BSI-DSZ-CC-0616-2010
GeNUGate Firewall 6.3
| Antragsteller / Applicant | GeNUA mbH Domagkstraße 7 |
| Prüfstelle / Evaluation Facility |
Tele-Consulting security | networking | training GmbH |
| Prüftiefe / Assurance |
EAL4+, ALC_FLR.2, ASE_TSS.2, AVA_VAN.5 |
| Ausstellungsdatum / Certification Date |
29.09.2010 |
Zertifizierungsreport / Certification Report
Sicherheitsvorgaben / Security Target
Der EVG GeNUGate Firewall 6.3 ist Teil eines Gesamtsystems, der Firewall GeNUGate 6.3 Z (Patchlevel 7), welches Hard- und Software beinhaltet. Der EVG GeNUGate Firewall 6.3 selbst ist Teil der ausgelieferten Software. Das Betriebssystem ist ein modifiziertes OpenBSD. GeNUGate 6.3 Z ist ein zweistufiges Firewallsystem: innen ein Paketfilter (PFL), außen ein Applicationlevel-Gateway (ALG), die in zwei getrennten Rechnern implementiert sind PFL und ALG werden durch ein Kreuzkabel verbunden. Neben der Netzwerkverbindung zum PFL besitzt das ALG (mindestens) drei weiter Netzwerkschnittstelllen zum externen Netz, dem Admin-Netz und dem SecureServer-Netz. Für
die Hochverfügbarkeitsoption benötigt das ALG eine weitere netzwerkverbindung zum HANetz. Der PFL hat eine zweite Netzwerkverbindung zum internen Netz. Der Einsatzzweck der Firewall ist es, den IP-Verkehr zwischen den angeschlossenen Netzen zu kontrollieren. Hierzu nutzt das ALG Proxies, die alle Daten kontrollieren, die zwischen den verschiedenen Netzwerken übertragen werden, während der PFL mittels einem Paketfilter alle Daten kontrolliert, die vom interne Netz gesendet bzw. empfangen werden. Um Hardware-Fehler zu minimieren bietet die GeNUGate die Hochverfügbarkeitsoption, indem zwei oder mehr GeNUGate Systeme redundant aufgebaut werden und ggf. ein fehlerhaftes System übernehmen können.
The TOE GeNUGate Firewall 6.3 is part of a larger product, the firewall GeNUGate 6.3 Z (Patchlevel 007), which consists of hardware and software. The TOE GeNUGate Firewall 6.3 itself is part of the shipped software. The operating system is a modified OpenBSD.
GeNUGate 6.3 Z is a combination of an application level gateway (ALG) and a packet filter (PFL), which are implemented on two different systems. It is thus a two-tiered firewall. The network connection between ALG and PFL is a cross cable. Besides the network interface to the PFL, the ALG has (at least) three more interfaces to connect to the external network, the administration network and the secure server network. For the high availability option, the ALG needs another network interface for the HA network. The PFL has a second interface which is connected to the internal network. The aim of the firewall is to control the IP-traffic between the different connected networks. Therefore the ALG uses proxies that control all data transmitted between the different networks, while the PFL uses packet filtering as an additional means to control all data that is send to and from the internal network. To mitigate hardware failures the GeNUGate has a high availability option where two or more GeNUGate systems are operating in parallel and take over a failing system.