Datei:          NEUES.TXT
Produkt:        NCP Secure Entry Client
Version:        Version 8.30
Hersteller:     NCP Engineering GmbH

-------------------------------------------------------------------------------
Neueste Informationen zum NCP Secure Entry Client unter Win 98se/ME/NT/2000/XP
-------------------------------------------------------------------------------
Neue Features der Version 8.30 gegenüber Version 8.21
-------------------------------------------------------------------------------

1. Neue Verbindungsarten

Im Parameterfeld "Zielsystem" des Telefonbuchs wurden zwei neue Verbindungsarten 
für den Client hinzugefügt:
- WLAN
- Automatische Medienerkennung

WLAN: Die Konfiguration eines Zielsystems mit Verbindungsart WLAN ermöglicht das 
direkte Ansteuern und Konfigurieren der WLAN-Karte. Die Installation der 
Managementsoftware kann entfallen (nur unter Windows 2000/XP).

Automatische Medienerkennung: Diese Verbindungsart kann dann eingesetzt werden, 
wenn wechselweise unterschiedliche Verbindungsarten genutzt werden. Der Client 
erkennt dann automatisch, welche Verbindungsarten aktuell zur Verfügung stehen 
und wählt davon die schnellste aus. 


2. Integrierte WLAN-Konfiguration für Windows 2000/XP

Unter Windows 2000/XP kann der WLAN-Adapter mit der Verbindungsart "WLAN" 
betrieben werden. Im Monitormenü erscheint eigens der Menüpunkt "WLAN-
Einstellungen", worin die Zugangsdaten zum Funknetz in einem Profil hinterlegt 
werden können. Wird diese "WLAN-Konfiguration aktiviert", so muss das 
Management-Tool der WLAN-Karte bzw. das Microsoft-Tool deaktiviert werden.

Alternativ kann auch das Management-Tool der WLAN-Karte oder das Microsoft-Tool 
genutzt werden. Die jeweils nicht eingesetzten Tools müssen deaktiviert werden.

Wird die Verbindungsart WLAN für ein Profil eingestellt, so wird unter dem 
grafischen Feld des Client-Monitors eine weitere Fläche eingeblendet, auf der 
die Feldstärke und das WLAN-Netz dargestellt werden.

Bitte beachten Sie zur Konfiguration der WLAN-Einstellungen die Beschreibung zum 
Parameter "Verbindungsart" im Abschnitt "Konfigurationsparameter / Telefonbuch" 
und den Anhang "Mobile Computing via GPRS / UMTS / WLAN".

Wird WPA mit EAP (TLS) genutzt, so müssen die EAP-Optionen im Konfigurations-
Menü des Monitors aktiviert werden und ein Zertifikat konfiguriert sein (im 
Monitor-Menü unter "Konfiguration / Zertifikate").


3. Automatische Medienerkennung

Auf Grundlage eines vorkonfigurierten Zielsystems wird automatisch diejenige 
Verbindungsart erkannt und eingesetzt, die für den Client-PC aktuell zur 
Verfügung steht, wobei bei mehreren alternativen Übertragungswegen automatisch 
der schnellste gewählt wird. In einer Suchroutine ist die Priorisierung der 
Verbindungsarten in folgender Reihenfolge festgelegt: 1. LAN, 2. WLAN, 3. DSL,  
4. UMTS/GPRS, 5. ISDN, 6. MODEM.

Die Konfiguration erfolgt mit der Verbindungsart "automatische Medienerkennung" 
in den Profil-Einstellungen unter "Zielsystem". Alle für diesen Client-PC 
vorkonfigurierten Zielsysteme zum VPN Gateway des Firmennetzes können dieser 
automatischen Medienerkennung, sofern gewünscht, zugeordnet werden. Damit 
erübrigt sich die manuelle Auswahl eines Mediums (UMTS, DSL, ISDN, Modem) aus 
den Telefonbucheinträgen. Die Eingangsdaten für die Verbindung zum ISP werden 
für den Anwender transparent aus den vorhandenen Telefonbucheinträgen 
übernommen.


4. Verfügbare Verbindungsmedien

Dieses Fenster dient ausschließlich der Benutzerinformation über die zur 
Verfügung stehenden Verbindungsarten und die aktuell genutzte. Werden 
wechselweise unterschiedliche Verbindungsarten genutzt, so erkennt der Client 
automatisch, welche Verbindungsarten aktuell zur Verfügung stehen und wählt 
davon die schnellste aus. 

Die zur Verfügung stehenden Verbindungsarten werden mit gelber Signallampe 
dargestellt, die ausgewählte Verbindungsart mit einer grünen.

Zur Konfiguration der "automatischen Medienerkennung" beachten Sie im 
Telefonbuch das Parameterfeld "Zielsystem".


5. Lizenzierung

Die Lizenzierung erfolgt nicht mehr über das Popup-Menü, sondern über das 
Monitor-Menü "Hilfe / Lizenzinfo und Aktivierung".

