Bau dir eine Audio-Festung

09/08/2017

System-Sicherheit für Audio-über-IP-Netzwerke

Schon immer gab es Sicherheitsbedenken bei Audio-Anwendungen im kommerziellen Bereich. Zu Zeiten, als noch mit Bändern aufgenommen wurde, wurden die Maschinen- und Bandräume mit Argusaugen und schweren Schlössern bewacht und gesichert, damit niemand an die wertvollen Bänder gelangte, der das nicht sollte. Auch in digitalen Welten gibt es die Sorge, dass Speicher-Medien gestohlen werden oder nicht-autorisierte Personen Zugriff darauf erhalten. Durch die zunehmende Digitalisierung mit der Möglichkeit, Daten in Gigabyte-Dimensionen in Sekundenbruchteilen über die ganze Welt zu schicken, sind Datendiebstähle zunehmend zu einem Problem geworden. Neben den vielen Vorteilen, die moderne Audio-Over-IP-Systeme bieten, sind die Sicherheitsaspekte, die damit einher gehen, ein neuer Bereich, zu dem man sich grundsätzliche Gedanken machen sollte, um Diebstähle zu verhindern. Hier gibt es bewährte Lösungen, mit denen man die nötige Sicherheit erzielen kann.

In diesem Artikel zeigen wir die sicherheitsrelevanten Lücken, die - absichtlich oder versehentlich - in deinem Audio-Over-IP-System entstehen können. Natürlich haben wir einige Vorschläge, wie du dein System sicherer machen kannst, damit die erwünschten Nutzer die Vorteile in Anspruch nehmen können und unerwünschte User keinen Zugang erhalten.

Erster Schritt: Der gesunde Menschenverstand
„Ganz gleich, welche Vorteile ein Netzwerk-Audio-System mit sich bringt, der erste Schritt in Sachen zuverlässigem Betrieb und Sicherheit beginnt beim Mensch, der damit arbeitet", meint Will Hoult, Produkt-Manager Comercial & Professional Audio bei Focusrite. „Der Umgang mit einem Audio-System sollte mit einem vernünftigen Konzept geregelt werden. In einem analogen Studio erfolgt die Verbindung von Geräten und Räumen über physikalische Kabel. Wenn ich in der Regie 1 war und gesehen habe, dass der Aufnahmeraum mit Regie 2 über Kabel verbunden gewesen ist, habe ich zuerst geschaut, ob dort gerade jemand arbeitet, bevor ich Kabel herausgezogen habe. Erst dann, wenn ich mir sicher war, dass ich niemanden störe, habe ich mit der Arbeit begonnen. Das sollte auch in einem digitalen System nicht anders sein, wo alle Nutzer, die mit dem System arbeiten, sich an die gleichen Abläufe halten.“

Wenn alle diese Regeln und Abläufe befolgen, können die meisten Audio-Unterbrechungen vermieden werden. Natürlich lässt sich so etwas immer einfacher sagen, als in die Tat umsetzen, vor allem dann, wenn die Systeme in großen Gebäuden untergebracht sind und viele Nutzer gleichzeitig in diesem Netzwerk arbeiten.

Audio-Over-IP-Systeme bieten als großen Vorteil den Mehr-Nutzer-Betrieb, der jedoch einige Herausforderung in Bezug auf Sicherheitsaspekte mit sich bringt. Es ist jedoch möglich festzulegen, wer Zugriff auf wichtige Audio-Daten bekommt und wer nicht.

Nutzer und Rechte unter Kontrolle
Einer der großen Vorteile von Netzwerk-Audio-Systemen ist die Möglichkeit, dass mehrere Nutzer gleichzeitig mit den identischen Audio-Signalen arbeiten können und das sogar unabhängig voneinander. Man kann sich leicht vorstellen, dass es dabei auch zu unerwünschten Routings kommen kann oder ein anderer Nutzer hat aus Versehen plötzlich die Kontrolle über Signale, mit denen man selber arbeiten möchte.

