Was ist ein vorab geteilter Schlüssel?

Ein vorab geteilter Schlüssel (PSK) ist eine geheime Zeichenfolge, die an beiden Enden einer IKE- oder IPsec-Verbindung manuell konfiguriert wird, damit jeder Teilnehmer dem anderen seine Identität nachweisen kann. Es handelt sich um die einfachste IKE-Authentifizierungsmethode – keine Zertifizierungsstelle, keine Registrierung, sondern lediglich eine übereinstimmende Zeichenfolge, die beiden Seiten bereits bekannt ist.

Die wichtigsten Erkenntnisse

• Ein PSK ist ein gemeinsames Geheimnis, das beide Enden eines IKE-Tunnels authentifiziert.
• Es ist die einfachste Alternative zur zertifikatsbasierten (PKI-)Authentifizierung.
• Beide Peers müssen denselben Schlüssel konfigurieren, sonst schlägt die Aushandlung sofort fehl.
• PSKs eignen sich für kleine oder Ad-hoc-Verbindungen; Zertifikate lassen sich besser auf ganze Flotten skalieren.
• Versa PSK-Felder akzeptieren einige Sonderzeichen nicht – am sichersten ist es, diese zu vermeiden " < > # / { }.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · PSK & Versa · Häufig gestellte Fragen

Warum ist ein PSK wichtig?

Jeder IKE-Tunnel – der Kontrollkanal hinter einem IPsec-VPN – muss eine Frage klären, bevor er Datenverkehr weiterleitet: Ist das Gerät am anderen Ende wirklich das, für das es sich ausgibt? Ein PSK beantwortet diese Frage mit dem einfachsten Mechanismus: einem Geheimnis, das beide Seiten bereits kennen. Keine Zertifizierungsstelle, keine Registrierung, kein Lebenszyklus, der verwaltet werden muss – das macht PSKs zum schnellsten Weg, einen Tunnel aufzubauen, und erklärt, warum sie nach wie vor häufig für Verbindungen zu Gateways von Drittanbietern, Laboraufbauten und Verbindungen genutzt werden, bei denen eine PKI in keinem Verhältnis zum Bedarf steht.

Der Kompromiss ist operativer Natur, nicht kryptografischer: Ein PSK ist ein statischer Geheimschlüssel, der manuell verteilt und rotiert wird, und eine Offenlegung gefährdet jeden Tunnel, der diesen Schlüssel nutzt, bis der Schlüssel überall rotiert wurde. Zu wissen, wann ein PSK die richtige Wahl ist – und wann ein Zertifikat die Einrichtungskosten wert ist –, ist eine grundlegende Entscheidung bei jeder VPN- oder SD-WAN-Bereitstellung.

Was ist ein PSK?

Ein PSK wird als Teil der Authentifizierungseinstellungen eines IKE-Peers an beiden Enden eines Tunnels konfiguriert: Jede Seite legt ihren Schlüssel vor (in der Regel handelt es sich um dieselbe Zeichenfolge, obwohl auch asymmetrische lokale/Peer-Schlüssel möglich sind), und IKE leitet daraus Schlüsselmaterial ab, das belegt, dass jeder Peer das Geheimnis besitzt – ohne den Schlüssel selbst über das Netzwerk zu übertragen. Dies geschieht während des IKE-Authentifizierungsaustauschs, bevor die IPsec-Sicherheitsassoziation, die den Datenverkehr schützt, hergestellt wird.

Da es sich um einen symmetrischen Schlüssel handelt, müssen beide Administratoren genau dieselbe Zeichenfolge eingeben; andernfalls schlägt der Austausch vollständig fehl, ohne dass Teilpunkte vergeben werden. PSKs funktionieren sowohl mit IKEv1 als auch mit IKEv2 und werden in der Regel mit einem Identitätstyp – einer IP-Adresse, einem FQDN oder einer E-Mail-Adresse – kombiniert, der angibt, welcher Schlüssel überprüft werden soll.

Arten des PSK-Einsatzes

Bei „Per-Peer“ (eindeutigem) PSK wird jedem Tunnel- oder Gerätepaar ein eindeutiger Schlüssel zugewiesen – dies ist die sicherere Variante, da bei Kompromittierung eines Schlüssels nur eine Verbindung gefährdet ist, allerdings auf Kosten der Verwaltung einer größeren Anzahl von Geheimnissen. Bei „Group“ (gemeinsam genutztem) PSK wird ein Schlüssel für viele Geräte wiederverwendet; dies lässt sich schneller einführen, ist jedoch riskanter: Ein einziger Sicherheitsverstoß gefährdet jeden Peer, der diesen Schlüssel verwendet – ein üblicher Kompromiss während der Testphase oder bei der Massenanmeldung, der später durch eindeutige Schlüssel oder Zertifikate ersetzt wird. Site-to-Site-PSK authentifiziert einen festen, langlebigen Tunnel zwischen zwei Gateways. Remote-Access-PSK authentifiziert einen vom Client initiierten Tunnel und wird oft mit einer Methode auf Benutzerebene wie EAP kombiniert, da ein Geheimnis auf Geräteebene allein den dahinter stehenden Menschen nicht identifiziert.