Unter dem Menüpunkt "Lizenzinfo und Aktivierung" wird die eingesetzte Software-
Version und gegebenenfalls die lizenzierte Version mit Seriennummer angezeigt.

Wird die Software als Testversion eingesetzt, so kann die verbliebene Dauer der 
Gültigkeit im Popup-Menü abgelesen werden.

Um eine zeitlich unbegrenzt gültige Vollversion nutzen zu können, muss die 
Software mit dem erhaltenen Lizenzschlüssel und der Seriennummer freigeschaltet 
werden.

Mit der Lizenzierung der Software akzeptieren Sie die Lizenzbedingungen, die 
nach einem Klick auf "Lizenzbedingungen" eingesehen werden können.

Zur Eingabe von Lizenzschlüssel und Seriennummer klicken Sie auf den Button 
"Aktivierung". Anschließend können die Lizenzdaten wahlweise online oder offline 
über einen Assistenten eingegeben werden.

In der Offline-Variante muss eine Datei, die nach Eingabe von Lizenzschlüssel 
und Seriennummer erzeugt wird, an den NCP Web Server geschickt werden und der 
auf der daraufhin auf der Website angezeigte Aktivierungsschlüssel notiert 
werden. Dieser Aktivierungsschlüssel kann zu einem späteren Zeitpunkt im 
Lizenzierungsfenster des Monitormenüs eingegeben werden.

In der Online-Variante werden die Lizenzierungsdaten über einen Assistenten 
unmittelbat nach Eingabe an den Web Server weitergegeben und die Software damit 
unverzüglich freigeschaltet.


6. Friendly Net Detection (FND)

FND ermöglicht dem NCP Client automatisch zu erkennen, ob er sich in einem 
Friendly Net (FN) befindet oder nicht.
 
Integrierte intelligente Automatismen in der Personal Firewall ersetzen manuelle 
Eingriffe. Was ein FN ist, kann vom Administrator in den Firewall-Einstellungen 
des Monitors festgelegt werden. Die Signalisierung eines FN erfolgt im Monitor; 
das Firewall Icon färbt sich grün.
 
Erforderlich ist ein Friendly Net Detection Server (FNDS), d.h. eine 
Softwarekomponente von NCP, die in einem als "Friendly Net" definierten Netz 
installiert werden muss. Die Authentifizierung des FNDS erfolgt mittels EAP bzw. 
EAP-TLS.

Der Anwender muss sich nicht um die Einstellung der Personal Firewall kümmern. 
Je nach Kommunikationsumgebung greift der NCP Client dynamisch auf ein passendes 
Firewall-Regelwerk zu. Versehentliches Benutzen falscher Firewall-Konfigurationen 
und damit Attacken auf das Firmennetz werden verhindert.

Um die Redundanz zu erhöhen, kann die IP-Adresse eines zweiten FND-Servers nach 
einem Strichpunkt nach der ersten IP-Adresse eingetragen werden. Die IP-Adresse 
des ersten verfügbaren FND-Servers wird automatisch zur Erkennung der bekannten 
Netze selektiert.


7. Erweiterung der unterstützten Chipkarten

Folgende Chipkarten werden direkt über die PC/SC- oder CT-API-Schnittstelle 
unterstützt:
- Signtrust
- NetKey 2000
- TC Trust (CardOS M4)
- Telesec PKS SigG


8. Externe Anwendungen

Über dieses Konfigurationsfeld der Verbindungssteuerung im Monitormenü können in 
Abhängigkeit vom Client Monitor Anwendungen oder Batch-Dateien gestartet werden. 

In einer weiterführenden Konfiguration kann bestimmt werden wann die Anwendung 
getartet werden soll:
- vor Verbindungsaufbau starten (precon)
- nach Verbindungsaufbau starten (postcon)
- nach Verbindungsabbau starten (discon)

Die Wait-Funktion "Warten bis Anwendung ausgeführt und beendet ist" kann dann 
von Bedeutung sein, wenn eine Reihe von Batch-Dateien nacheinander ausgeführt 
werden soll.


9. Externe Anwendungen vor Windows-Anmeldung

Über den Menüpunkt "Logon-Optionen" im Monitormenü "Konfiguration" können 
externe Anwendungen (Consolen-Anwendungen oder Batch-Dateien, keine Windows-
Programme!) auch mit der NCP Gina  gestartet werden.
- vor Verbindungsaufbau starten (precon)
- nach Verbindungsaufbau starten (postcon)

Die Anwendung kann außerdem in Abhängigkeit von der Verbindungsart des im Gina 
Dialog selektierten Zielsystems gestartet werden. Die Applikation wird immer 
gestartet, wenn als Verbindungsart "Alle" gewählt wurde.

"Domänenvorbereitung abwarten (postdom)" bedeutet, dass die Anwendung nach der 
Initialisierungszeit unmittelbar vor der Domänenanmeldung gestartet wird.

Die Wait-Funktion "Warten bis Anwendung ausgeführt und beendet ist" kann dann 
von Bedeutung sein, wenn eine Reihe von Batch-Dateien nacheinander ausgeführt 
werden soll.