Dante, das Protokoll, mit dem RedNet arbeitet, bringt verschiedene Optionen mit, um solche Fehler zu vermeiden. Damit können, so erklärt Will Hoult, die Zugriffsrechte von Nutzern für bestimmte, systemwichtige Funktionen eingeschränkt werden. „Mit der Dante-Firmware v3.10 und Dante-Controller v3.10 (oder neueren Versionen) hat Audinate eine PIN-Lock-Möglichkeit implementiert, bei der man einen vierstelligen Code eingeben muss, bevor Änderungen vorgenommen werden können. Neben den Routing-Einstellungen können auch Änderungen an der Sample-Rate, der ferngesteuerte Neustart von Geräten und Netzwerk-Einstellungen vor unerwünschten Zugriffen geschützt werden. Alles das sind wichtige Voraussetzungen für unterbrechungsfreies Arbeiten mit Audio-Signalen.“

Die Lock-Funktion in Dante-Controller v3.10. Eine vierstellige PIN ist erforderlich, bevor man die Einstellungen von gesperrten Geräten verändern kann. (Image: www.audinate.com.)

Aber auch die Lock-Funktion kann unter bestimmten Umständen missbraucht werden. Wenn zum Beispiel ein Anwender seine Session beendet hat und das Routing-Setup noch gelockt ist, sieht der nachfolgende Nutzer Geräte, die nicht genutzt werden können. Deswegen sind die Handlungen der Benutzer sowie vorab definierte Regeln für den Systemzugang so wichtig, insbesondere bei Netzwerken die über weite Flächen und Entfernungen reichen. (Bei Glasfasernetzwerken ist ein Betrieb von Dante-Geräte auch mit vielen Kilometern Abstand möglich.)

Will Hoult hat einen Tipp aus der Praxis: „Wenn ein Gerät gelockt ist, geht man am besten davon aus, dass es gerade jemand nutzt. Wenn du das Gefühl hast, jemand hat vergessen, ein Gerät freizugeben, befolgst du eine einfache Kommunikationsprozedur und rufst denjenigen an oder schreibst ihm eine Nachricht, bevor du Veränderungen vornimmst.“

Schütze dein Audio-Netzwerk
Durch das Sperren von Dantes Routing-Möglichkeiten verhindert man wirkungsvoll, dass nicht autorisierte Anwender im Netzwerk aus Versehen die falschen Dinge anklicken. Vielleicht möchtest du jedoch komplette Bereich deines Netzwerks vor Zugriffen schützen, damit deine Audio-Daten für Anwender mit, ich nenne es mal „wenig guten Absichten“, dort keinen Schaden anrichten können. Das ist vor allem in Anwendungsbereichen sinnvoll, wo die Audio-Daten geheim sein können, beispielsweise wenn es sich um Geschäftsinformationen oder Audio-Daten aus Regierungskreisen handelt. Natürlich sind auch Audio-Produktionen und Filmmusik-Daten, die noch nicht veröffentlicht wurden, ein schützenswertes Gut. Der Schlüssel liegt hier darin, die Daten vor unerwünschten Zugriffen zu schützen und gleichzeitig die Flexibilität eines Mehr-Nutzer-Systems zu erhalten.

„Du würdest im Empfangsbereich deines Hochsicherheits-Datencenters keinen Ethernet-Zugang installieren!“
- Will Hoult, Focusrite

Der erste und offensichtlichste Schritt ist es, unerwünschte Nutzer vom Netzwerk auszusperren. „Die Basis sollte immer sein, den physikalischen Zugang zum Netzwerk zu limitieren“, empfiehlt Will Hoult. „Du würdest ja auch im Empfangsbereich deines Hochsicherheits-Datencenters keinen Ethernet-Zugang installieren, um ein Beispiel zu nennen! Deswegen ist der erste Schritt immer, den einfachen physikalischen Zugang zum Netzwerk zu verhindern.“

Das klingt einfacher, als es in der Praxis ist, vor allem dann, wenn es viele Geräte an unterschiedlichen Plätzen mit ebenso vielen Nutzern gibt, wie es zum Beispiel bei einem Film-Set der Fall ist. „Es kann durchaus Gründe geben, warum ein Nutzer in einem Raum ist, aber nicht ins Netzwerk darf. Als nächstes, nachdem wir die physikalischen Anschlüsse limitiert haben, können wir bestimmen, wer überhaupt Zugriff auf das Netzwerk erhält. Durch Verwendung von Nutzernamen und Passworten wird es möglich, für bestimmte Personen nur bestimmte Funktionen und Bereiche freizuschalten. Das Audio-Equipment lässt sich auch in einem virtuellen Netzwerk zusammenfassen und schützen. Der Zugriff darauf wird dann über ACL (Access Control List), also eine Zugangsliste, geregelt. Das ist eine sehr einfache Netzwerk-Implementierung, die ein Teil des Internet-Protokolls (IP) ist. Ein IT-Abteilung sollte in der Lage sein, das alles einzurichten.“ (Audinate hat zu diesem Thema ein White-Paper veröffentlicht: ‘Audio-Over-IP from an IT Manager’s Perspective’.)

