{"id":1779,"date":"2020-01-13T15:45:00","date_gmt":"2020-01-13T14:45:00","guid":{"rendered":"https:\/\/sast-blog.akquinet.de\/?p=1779"},"modified":"2021-05-27T11:32:08","modified_gmt":"2021-05-27T09:32:08","slug":"snc-verschluesselung-sap-sicherheit-auch-ohne-sso","status":"publish","type":"post","link":"https:\/\/sast-solutions.de\/blog-de\/2020\/01\/13\/snc-verschluesselung-sap-sicherheit-auch-ohne-sso\/","title":{"rendered":"SNC-Verschl\u00fcsselung leicht gemacht: So geht SAP-Sicherheit auch ohne SSO"},"content":{"rendered":"

\"SASTZur Absicherung von Netzwerken bietet SAP eine „Secure Network Communications“-Schnittstelle (SNC) zur Verschl\u00fcsselung an, mit der sich Benutzer ohne Eingabe eines Benutzernamens oder Passworts an SAP-Systemen anmelden k\u00f6nnen. Standardm\u00e4\u00dfig werden SAP-Anmeldedaten im Klartext \u00fcbertragen. Die SNC-Schnittstelle leitet Aufrufe \u00fcber die SAP Cryptographic Library, um die gesamte Kommunikation zwischen dem SAP GUI und dem SAP-Server zu verschl\u00fcsseln. So wird eine sichere Einzelanmeldung f\u00fcr SAP bereitgestellt.<\/p>\n

<\/p>\n

SNC-Einf\u00fchrung ohne SSO, aber mit SSL, geht das? <\/strong><\/h2>\n

Der Mindestsicherheitsgrad, den SNC anbietet, ist \u201eAuthentifizierung\u201c. Wenn nur dieser Parameter verwendet wird, verifiziert das System die Identit\u00e4t der Kommunikationspartner und verschl\u00fcsselt die Anmeldedaten des Benutzers (Username und Passwort). In weiteren Schritten k\u00f6nnen auch die Daten\u00fcbertragung und Datenpaketinhalte mit SNC verschl\u00fcsselt werden.<\/p>\n

Damit wird ein wichtiger Schritt zur technischen Absicherung von SAP-Systemen vollzogen.<\/p>\n

Im Folgenden m\u00f6chte ich gerne erl\u00e4utern, wie eine SNC-verschl\u00fcsselte Kommunikation eingerichtet werden kann, ohne zus\u00e4tzlich einen kostenpflichtigen Single Sign On (SSO) zu implementieren.<\/p>\n

Sichere Anmeldung \u00fcber den SAP Secure Login Client<\/strong><\/h2>\n

F\u00fcr die sichere Anmeldung am SAP kann der SAP Secure Login Client genutzt werden. Der Secure Login Client ist eine Clientanwendung, die Sicherheitstoken (Kerberos- und X.509-Technologie) f\u00fcr eine Vielzahl von Anwendungen bereitstellt. Er verwendet die Funktionen der SAP Cryptographic Library (CommonCryptoLib).<\/p>\n

Secure Login erm\u00f6glicht Benutzern unter anderem die Authentifizierung mit dem Authentifizierungsmechanismus der Windows-Dom\u00e4ne (Active Directory-Server) oder mit der Nutzung eines SSL (Secure Sockets Layer)-Zertifikats.<\/p>\n

Mit SAP Single Sign-On 3.0 kann man sich mit der SAP GUI \u00fcber eine verschl\u00fcsselte Kommunikation, jedoch auch ohne Single Sign-On anmelden!<\/p>\n

Voraussetzungen hierf\u00fcr sind:<\/p>\n

    \n
  • Auf Client-PCs wird der Secure Login Client von SAP Single Sign-On 3.0 oder h\u00f6her ausgef\u00fchrt.<\/li>\n
  • Auf den Backend-Systemen wird SAP NetWeaver Application Server f\u00fcr ABAP mit der Common CryptoLib 8.5 oder h\u00f6her der SAP Cryptographic Library ausgef\u00fchrt.<\/li>\n<\/ul>\n

    Folgende Optionen sind f\u00fcr die Einstellung des Secure Login Client verf\u00fcgbar:<\/p>\n

      \n
    • Aktivierung des Legacy-Kompatibilit\u00e4tsmodus. Dies ist eine SNC-gesch\u00fctzte Anmeldung auf der Seite des Servers. Der Legacy-Kompatibilit\u00e4tsmodus ist mit CommonCryptLib 8.5.x oder niedriger und SAPCRYPTOLIB 5.5.5 verf\u00fcgbar.<\/li>\n
    • Aktivierung des Secure Login Client, um eine Authentifizierungsmethode (Smart-Modus) auszuw\u00e4hlen, wenn die meisten Anwendungsserver die SAP Cryptographic Library CommonCryptoLib 8.5 oder h\u00f6her verwenden. Diese Option wird seitens SAP empfohlen, da der Secure Login Client immer die beste Authentifizierungsmethode ausw\u00e4hlt.<\/li>\n
    • Verschl\u00fcsselung kann nur mithilfe von SNC f\u00fcr alle Benutzer oder eine Gruppe von Benutzern dauerhaft implementiert werden.<\/li>\n
    • Benutzer k\u00f6nnen nur f\u00fcr die Anmeldung mit SNC manuell auf Verschl\u00fcsselung umschalten.<\/li>\n<\/ul>\n

      Kl\u00e4rung der Secure Login Client-Lizenzfrage<\/strong> bei der SAP<\/strong><\/h2>\n