10. Dialoge und Installation der NCP Gina

Die Dialoge der NCP Gina können über das Monitor-Menü ausgeblendet werden, ohne 
dass dabei die Gina deinstalliert wird. Für die jeweilige Arbeitsumgebung 
eventuell nötige Gina-Verkettungen bleiben auf diese Weise bestehen.

Soll der Gina-Dialog eingeblendet werden, so ist darauf zu achten, dass die NCP 
Gina auf jeden Fall installiert sein muss. Dies kann auf dreierlei Weise 
stattfinden:
- Bei der Software-Installation; hierbei wird der Benutzer gefragt, ob er die 
Windows-Anmeldung über die NCP Gina nutzen will. Wenn ja, wird sie installiert.
- Eine nachträgliche Installation ist über die Kommandozeilen-Schnittstelle 
rwscmd.exe möglich, ebenso die nachträgliche Deinstallation.

Standardmäßig erfolgt die EAP-Authentisierung vor dem Verbindungsaufbau zum VPN 
Gateway. Soll EAP genutzt werden, ohne dass anschließend eine Verbindung über 
den Client (reiner EAP Client) aufgebaut werden soll, so muss diese Funktion 
aktiviert werden. Wird EAP mit Zertifikat eingesetzt, so erscheint der PIN-
Dialog zur Authentisierung an den Netzwerkkomponenten. Danach kann die 
Zielauswahl erfolgen.

Wird die Funktion nicht aktiviert, findet die EAP-Authentisierung erst nach der 
Zielauswahl statt.


11. HotSpot-Anmeldung für externe Dialer zulassen

Wenn diese Funktion aktiviert ist, kann über einen externen Dialer eine HotSpot-
Anmeldung erfolgen. Dazu wird die Kommandozeilen-schnittstelle rwscmd.exe 
aufgerufen. (Beachten Sie dazu die Beschreibung im Anhang "Services" in diesem 
Handbuch!) Mit dem Befehl
rwscmd /logonhotspot [Timeout]
wird die Firewall für die Ports 80 (HTTP) und 443 (HTTPS) freigeschaltet. Damit 
wird eine dynamische Regel erzeugt, die den Datenverkehr für diese HotSpot-
Anmeldung zulässt, bis der übergebene Timeout (in Sekunden) abgelaufen ist. 


12. Initialisierungszeit nach Netzwerk-Logon

Zwischen Netzanmeldung und Domänenanmeldung kann Windows eine gewisse 
Initialisierungszeit benötigen. Diese Vorbereitungszeit für die Domänenanmeldung 
kann hier aktiviert und eingestellt werden. Die Windows-Anmeldung findet erst 
nach der hier eingestellten Initialisierungs-Zeit nach dem Verbindungsaufbau 
statt.

Der Standardwert beträgt 45 Sekunden und kann nach Bedarf verändert werden. 


13. Neues Parameterfeld in den Profil-Einstellungen "Authentisierung vor VPN"

Dieses Parameterfeld erscheint nur, wenn für das Zielsystem die Verbindungsart 
"LAN" oder "WLAN" konfiguriert wurde, bzw. ein externer Dialer eingesetzt wird 
oder das Zielsystem für die automatische Medienerkennung konfiguriert wurde. 
Beachten Sie dazu die Beschreibungen zum Parameterfeld "Zielsystem / 
Verbindungsart".


14. Neues Parameterfeld in den Telefonbuch "HTTP-Authentisierung"

Die "HTTP-Authentisierung" gestattet eine automatische scriptgesteuerte 
Anmeldung mobiler Nutzer an Hotspots (auch DSL). 

Bei einem Link mit der Verbindungsart WLAN wird die HTTP-Anmeldung in den 
Profil-Einstellungen nicht zugeschaltet! Statt dessen wird mit der Aktivierung 
dieser Funktion bewirkt, dass für dieses Zielsystem die Authentisierungsdaten 
aus den WLAN-Einstellungen im Monitor-Menü zum Einsatz kommen.

Wenn der Access Point einen HTTP-Redirect ausführt, kann die Eingabe von 
Benutzername und Passwort in einem Browser-Fenster entfallen. Statt dessen 
werden die Authentisierungsdaten hier eingegeben.

Die Authentisierung erfolgt über ein entsprechendes Script. Beispiele befinden 
sich im Installationsverzeichnis <system root> ncple\scripts\sample.

Bei der Verbindungsart WLAN werden die Authentisierungsdaten für den Hotspot aus 
den WLAN-Einstellungen übernommen.

Der Benutzer baut die Verbindung zum Hotspot automatisch auf, wenn die HTTP-
Anwendung aktiviert ist. Eine Message-Box weist den Benutzer darauf hin, dass 
diese Verbindung gebührenpflichtig ist und er die Vertragsbedingungen des 
HotSpot-Betreibers akzeptiert.


15. Unterstützung von UDP-Encapsulation

Wird die UDP-Encapsulation verwendet, so kann der Port frei igewählt werden. 
Standard für IPSec mit UDP ist der Port 4500, für IPSec ohne UDP der Port 500.
Das NCP Gateway erkennt die UDP-Encapsulation automatisch.