PSK & Versa

VOS-Geräte unterstützen PSK als eine von zwei IKE-Authentifizierungsmethoden neben Zertifikaten, die für die lokale und die Peer-Authentifizierung in einem IPsec-VPN-Profilauf der Registerkarte „IKE“. Jede Seite ordnet ihrem Schlüssel einen Identitätstyp zu – E-Mail, FQDN oder IP – und das Feld lehnt bestimmte Sonderzeichen ab. Die Profildokumentation unter Versaist hinsichtlich dieser Festlegung nicht ganz einheitlich: In den Beschreibungen werden " < > # /, während seine Sonderzeichentabelle zudem { } als unzulässig – und, widersprüchlicherweise, als / soweit zulässig. Bis dies stromaufwärts abgeglichen ist, generieren Sie Schlüssel, die alle acht (" < > # / { }). Die PSK-Authentifizierung erscheint auch bei der Site-to-Site-Tunnel Ebene für Peer-Typen wie AWS Transit Gateway, Azure Virtual WAN, Zscaler und von Versa Director verwaltete Tunnel, bei denen primäre und sekundäre Tunnelschlüssel direkt eingegeben oder zum Zeitpunkt der Bereitstellung auf gerätespezifische Bindungsdaten verlagert werden können. Während Erstkonfiguration des Geräts, Der IKE-Authentifizierungsmodus einer Organisation – PSK oder PKI – bestimmt, wie sich Filialgeräte zunächst beim Controller authentifizieren, weshalb dies eine der ersten Entscheidungen bei einer Bereitstellung ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem PSK und einem Zertifikat für die IKE-Authentifizierung?

Ein PSK ist ein gemeinsames Geheimnis, über das beide Teilnehmer bereits verfügen; ein Zertifikat wird von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert und dient als Identitätsnachweis, ohne dass eine gemeinsame Zeichenfolge offengelegt wird. Zertifikate lassen sich in großen Systemen sicherer skalieren und rotieren; PSKs lassen sich bei kleinen Bereitstellungen schneller konfigurieren.

Ist ein PSK sicher genug für VPNs im Produktionsbetrieb?

Ein langer, zufälliger und für jeden Tunnel einzigartiger PSK ist kryptografisch sicher, doch das operative Risiko liegt in der Verteilung und Rotation in großem Maßstab – ein durchgesickerter oder wiederverwendeter Schlüssel gefährdet jeden Tunnel, der diesen Schlüssel nutzt. In vielen Implementierungen werden PSKs für Testumgebungen oder kleine Verbindungen und Zertifikate für den größeren Bestand verwendet.

Welche Zeichen sind in einem PSK nicht zulässig?

Vermeiden Sie acht Zeichen: Anführungszeichen, spitze Klammern, Raute, Schrägstrich, Backslash und geschweifte Klammern – " < > # / { }. Die Dokumentation von „ Versa“ enthält widersprüchliche Angaben zum Schrägstrich (im Text wird er verboten, in der Zeichentabelle jedoch zugelassen), daher ist es am sichersten, ihn wegzulassen. Buchstaben, Zahlen und die meisten anderen Zeichen sind zulässig.

Kann ich für manche Tunnel ein PSK und für andere Zertifikate verwenden?

Ja. Die Authentifizierungsmethode wird pro IPsec-VPN-Profil festgelegt, und innerhalb eines Profils können für die lokale und die Peer-Authentifizierung sogar unterschiedliche Methoden verwendet werden, sodass ein Unternehmen je nach Bedarf Tunnel mit PSK- und Zertifikatsauthentifizierung kombinieren kann.

Was passiert, wenn der PSK nicht an beiden Enden übereinstimmt?

Die IKE-Authentifizierung schlägt fehl und der Tunnel wird nie aufgebaut – es entsteht keine Sicherheitsassoziation, sodass kein Datenverkehr durchgelassen wird. Eine teilweise Übereinstimmung ist nicht möglich; die konfigurierten Zeichenfolgen müssen auf beiden Peers identisch sein (vorbehaltlich asymmetrischer lokaler/Peer-Schlüsselkonfigurationen).

Mehr zu PSK

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über PSK informieren, sollten Sie sich als Nächstes diese Artikel ansehen.