6.8.4 Registerkarte "SSL/TLS" (FTP-Optionen)

Die Optionen auf dieser Registerkarte sind verfügbar, wenn Sie das Dialogfeld "Sicherheitseigenschaften" über den FTP Client öffnen.

Diese Registerkarte wird nicht angezeigt, wenn Ihr Micro Focus-Produkt nicht den Reflection FTP Client enthält.

Mit dem SSL-Protokoll (Secure Sockets Layer) und dessen kompatibler Weiterentwicklung, dem TLS-Protokoll (Transport Layer Security) kann zwischen einem Client und einem Server über ein öffentliches Netzwerk eine sichere, verschlüsselte Verbindung hergestellt werden. Vor dem Verbindungsaufbau per SSL/TLS muss der Client zunächst den Server authentifizieren. Außerdem werden alle zwischen dem Client und dem Server übertragenen Daten verschlüsselt. Je nach Serverkonfiguration kann der Server auch den Client authentifizieren.

Die Optionen sind:

SSL-/TLS-Sicherheit verwenden	Ermöglicht den Verbindungsaufbau per SSL/TLS. Sie müssen dieses Kontrollkästchen aktivieren, bevor Sie weitere Optionen auf dieser Registerkarte konfigurieren können. Wenn die Option SSL-/TLS-Sicherheit verwenden ausgewählt ist, stellt der FTP-Client nur eine Verbindung mit dem Host her, wenn eine sichere SSL/TLS-Verbindung möglich ist. Vor dem Verbindungsaufbau muss FTP Client den Host authentifizieren. Die Authentifizierung erfolgt mit digitalen Zertifikaten. Diese Zertifikate gehören zur selben PKI (Public Key Infrastructure, Infrastruktur öffentlicher Schlüssel), die für sichere Internet-Transaktionen verwendet wird. Ihr Computer muss so konfiguriert sein, dass er das digitale Zertifikat von Ihrem Host erkennt und gegebenenfalls ein Zertifikat für die Clientauthentifizierung bereitstellt. Wenn Ihr Computer nicht richtig konfiguriert ist oder wenn die Authentifizierungszertifikate nicht gültig sind, können Sie keine SSL/TLS-Verbindungen herstellen. Je nachdem, wie das Hostzertifikat ausgegeben wurde, müssen Sie eventuell ein Zertifikat auf dem lokalen Computer installieren.
PKI konfigurieren	Öffnet das Dialogfeld PKI konfigurieren, in dem Sie PKI-Einstellungen für SSL/TLS-Sitzungen in FTP Client konfigurieren können.
Verschlüsselungsgrad	Gibt die gewünschte Verschlüsselungsebene für SSL/TLS-Verbindungen an. Die Verbindung wird nicht aufgebaut, wenn diese Ebene nicht verfügbar ist. Wenn Sie die Option Standard auswählen, sind alle Verschlüsselungsebenen zulässig, und der FTP-Client handelt mit dem Hostsystem die höchste Verschlüsselungsebene aus, die sowohl vom Host als auch vom Client unterstützt wird. Wenn Sie die Option Standard im FIPS-Modus auswählen, werden ausschließlich FIPS-kompatible Verschlüsselungsebenen berücksichtigt. HINWEIS:Der effektive Verschlüsselungsgrad der hergestellten Verbindung entspricht unter Umständen nicht dem hier ausgewählten Wert. Bei der 168-Bit-Verschlüsselung werden beispielsweise 3DES-Verschlüsselungsverfahren verwendet, die eine Schlüssellänge von 168 Bit aufweisen, jedoch nur eine effektive Sicherheit von 112 Bit bieten.
Datenstrom verschlüsseln	Gibt an, ob Daten verschlüsselt werden, wenn der FTP-Client für die Verwendung der SSL/TLS-Verschlüsselung konfiguriert ist. Wenn dieses Kontrollkästchen aktiviert ist, wird die gesamte Kommunikation zwischen Ihrem Computer und dem FTP-Server verschlüsselt. Wenn das Kontrollkästchen deaktiviert ist, wird der FTP-Befehlskanal (der für alle FTP-Befehle, einschließlich Benutzername und Kennwort, verwendet wird) verschlüsselt. Der Datenkanal (der für Verzeichnislisten und den Inhalt der von Ihnen übertragenen Dateien verwendet wird) wird jedoch nicht verschlüsselt.
Befehlskanal leeren	Wenn dieses Kontrollkästchen aktiviert ist, sendet FTP Client einen CCC-Befehl an den Host. Wenn der Host diese Option unterstützt, wird nur die Verschlüsselung für den Befehlskanal deaktiviert.
SSL/TLS	Gibt die zu verwendende SSL- bzw. TLS-Version an.
Zertifikatskette abrufen und validieren	Gibt an, ob die für die Hostauthentifizierung gesendeten Zertifikate geprüft werden, um festzustellen, ob sie gültig sind und von einer vertrauenswürdigen Zertifizierungsstelle signiert wurden. VORSICHT:Wenn Sie diese Option deaktivieren, besteht für Verbindungen die Gefahr eines "Man-in-the-Middle"-Angriffs, bei dem die Sicherheit der Verbindung gefährdet werden kann.
Implizite SSL/TLS-Verbindung	Standardmäßig stellt der FTP-Client SSL/TLS-Verbindungen mit der expliziten Sicherheitseinstellung her. Um eine SSL-Verbindung herstellen zu können, muss der FTP-Client bei der expliziten Sicherheitseinstellung nach dem Verbindungsaufbau einen speziellen Befehl (AUTH TLS) an den FTP-Server ausgeben. Wenn der Server eine positive Antwort gibt, beginnt der Client mit der TLS-Verhandlung. Als FTP-Serveranschluss wird die Standardeinstellung (21) verwendet. Wenn Sie die Option Implizite SSL/TLS-Verbindung aktivieren, verwendet der FTP-Client die implizite Sicherheitseinstellung. Bei der impliziten Sicherheitseinstellung erfolgt der SSL-Verbindungsaufbau, sobald der FTP-Client eine Verbindung zum Server herstellt. Es wird vor der TLS-Verhandlung kein AUTH TLS-Befehl gesendet. Standardmäßig verwendet FTP Client die Anschlussnummer 990 für implizite Verbindungen.
Über NAT-Server verbinden	Wählen Sie diese Einstellung, wenn Ihr FTP-Client Verbindungen über einen NAT-Server (Network Address Translation Server) herstellt. Wenn dieses Kontrollkästchen aktiviert ist, ignoriert der FTP-Client IP-Adressen in FTP-Befehlen, die vom Server zurückgegeben werden.
Im FIPS-Modus ausführen	Wenn Sie den FIPS-Modus aktivieren, werden alle Verbindungen mit Sicherheitsprotokollen und Algorithmen aufgebaut, die den FIPS-140-2-Standard erfüllen. In diesem Modus sind einige Standardverbindungsoptionen nicht verfügbar. Wenn eine Verbindung im FIPS-Modus hergestellt wurde, ist ein entsprechendes Symbol in der Statusleiste sichtbar. HINWEIS:Durch Auswählen von Im FIPS-Modus ausführen in der Registerkarte SSL/TLS wird der FIPS-Modus nur für die Verbindung erzwungen, die gerade konfiguriert wird. Administratoren können mithilfe von Gruppenrichtlinien den FIPS-Modus für alle Verbindungen erzwingen.