16. Voice over IP (VoIP) priorisieren

Wird der Client für Kommunikation mit Voice over IP genutzt, so sollte diese 
Funktion "Voice over IP (VoIP) priorisieren" (im Telefonbuch unter "Line-
Management") aktiviert werden, um die Sprachdaten verzögerungs- und 
verzerrungsfrei senden und empfangen zu können.



Neue Features der Version 8.21 gegenüber Version 8.20
-------------------------------------------------------------------------------

1.  Unterstützung von Multifunktionskarten für UMTS/GPRS

Ist eine Multifunktionskarte für UMTS/GPRS installiert, erscheint bei der
Verbindungsart "GPRS/UMTS" ein zusätzliches Feld über das die Feldstärke, die 
Verbindungsart (UMTS oder GPRS) und das Netz angezeigt werden. Zusätzlich kann
die aktuelle Verbindungsart umgeschaltet und das Netz gewechselt werden.

2.  Menüpunkt zur Eingabe der SIM PIN für Multifunktionskarten

Das Menü für die Multifunktionskarte wurde um den Punkt "SIM PIN Eingabe"
erweitert. Der Menüpunkt ist nur aktiv, wenn die SIM PIN nicht konfiguriert
oder nicht eingegeben wurde.

3.  PIN-Handling für SIM überarbeitet

Für die Unterstützung der Multifunktionskarte (UMTS/GPRS) wurde das PIN-Handling 
für die SIM komplett überarbeitet. Es erfolgt automatisch die notwendige 
Aufforderung zur Eigabe der PIN bzw. PUK. Wird die Eingabe der PIN/PUK 
abgebrochen, kann diese später über das Menü aufgerufen werden. Zusätzlich kann 
über das Menü die aktuelle PIN der SIM geändert werden.

4.  Korrektur der Konfiguration für die SIM PIN bei UMTS/GPRS

Wurde die SIM PIN der Multifunktionskarte in der Konfiguration falsch 
eingetragen, erfolgt bei einem Verbindungsaufbau die Aufforderung zur Eingabe 
der PIN, die anschließend in der Konfiguration korrigiert wird.

5.  Erweiterung der Anzeige für die Feldstärke bei Multifunktionskarten

Die Feldstärke wird zusätzlich zum grafischen Balkenpegel auch mit Prozentwerten 
im Feld für die Multifunktionskarte angezeigt.

6.  Log-Datei für Multifunktionskarte

Ist eine Multifunktionskarte für UMTS/GPRS installiert, wird eine Log-Datei mit 
folgenden Spalten ins Log-Verzeichnis des Secure Client geschrieben.
 1. Spalte:  Zeit
 2. Spalte:  Aktuelle Feldstärke
 3. Spalte:  Durchschnittliche Feldstärke der letzten Minute
 4. Spalte:  Durchschnittliche Feldstärke der letzten 5 Minuten
 5. Spalte:  Durchschnittliche Feldstärke der letzten 10 Minuten
 6. Spalte:  Aktueller Netztyp (UMTS oder GPRS)
 7. Spalte:  Aktuelles Netz
Alle 10 Sekunden wird ein Eintrag erstellt, jedoch nur alle 5 Minuten die 
Einträge in die Datei geschrieben. Für jeden Tag wird eine Log-Datei mit dem 
Namen "mfc<DATUM>.log" erstellt. Es werden die Log-Dateien der letzten 7 Tage 
gespeichert.

7.  Log-Eintrag bei Verbindungsabbau (Grund des Abbaus)

Wird eine bestehende Verbindung abgebaut, wird ins Logbuch des Clients ein Log-
Eintrag mit dem Grund des Verbindungsabbaus geschrieben.

8.  Log-Eintrag bei Verbindungsabbau (Status der Feldstärke)

Wird eine bestehende Verbindung abgebaut, wird ins Logbuch des Clients ein Log-
Eintrag mit den letzten Statuswerten der Feldstärke für UMTS/GPRS geschrieben.

9.  Parameter "MAC-Adresse" in den Firewall-Regeln

In den Firewall-Einstellungen wurde in den Regeln unter "Allgemein" der 
Parameter "MAC-Adresse" entfernt.



Neue Features der Version 8.20 gegenüber Version 8.12
-------------------------------------------------------------------------------

1. Installationsverzeichnis

In der benutzerdefinierten Installation kann ein beliebiges 
Installationsverzeichnis für die Software gewählt werden. Dies ist insbesondere 
dann wichtig, wenn der Benutzer keine Rechte auf das System-Root-Verzeichnis 
hat.