      Um die Nutzung des Secure Login Clients zu kl\u00e4ren, wurde folgende Frage an die SAP gestellt: \u201eDie zu implementierende SNC-Verschl\u00fcsselung soll nur die SAP Cryptographic Library des Secure Login Client nutzen. SSO ist nicht vorgesehen. Entstehen dennoch Kosten?\u201c<\/p>\n

      Die Antwort der SAP lautete: \u201eEs handelt sich hierbei um die Secure Client Encryption. Diese Komponente kann kostenneutral genutzt werden. Damit gibt es aber \u201enur die Verschl\u00fcsselung\u201c. Ein Single Sign-On kann damit nicht realisiert werden.\u201c<\/p>\n

      In der Folge bedeutet dies, dass der Secure Login Client kostenfrei verwendet werden kann, solange kein SSO genutzt wird.<\/p>\n

      So funktioniert die Implementierung von SNC mit SSL-Verschl\u00fcsselung<\/strong><\/h2>\n

      F\u00fcr die SNC-Verbindungsverschl\u00fcsselung wird ein schon f\u00fcr https vorhandenes SSL-Zertifikat verwendet. Es ist somit keine Anbindung an das Microsoft AD (Kerberos) notwendig. Die Verschl\u00fcsselung wird durch das SSL-Zertifikat in PSE und SNC-Library sichergestellt.<\/p>\n

      Allerdings muss in einem solchen Szenario der Zertifikatsablauf beachtet und rechtzeitig verl\u00e4ngert werden. Sollte das Zertifikat nicht rechtzeitig verl\u00e4ngert werden, kann SNC bis zu einer erfolgreichen Rezertifizierung nicht mehr genutzt werden.<\/p>\n

      So bereiten Sie ABAP richtig vor: Im SAP-System wird per Transaktion STRUST die PSE-Datei vom SSL-Server-Eintrag auf den Eintrag SNC SAPCryptolib „kopiert“. Der SNC-Name f\u00fcr den SAPGUI Eintrag wird daher von dem SSL-Server-Zertifikat bestimmt, z.B. \u201ep:CN=<SID>.<Kunde>.de, OU=SAP Basis, O=<Dienstleister>, L=Frankfurt am Main, C=DE\u201c.<\/p>\n

      IM SAP GUI Logon muss SNC f\u00fcr den einzelnen Benutzer aktiviert und der SNC-Name \u201ep:CN=<SID>.<Kunde>.de, OU=SAP Basis, O=<Dienstleister>, L=Frankfurt am Main, C=DE\u201c eingetragen werden.<\/p>\n

      Das setzt voraus, dass alle Optionen korrekt gesetzt wurden und das SNC serverseitig vollst\u00e4ndig funktional ist. Dann kann sich der Anwender \u00fcber eine verschl\u00fcsselte Netzwerkverbindung anmelden.<\/p>\n

      Eine verschl\u00fcsselte Netzwerkverbindung kann man am Symbol „Schloss zu“ rechts unten im SAPGUI erkennen.<\/p>\n

      \"SAST<\/p>\n

      Vorteile einer SNC-Verschl\u00fcsselung<\/strong><\/h2>\n

      Die SNC-Verschl\u00fcsselung per SSL bietet folgende Vorteile:<\/p>\n

        \n
      • Keine Anbindung an das Microsoft AD notwendig, Pflege- und Administrationsaufwand sind somit geringer.<\/li>\n
      • Externe Mitarbeiter und Dienstleister k\u00f6nnen SNC nur nutzen, wenn ein Zertifikat mit anerkanntem ROOT CA verwendet wird und Client Encrytion 2.0 oder Secure Login Client auf dem Frontend installiert ist.<\/li>\n
      • Nur die SAP-GUI muss angepasst werden.<\/li>\n
      • Keine zus\u00e4tzlichen Kosten f\u00fcr Verschl\u00fcsselungssoftware, da das Zertifikat f\u00fcr https schon vorhanden ist.<\/li>\n
      • Oftmals Richtlinienkonform, da SSL-Zertifikat f\u00fcr eine Anwendung SAP\/ABAP g\u00fcltig ist.<\/li>\n
      • Keine Nacharbeiten nach Systemkopien bzgl. SNC-Parametern und Zertifikaten n\u00f6tig.<\/li>\n
      • Der SAP Secure Login Client kann genutzt werden.<\/li>\n<\/ul>\n

        Bei Verwendung von SSL muss allerdings der Zertifikatsablauf beachtet werden, sonst kann SNC nicht mehr genutzt werden.<\/p>\n

        Eine SNC-Einf\u00fchrung kann auch ohne gro\u00dfe L\u00f6sung inklusive SSO mit \u00fcberschaubarem Aufwand gelingen. Wir empfehlen in diesem Zusammenhang, SNC mit SSL-Verschl\u00fcsselung zu verwenden, denn das verringert den Implementierungsaufwand noch weiter.<\/p>\n

        Sie wollen mehr zum Thema der technischen Absicherung Ihrer SAP-Systeme erfahren? Dann informieren Sie sich gerne auf unserer SAST SOLUTIONS Website<\/a> oder melden sich bei uns: sast@akquinet.de<\/a><\/p>\n

        \"Matthias
        \nMatthias Anst\u00f6tz (SAP Security Consultant, SAST SOLUTIONS)<\/strong><\/p>\n

         <\/p>\n

        Das k\u00f6nnte Sie auch interessieren:<\/h2>\n

        Schritt f\u00fcr Schritt: So sichern und h\u00e4rten Sie Ihr SAP Gateway<\/a><\/p><\/blockquote>\n