationsverbindungen

• mehr Transparenz und Kontrolle

• Verbesserung der Effizienz und Skalierbarkeit

• Möglichkeit der Einrichtung von geschützten Communities

• einfache Implementierbarkeit auf Basis des heutigen Internets

Grundlagen und technische Architektur von SCION

Das Grundkonzept von Scalability, Control, and Isolation on Next-Generation Networks basiert auf den Prinzipien Sicherheit, Kontrolle, Isolation, Resilienz, Performance und Skalierbarkeit. Die Architektur ist pfadbasiert. Als ein pfadbewusstes Protokoll ersetzt SCION das BGP-Protokoll. SCION organisiert das Netz in logische Gruppen voneinander unabhängiger Routingebenen, so genannten Isolation Domains (ISDs). Sie bilden eine gemeinsame Vertrauensbasis. Die ISDs können offen oder geschlossen sein und ermöglichen eine umfassende Kontrolle der erlaubten Kommunikationspfade und der ein- und ausgehenden Kommunikation. Durch die ISDs werden Routingfehler oder Routingprobleme, beispielsweise durch Fehlkonfigurationen, lokal begrenzt. Isolationsdomänen lassen sich regionenspezifisch oder branchenspezifisch einrichten.

Innerhalb einer ISD kennt SCION alle Pfadsegmente, was für ein schnelles und einfaches Routing sorgt. Aus den Pfadsegmenten werden Ende-zu-Ende-Kommunikationspfade eingerichtet, die sowohl von der Datenquelle als auch vom Datenziel wählbar und verifizierbar sind. Die Pfade sind durch die integrierte Public Key Infrastructure (PKI) kryptographisch abgesichert. Über eine gemeinsame Zertifizierungsstelle der Isolationsdomäne ist der Datenverkehr kryptographisch signiert. Die PKI ermöglicht die Verschlüsselung und Authentifizierung der SCION-Pakete. Mithilfe von Signaturen lässt sich prüfen, ob die Datenpakete über den vorgesehenen Pfad übertragen wurden.

SCION unterstützt dank Multipathing die gleichzeitige Nutzung mehrerer Pfade. Durch Multipathing können zum einen die vorhandenen Übertragungsbandbreiten effizienter genutzt werden und zum anderen ist ein schnelleres Umschalten der Pfade bei Ausfällen oder Störungen möglich.

SCION kann nativ oder auf Basis existierender MPLS- oder IP-Netze implementiert werden. Über ein sogenanntes SCION-IP-Gateway (SIG) lässt sich der SCION-Header in TCP/IP einpacken und über ein herkömmliches IP-Netz übertragen. SCION ist in diesem Modus zwar weniger effizient, dennoch ergeben sich bereits zahlreiche Vorteile der neuen Technologie.

Typische Anwendungsbereiche für Scalability, Control, and Isolation on Next-Generation Networks

SCION ist prädestiniert für folgende Anwendungsbereiche:

• für die sichere Vernetzung von Finanzinstituten und die sichere Ausführung von Finanztransaktionen

• für die sichere Vernetzung sensibler staatlicher Institutionen

• für Anwendungen im militärischen Bereich

• für Anwendungen im Gesundheitswesen

• für Betreiber Kritischer Infrastrukturen (KRITIS)

• für die performante und sichere Vernetzung von Forschungseinrichtungen

• für die geschützte, resiliente Unternehmenskommunikation und den Betrieb geschäftskritischer Anwendungen

• als Alternative zu privaten, dedizierten Netzen basierend auf teuren Leased Lines oder MPLS-Verbindungen

(ID:50269800)