2. Firewall

Die Personal Firewall kann im Monitormenü "Konfiguration" eingestellt werden und 
ist fester Bestandteil des Secure Clients. Alle Firewall-Mechanismen sind 
optimiert für Remote Access-Anwendungen und werden bereits beim Start des 
Rechners aktiviert. D.h. im Gegensatz zu VPN-Lösungen mit eigenständiger 
Firewall ist der Telearbeitsplatz bereits vor der eigentlichen VPN-Nutzung gegen 
Angriffe geschützt. Die Firewall bietet auch im Fall einer
Deaktivierung der Client-Software vollen Schutz des Endgerätes. Alle Firewall-
Regeln können zentral vom Administrator vorgegeben und deren Einhaltung 
erzwungen werden. Voraussetzung hierfür ist das zentrale NCP Secure Enterprise 
Management, mit dessen Hilfe die Konfiguration des Clients fest, für den 
Anwender nicht änderbar, vorgegeben werden kann.


3. Automatische HotSpot-Anmeldung

Damit der remote Client in jeder Phase des Verbindungsaufbaus auch in WLANs mit 
HotSpots ohne Zutun des Benutzers gegenüber jeglichen Attacken geschützt ist, 
wurde die Firewall fest in die Secure Client-Software integriert. Sie verfügt 
über intelligente Automatismen für eine sichere HotSpot-Anmeldung.

Funktionsbeschreibung:
Befindet sich ein Benutzer mit seinem Endgerät im Empfangsbereich eines 
öffentlichen WLAN, wählt er im Hauptmenü "Verbindung" den Menüpunkt "HotSpot-
Anmeldung". Der Client sucht daraufhin automatisch den HotSpot und öffnet die 
Website zur Anmeldung im Standard-Browser. Nach erfolgreicher Eingabe der 
Zugangsdaten und Freischaltung durch den Betreiber, kann die VPN-Verbindung z.B. 
zur Firmenzentrale aufgebaut und sicher wie an einem Büroarbeitsplatz 
kommuniziert werden.
Damit der PC bei der Anmeldung im WLAN zu keiner Zeit angreifbar ist, gibt die 
Firewall dynamisch die Ports für http bzw. https für die Anmeldung bzw. 
Abmeldung am HotSpot frei. Dabei ist nur Datenverkehr mit dem HotSpot-Server des 
Betreibers möglich. Nicht angeforderte Datenpakete werden abgewiesen. Auf diese 
Weise ist garantiert, dass ein öffentliches WLAN ausschließlich für die VPN-
Verbindung zum zentralen Datennetz genutzt wird und kein direkter Internet-
Zugriff erfolgt.
Die direkte Kommunikation zum Internet unter Umgehung des VPN-Tunnels ist 
ausgeschlossen, aufgrund der bereits beschriebenen dynamischen Firewall-Regeln, 
die von der integrierten Personal Firewall des NCP Secure Clients selbständig 
gesetzt werden.
Für die Anmeldung über den Standard-Browser am HotSpot ist zu beachten, dass 
eventuell eingetragene Proxy-Einstellungen angepasst bzw. deaktiviert werden 
müssen.
Sollte vom NCP Secure Client keine HotSpot-Anmeldung durchgeführt werden, wird 
dies durch die Meldung "HotSpot konnte nicht gefunden werden" mitgeteilt.
Für einen solchen Fall ist zu klären, ob über diesen HotSpot-Betreiber ein 
generelles Problem in Verbindung mit den von NCP implementierten Mechanismen 
besteht.


4. Import von Konfigurationsdaten

Über die Funktion "Profile importieren" im Konfigurationsmenü des Monitors 
können Profil-Einstellungen vom Client eingelesen werden. Diese Profil-
Einstellungen können in Form einer INI-Datei vom Zielsystem erstellt oder 
manuell editiert werden. Im Installationsverzeichnis befinden sich dazu die 
Beispieldateien IMPORT_D.TXT und IMPORT_E.TXT. In den Beispieldateien sind auch 
Syntax und Parameterwerte beschrieben.


Neue Features der Version 8.12 gegenüber Version 8.11
-------------------------------------------------------------------------------

1. Kompressionstyp Deflate

Der Kompressionstyp Deflate wird unterstützt. In den Profil-Einstellungen 
erscheint unter "IPSec-Einstellungen" der Parameter "IP-Kompression verwenden". 
Wird diese Funktion aktiviert, so werden beide Kompressionstypen, LZS und 
Deflate, ausgehandelt. 

2. Domain Name

In den Profil-Einstellungen des Secure Clients kann unter "IP-Adressen-
Zuweisung" neben einem DNS/WINS-Server auch ein "Domain Name" angegeben werden. 
Dies ist der Domain Name der sonst per DHCP dem System in den 
Netzwerkeinstellungen übergeben wird. 

3. Nutzung mehrerer Soft-Zertifikate an einem Client-PC

Soll ein PC-Sharing für mehrere Benutzer, die jeweils ein eigenes Zertifikat 
einsetzen, eingerichtet werden, so kann dazu im Hauptmenü des Client-Monitors 
unter "Konfiguration - Zertifikate - Benutzer-Zertifikat" eine Konfiguration 
vorgenommen werden.