Netzwerk-Sicherheit wird vor allem in den Anwendungsbereichen immer wichtiger, wo Audio-Geräte mit großen Entfernungen oder sogar unbeaufsichtigt, eingesetzt werden.

Eine weitere Möglichkeit der Zugangskontrolle, die vor allem dann sinnvoll ist, wenn man eine Liste von bekanntem Equipment verwendet, ist die Sichtbarkeit der Geräte im Netzwerk. Ganz gleich, ob es sich um einen Stand-alone-Recorder oder einen A/D-D/A-Wandler handelt, jedes Gerät im Netzwerk verfügt über eine einzigartige Identifizierung in Form der sogenannten MAC-Adresse. Ein Zugriff kann so zum Beispiel nur auf geprüfte Geräte erlaubt werden. „Um das einzurichten, ist die Zusammenarbeit mit einem IT-Administrator eine gute Idee“, empfiehlt Will Hoult. „Vermutlich wissen diese Spezialisten deutlich mehr über dieses Thema, als du es als Audio-Profi tust.“

Netz-Verkehrskontrolle
Eine weitere Quelle, die Audio-Signale in einem Netzwerk unterbrechen oder stören kann, ist Datenverkehr, der im selben Netzwerk erfolgt. Hoult: „Man kann Audio-Signale generell parallel zum übrigen Netzwerk-Datenverkehr laufen lassen, aber dafür ist es wichtig, dass das IT-Team das Netzwerk so konfiguriert, dass kleine Audio-Datenpakete gegenüber dem restlichen Datenverkehr bevorzugt werden. RedNet nutzt Standard-Netzwerk-Prozesse wie Quality of Service (QoS), mit dem sich im Grunde jedes Datenpaket im Netzwerkverkehr, das einen Switch durchläuft, über eine Prioritätsnummer bevorzugen lässt. Empfängt der Switch also beispielsweise zwei Datenpakete zur gleichen Zeit, wird er das mit der höheren Priorität als erstes durchlassen.

Das QoS-Konfigurations-Fenster eines Cisco-Netzwerk-Switches.

Bei kleineren Systemen oder in Anwendungen, wo es keinen dedizierten IT-Support gibt (z.B. In einem Recording-Studio), kann die Einrichtung eines IP-Netzwerks lästig sein. Will Hoult hat für Netzwerk-Einsteiger ein paar Tipps, vor allem in Bezug auf die Auswahl des passenden Equipments, mit dessen Hilfe sich ein System so konfigurieren lässt, dass es förderlich für den Audio-Daten-Verkehr ist. „Wichtig ist es, sogenannte ´Managed Layer-3´-Netzwerk-Switches zu kaufen, die zwar ein klein wenig teurer sind, dafür aber viel mehr Flexibilität bei der Konfiguration und individuellen Anpassung eines Netzwerks bieten. Für die Verwaltung von Nutzer-Namen und Passwörtern ist ein Server erforderlich, der zusätzlich die Möglichkeit gibt, Daten aus der Ferne zu speichern, zum Beispiel Session-Templates. Ein Server lässt sich ganz einfach aufsetzen und es gibt eine Vielzahl an günstigen Software-Lösungen dafür. Auch im Freeware-Bereich finden sich gute Server-Lösungen, die man zum Beispiel mit einem günstigen Rasperry-Pi-Computer nutzen kann. Die Kosten für die Implementierung sind sehr gering.“

Wenn du den Hinweisen in diesem Artikel folgst, die Best-Practices-Lösungen umsetzt und dich um ein entsprechendes Zugangs-Rechte-Konzept für Nutzer kümmerst, kannst du dir sicher sein, dass deine Audio-Daten ohne Unterbrechung funktionieren und jederzeit in sicheren Händen sind. Natürlich ist das mehr Arbeit, als nur ein Schloss an die Tür des Bandmaschinenraums zu hängen, so wie es früher ging. Aber wie sagte Bob Dylan schon 1964? „The times, they are a-changing.“

HINWEIS Auf der Winter NAMM 2017 hat Audinate den Dante Domain Manager (DDM) vorgestellt, ein Netzwerk-Verwaltungs-System, das die Sicherheitseinstellungen deutlich einfacher macht. Viele der in diesem Text erwähnten Dinge können damit ebenfalls schnell umgesetzt werden. Audiante hat DDM für die zweite Jahreshälfte 2017 angekündigt.

— Words: Chris Mayes-Wright