Einstellungen des Reflection-Sicherheitsproxyservers

Sie können Einstellungen unter Reflection-Sicherheitsproxy verwenden verwenden, wenn Sie einen Server für die zentralisierte Verwaltung (als separate Komponente von Micro Focus verfügbar) zur Verwaltung von Sitzungen verwenden und die aktuelle Sitzung über Administrative WebStation gestartet haben. Mit diesen Optionen wird in Ihrer Sitzung eine Verbindung mit Ihrem Host über den im Server für die zentralisierte Verwaltung enthaltenen Reflection-Sicherheitsproxy hergestellt. Mithilfe dieses Sicherheitsproxys können Sie auch dann sichere Verbindungen konfigurieren, wenn auf dem Host kein SSL/TLS-fähiger Telnet-Server ausgeführt wird. (Einige dieser Einstellungen sind nur bei Verwendung von Administrative WebStation sichtbar.)

HINWEIS:

Bei Verwendung des Sicherheitsproxys wird die Verbindung zwischen dem Client und dem Sicherheitsproxyserver mithilfe des SSL/TLS-Protokolls geschützt und verschlüsselt. Standardmäßig werden die Informationen zwischen dem Proxyserver und dem Zielhost unverschlüsselt ausgetauscht. Wenn Sie die Option Durchgehende Verschlüsselung (verfügbar für 5250-, 3270- und VT-Sitzungen) aktivieren, werden diese Informationen auch verschlüsselt. (Für die Option Durchgehende Verschlüsselung ist es erforderlich, dass der Host SSL/TLS unterstützt.)
Wenn Sie Sitzungen konfigurieren, die bei aktivierter Autorisierung eine Verbindung über den Sicherheitsproxy herstellen, müssen sich die Benutzer zunächst beim Server für die zentralisierte Verwaltung anmelden, bevor eine Verbindung über diese Sitzungen hergestellt werden kann.

Reflection-Sicherheitsproxy verwenden	Mit dieser Option konfigurieren Sie die Sitzung für die Verwendung des Sicherheitsproxys für die Serververbindung.
Sicherheitsproxy	Wählen Sie den Namen des Proxyservers aus der Dropdownliste mit den verfügbaren Servern aus.
Proxyanschluss	Wählen Sie den Proxyserveranschluss aus der Dropdownliste aus.
Ziel-Host	Wenn die Clientautorisierung auf dem Sicherheitsproxy aktiviert ist, geben Sie den Namen des Zielhosts ein. Wenn die Autorisierung nicht aktiviert ist, ist dieses Feld schreibgeschützt. Wenn Sie einen Sicherheitsanschluss wählen, wird der Ziel-Host, der für die Verwendung dieses Anschlusses konfiguriert ist, automatisch angezeigt.
Zielanschluß	Wenn die Clientautorisierung auf dem Sicherheitsproxy aktiviert ist, geben Sie den Zielanschluss ein. Wenn die Autorisierung nicht aktiviert ist, ist dieses Feld schreibgeschützt. Wenn Sie einen Sicherheitsanschluss wählen, werden der Ziel-Anschluss und der Ziel-Host automatisch angezeigt.
Proxyverschlüsselungsverfahren	Eine schreibgeschützte Liste der vom Proxyhost und -anschluss unterstützten Verschlüsselungsverfahren. Die Liste wird nur angezeigt, wenn das Produkt über die (im Lieferumfang des Servers für die zentralisierte Verwaltung enthaltene) Administrative WebStation gestartet wird.