Unter "Benutzer-Zertifikat" muss der Menüpunkt "Softzertifikatsauswahl 
aktivieren" eingeschaltet werden und ein "Zertifikatspfad" angegeben werden. 
Dieser Pfad kann über den Auswahl-Button gewählt werden, wenn er vorher angelegt
wurde. (Z.B. C:\WINNT\ncple\usercert). Unter diesem Pfad müssen anschließend
die verschiedenen Benutzer-Zertifikate abgelegt werden. Werden diese 
Einstellungen mit "OK" gespeichert, so erscheint unter dem grafischen Feld des 
Monitors die Zertifikatsleiste mit der Liste aller unter dem Zertifikatspfad
gespeicherten Benutzer-Zertifikaten (z.B. user1 bis user4).
Hat der Benutzer sein Soft-Zertifikat ausgewählt (z.B. user2) und stellt eine 
Verbindung zum zentralen VPN Gateway her, so muss er zunächst seine PIN 
eingeben. Danach wird die Verbindung zum Zielsystem aufgebaut.

4. Einsatz von EAP 802.1x

Zur Port-Authentisierung im WLAN und an Switches unterstützt der Client EAP-
MD5/TLS. Dadurch ist ein separater EAP-Client überflüssig.
EAP-MD5: Benutzername und Passwort werden zur Authentisierung genutzt. Beide 
Größen können auch vom Zertifikat bezogen werden, das für die VPN-Verbindung 
genutzt wird.
EAP-TLS: Zertifikate werden genutzt und aus der NCP-Zertifikats-Konfiguration 
gelesen. EAPOL KEY (Dynamic WEP key) wird unterstützt.

5. Statefull Packet Inspection

Statefull Packet Inspection (SPI) ist immer aktiv. Dies bedeutet, dass SPI 
automatisch auch bei Verbindungen ohne VPN, z.B. Provider-Verbindungen, 
eingesetzt wird. 

6. XAUTH-Protokoll

Das XAUTH-Protokoll kann auch für OTP mit Netscreen eingesetzt werden. 
 


Neue Features der Version 8.11 gegenüber Version 8.10
-------------------------------------------------------------------------------

Die kontextsensitive Online-Hilfe für den Client wurde auf das HTML-Format 
umgestellt. In folgenden Bereichen wurden neue Features implementiert:
I.   Allgemeine Parameter im Telefonbuch (Profil-Einstellungen)
II.  Funktionen zu Verbindungsart und Verbindungsaufbau
III. Neue Funktionen im PKI-Umfeld
IV.  Rechtestruktur zu Systemdateien
V.   Statusanzeigen


I. Allgemeine Parameter im Telefonbuch (Profil-Einstellungen)
-------------------------------------------------------------------------------

1. Umbenennung des Telefonbuchs und seiner Parameterfelder

Das Telefonbuch wurde in "Profil-Einstellungen" umbenannt. Entsprechend sind 
die Zielsysteme bzw. Ziele in "Profile" umbenannt worden. Folgende 
Parameterfelder wurden umbenannt:
Zielsystem           -> Grundeinstellungen
Verbindungssteuerung -> Line Management
Security             -> IPSec-Einstellungen (IPSec-Optionen entfällt)
                 und -> Identität
DNS/WINS             -> IP-Adressen-Zuweisung


2. Bei Verwendung des RAS Dialers nur Kommunikation im Tunnel zulassen

In den Profil-Einstellungen wurde unter "Firewall-Einstellungen" der Parameter 
"Bei Verwendung des Microsoft RAS Dialers auschließlich Kommunikation im Tunnel 
zulassen" neu hinzugefügt. Ist z.B. bereits eine VPN-Verbindung über den NCP 
Dialer aufgebaut, und dieser Parameter gesetzt, kann über den RAS-Dialer keine 
Verbindung parallel zum Internet aufgebaut werden.


3. Auch lokale Netze im Tunnel weiterleiten

Wenn der Datenverkehr des lokalen Netzes über VPN-Tunneling weitergeleitet 
werden soll, so muss diese Funktion aktiviert werden.


4. Erweiterte Firewall-Einstellungen

Unter dem Konfigurations-Menü im Monitor wurde der Menüpunkt "Erweiterte 
Firewall-Einstellungen" hinzugefügt. Mit diesem Filter-Editor können Filter 
für ein- und ausgehenden Datenverkehr definiert werden. Die Filter können für 
Protokolle, Ports, Netzwerk- und Host-IP-Adressen gesetzt werden. 

Die SPD-Konfiguration in den IPSec-Einstellungen früherer Versionen entfällt.


5. IPSec-Einstellungen

Die IPSec-Konfiguration, die in älteren Versionen über den Monitor unter 
"Konfiguration - IPSec" geöffnet werden konnte, erfolgt nun mit dem IPSec-
Editor im Parameterfeld "IPSec-Einstellungen" in den "Profil-Einstellungen".


6. Konfigurations-Sperren

Über die Konfigurations-Sperren im Monitormenü "Konfiguration" kann das 
Konfigurations-Hauptmenü im Monitor so modifiziert werden, dass der Benutzer 
die voreingestellten Konfigurationen nicht mehr abändern kann, bzw. ausgewählte 
Parameterfelder für den Benutzer nicht sichtbar sind.

