ESUKOM Best Practice Report

Bericht AP5: „Best-Practise“-
Dokument
4. Mit den Smartphone eine Verbindung mit dem externen Netz über den Access
Point „Public“ aufbauen
5. Über den NCP VPN-Client für Android eine Verbindung mit dem internen Netz
aufbauen. Folgende Profile sind bereits vorhanden und können zum
Verbindungsaufbau benutzt werden:
• IPsec: ipsec1/ipsec1 – ipsec5/ipsec5
• L2TP: l2tp1/l2tp1 – l2tp5/l2tp5
6. Nachdem die Verbindung erfolgreich zustande gekommen ist, werden die
Metadaten der Verbindung durch den VPN-IF-MAP-Client veröffentlicht.
7. Mit den Webbrowser des Smartphones eine Verbindung zum Patientendienst
aufbauen (siehe Abschnitt 4.2.2)
8. Sobald die Verbindung durch den iptables-IF-MAP-Client erkannt wurde, wird von
diesem eine Suchabfrage auf die für den Zugriff benötigten Privilegien
durchgeführt (die durch den VPN-IF-MAP-Client publizierten Capability-Metadaten
mit den Wert „Arzt“). Sollten diese vorhanden sein, wird der Zugriff durch das
automatische Einfügen einer iptables-Regel durch den iptables-IF-MAP-Client
erlaubt.
4.3.2 Anwendungsfall 2
Bestandteil des zweiten Anwendungsfalls ist der Zugriff auf sensible Daten in
Abhängigkeit des aktuellen Standorts des Benutzers bzw. des mobilen Endgerätes
(Kernanforderung „Location Based Services“). Konkret geht es darum, dass der Zugriff
auf die sensiblen Daten nur gestattet wird, wenn dieser von einem bestimmten WLAN-
Access-Point aus erfolgt (Access-Point innerhalb der Patientenräume). Sollte der Zugriff
von einem anderen Access-Point aus erfolgen, wird dieses von der Detection Engine als
Regelbruch erkannt und ein Enforcement des jeweiligen Endgerätes eingeleitet. Die
folgenden Komponenten sind zur Umsetzung dieses Anwendungsfalls erforderlich:
MAP-Server (irond)
Detection Engine (irondetect)
Android-Smartphone mit installierten Android-IF-MAP-Client
macmon mit IF-MAP-Erweiterung
Patient-Data-Service
iptables-IF-MAP-Client (Enforcement-Komponente)
Folgende Schritte sind zum Testen des Anwendungsfalls erforderlich:
1. MAP-Server starten
2. Standart-Metadaten per Skript veröffentlichen
3. Detection Engine mit Hilfe des Start-Skripts ausführen. Hierbei ist darauf zu
achten, dass die für den Anwendungsfall richtige Policy aktiviert ist (siehe
Abschnitt 4.2.2). Nach dem Starten öffnet sich die grafische Benutzeroberfläche,
in welche später die erkannten Ereignisse angezeigt werden.
Copyright ESUKOM-Konsortium 2010-2012 Seite 20