Die Konfigurations-Sperren werden in der definierten Form erst wirksam, wenn 
die Einstellungen mit "OK" übernommen werden. Wird der "Abbrechen"-Button 
gedrückt, wird auf die Standard-Einstellung zurückgesetzt.

Um die Konfigurations-Sperren wirksam festlegen zu können, muss eine ID 
eingegeben werden, die sich aus "Benutzer" und "Passwort" zusammensetzt. 
Das Passwort muss anschließend bestätigt werden.

Bitte beachten Sie, dass die ID für die Konfigurations-Sperre unbedingt nötig 
ist, die Sperren wirksam werden zu lassen oder die Konfigurations-Sperren auch 
wieder aufzuheben. Wird die ID vergessen, besteht keine Möglichkeit mehr, die 
Sperren wieder aufzuheben!


7. DPD (Dead Peer Detection) deaktivieren

DPD (Dead Peer Detection) und NAT-T (NAT Traversal) werden automatisch im 
Hintergrund ausgeführt, sofern dies das Ziel-Gateway unterstützt. Der IPSec 
Client nutzt DPD, um in regelmäßigen Intervallen zu prüfen, ob die Gegenstelle 
noch aktiv ist. Ist dies nicht der Fall erfolgt ein automatischer 
Verbindungsabbau. Mit dieser Funktion kann DPD ausgeschaltet werden.


8. Diesen Eintrag nach jedem Neustart verwenden

In den Profil-Einstellungen wurde unter "Zielsystem" der Parameter "Diesen 
Eintrag nach jedem Neustart des Systems verwenden" neu hinzugefügt. Ist der 
Parameter gesetzt, wird beim Neustart dieses Zielsystem verwendet, unabhängig 
davon welches Zielsystem beim Herunterfahren des Systems aktiv war.


II. Funktionen zu Verbindungsart und Verbindungsaufbau
-------------------------------------------------------------------------------


1. DSL ohne PPPOE-Protokoll

Um DSL nutzen zu können, braucht kein NCP PPPOE-Protokoll installiert zu sein.


2. Neue Verbindungsart GPRS

GPRS kann nun als eigene Verbindungsart ausgewählt werden. Im Telefonbuch unter 
"Modem" können hierzu noch 3 neue Parameter angeben werden:
- PIN für GPRS Karte
- APN
- AT-Kommando für SIM-PIN

3. Bei der Amtsholung auch das Komma zugelassen

Änderung: Im Feld für die Amtsholung ist jetzt neben den Zeichen "1234567890#*" 
auch das Komma "," zugelassen. Somit kann mit dem Komma über die Amtsholung eine 
Wählpause konfiguriert werden.


4. Fehlermeldungen wenn der Verbindungsaufbau fehlschlägt

Schlägt ein Verbindungsaufbau fehl, so werden Fehlercodes als roter Text im 
grafischen Feld des Monitors angezeigt. Diese Fehlercodes wurden so erweitert, 
dass bei einem Scheitern eines Verbindungsaufbaus immer ein Text angezeigt wird, 
wenn der Client den Fehlversuch erkennt. Es kann z. B. kein Fehler angezeigt 
werden, wenn die Verbindung über den Server wieder getrennt wurde.


5. Nach Verbindungsaufbau minimieren

Im Monitor wurde die Option "Nach Verbindungsaufbau minimieren" hinzugefügt. Sie 
kann im Menü des Monitors unter "Fenster" aktiviert werden.


III. Neue Funktionen im PKI-Umfeld
-------------------------------------------------------------------------------

1. Die PC/SC-Schnittstelle wird nur noch bei Kartenzugriffen geöffnet

Die PC/SC-Schnittstelle wird nur noch bei einem Verbindungsaufbau bei dem ein 
Chipkartenzugriff erfolgt geöffnet. D.h. andere Applikationen können jetzt auch 
im "exclusiven" Modus die PC/SC-Schnittstelle öffnen. 


2. Überwachung, ob die PKCS#12-Datei vorhanden ist

Ab sofort wird überwacht, ob die PKCS#12-Datei vorhanden ist. Wird diese z.B. 
auf einem USB Stick oder einer SD-Karte gespeichert, so wird nach dem Ziehen der 
SD-Karte die PIN zurückgesetzt und eine bestehende Verbindung abgebaut. Dieser 
Vorgang entspricht dem "Verbindungsabbau bei gezogener Chipkarte", der bei 
Verwendung einer Chipkarte im Monitormenü unter "Konfiguration, Zertifikate" 
eingestellt werden kann. Wird später die SD-Karte wieder gesteckt, kann nach der 
erneuten PIN-Eingabe die Verbindung wieder hergestellt werden.


3. PKCS#11-Module automatisiert suchen und auswählen

Am Monitor kann für die Zertifikatskonfiguration (siehe -> Monitormenü, 
Konfiguration, Zertifikate) mit Hilfe eines Assistenten nach installierten 
PKCS#11-Modulen gesucht werden und das gewünschte Modul mit dem dazugehörigen 
Slot selektiert werden.


4. Verwenden von Umgebungsvariablen bei Zertifikats-Konfiguration

In der Zertifikats-Konfiguration können für die Pfad-Angaben die 
Umgebungsvariablen (Benutzer) des Betriebssystems eingesetzt werden. Die 
Variablen werden beim Schießen des Dialogs und beim Einlesen des Telefonbuches 
umgewandelt und in die Konfiguration zurück geschrieben. Existiert eine 
Umgebungsvariable nicht, wird sie aus dem Pfad beim Umwandeln entfernt und ein 
Log-Eintrag ins Logbuch geschrieben. Fehlt ein %-Zeichen (Syntax), bleibt die 
Variable stehen und es wird ebenfalls ein Log-Eintrag geschrieben.


5. RWSCMD erweitert um VPN-Benutzername aus Zertifikat

Das Tool "RWSCMD" unterstützt jetzt auch Zielsysteme, bei denen die VPN-
Benutzerdaten aus einem Zertifikat gelesen werden. Voraussetzung ist, dass die 
PIN vorher eingegeben wurde, damit die Zertifikats-Daten gelesen werden können.


6. Auswertung der Zertifikatserweiterung KeyUsage

Ist in einen eingehenden Zertifikat die Erweiterung KeyUsage enthalten, so wird 
diese überprüft. Folgende KeyUsage-Bits werden akzeptiert:
- Digital Signatur
- Key Encipherment (Schlüsseltransport, Schlüsselverwaltung)
- Key Aggrenment (Schlüsselaustaschverfahren)
Ist eines des Bits nicht gesetzt, wird die Verbindung abgebaut. Der 
Verbindungsabbau wegen nicht gesetzter Bits unterbleibt, wenn in der Datei 
ncppki.conf die Prüfung des KeyUsage ausgeschaltet wird:
[General]
DisableKeyUsageCheck = 1
1 = bei der Zertifikatsüberprüfung wird die Erweiterung KeyUsage nicht überprüft
0 = (Standard) bei der Zertifikatsüberprüfung wird die Erweiterung KeyUsage 
überprüft


7. Auswertung der Zertifikatserweiterung CDP (Certificate Distribution Point)

Im CDP ist die URL für den Download einer CRL hinterlegt. Ist im Zertifikat die 
Erweiterung CDP enthalten, wird nach dem Verbindungsaufbau die CRL über die 
angegebene URL heruntergeladen und überprüft. Wird dabei festgestellt, dass das 
Zertifikat ungültig ist, wird die Verbindung abgebaut. Die CRL wird dabei unter 
dem Common-Name der CA im Verzeichniss ncple\crls gespeichert. Der 
Verbindungsabbau wegen ungültigen Zertifikats kann mit einem Eintrag in der 
Datei ncppki.conf, der den Download der CRL ausschaltet, unterdrückt werden:
[General]
DisableCrlDownLoad = 1
1 = Bei einen eingehenden Zertifikat mit der Erweiterung CDP wird die CRL nicht 
über die angegebenen URLs heruntergeladen
0 = (Standard) Bei einen eingehenden Zertifikat mit der Erweiterung CDP wird die 
CRL über die angegebenen URLs heruntergeladen


8. HTTP Proxy für CRL Download

In der Datei ncppki.conf kann in der Gruppe "HttpProxy" ein Proxy für den CRL 
Download über HTTP konfiguriert werden:
[HttpProxy]
ProxyHost = xxx.xxx.xxx.xxx
#IP Adresse des Proxy Server für CRL Download über HTTP
ProxyPort = 80
#Port des Proxy Server für CRL Download über HTTP
ProxyUser = xyz
#Benutzername des Proxy Server für CRL Download über HTTP
ProxyPw = xxxx
#Passwort des Proxy Server für CRL Download über HTTP


9. Minimale PIN-Länge unter PIN-Richtlinie

Unter "Konfiguration - Zertifikate - PIN-Richtlinie" wurde der mögliche 
Minimalwert für die PIN-Länge von 6 auf 4 Zeichen geändert.


IV. Statusanzeigen
-------------------------------------------------------------------------------


1. Statusanzeigen im grafischen Feld des Monitors (auch Gina)

Folgende Statusanzeigen werden im grafischen Feld angezeigt:
- Chipkarte 
- PIN-Status 
- Firewall-Option 
- EAP-Status (der EAP-Status wird als MD5 oder TLS angezeigt)
Die Symbole in der Statusanzeige sind um Tool-Tipps (Quickinfos) erweitert, wenn 
der Mauszeiger auf ein Symbol zeigt.


2. EAP zurücksetzen

Änderung: Durch einen Doppelklick auf das EAP-Symbol in der Status-Anzeige im 
grafischen Feld des Monitors, kann das EAP zurückgesetzt werden. Anschließend 
erfolgt die EAP-Verhandlung erneut.


-------------------------------------------------------------------------------
Zur weiteren Information besuchen Sie bitte die Web-Site: www.ncp.de
-------------------------------------------------------------------------------
NCP engineering GmbH, Nürnberg, Germany
07.04.2006
