Starke Authentifizierung Am Zugangsschutz darf kein Weg vorbeiführen

Beim Zugriff auf das Netzwerk vertrauen Unternehmen meist auf die strikte Umsetzung einer Passwort-Authentifizierung am Perimeter. Will man einen sicheren Zugang bereitstellen, sollte man aber lieber eine starke Zwei- oder Multi-Faktor-Authentifizierung umsetzen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Cohesity GmbH

Keeper Security EMEA Ltd.

Perimeter- und Passwortsicherheit als effektiver Schutz vor externen Angriffen: das funktionierte vielleicht die Vergangenheit. Die Situation hat sich gravierend verändert, denn Cyber-Angriffe über passwortgeschützte privilegierte Benutzerkonten von Administratoren sind heute keine Ausnahme mehr, sondern eher die Regel.

Selbst wenn ein Unternehmen eine strikte Passwort-Policy verfolgt – eventuell sogar mit einer automatischen, regelmäßigen Änderung aller Passwörter – ist kein ausreichender Schutz gegeben. Außerdem sind für viele Datenverluste auch die eigenen Mitarbeiter verantwortlich. Diese Herausforderungen kann man mit einer starken Authentifizierung bewältigen.

Die starke Multi-Faktor-Authentifizierung geht deutlich über die Sicherheit eines einzelnen Passworts hinaus. Sie erfordert weitere Komponenten (Faktoren), um die Identität des Benutzers zweifelsfrei zu bestimmen. Beispiele für zusätzliche Faktoren sind persönliche Geheimzahlen (PIN), Smartcards, Token oder Smartphones.

Die Umsetzung eines Konzeptes für die starke Authentifizierung ist zunächst einmal keine einfache Aufgabe für die IT. Der Grund liegt auf der Hand, da die Ausgabe und kontinuierliche Verwaltung von digitalen Identitäten auf diversen Medien wie Smartcards oder Smartphones für alle erforderlichen Nutzeranwendungen und unterschiedlichen Unternehmensressourcen per se einen erheblichen Administrationsaufwand nach sich zieht.

Komplexität der Credential-Verwaltung reduzieren

Abhilfe kann hier nur eine integrierte Gesamtlösung für die starke Authentifizierung schaffen, mit der Credentials in mehreren Sicherheitsstufen für unterschiedliche Zugangsebenen ausgegeben und verwaltet werden können. Das System muss nicht nur eine umfassende Sicherheit gewährleisten, sondern auch einfach einzurichten und für die Anwender komfortabel sein, um den Verwaltungsaufwand zu minimieren und eine hohe Benutzerakzeptanz sicherzustellen.

Im Einzelnen muss eine zukunftsweisende Authentifizierungslösung vor allem unterschiedliche Authentifizierungsmethoden wie Statische Passwörter, Sicherheitsfragen, Einmal-Passwörter und Digitale Zertifikate unterstützen. Zudem sollte die Möglichkeit bestehen, verschiedene Authentifizierungsgeräte zu nutzen, beispielsweise Hardware-Einmal-Passwort-Generatoren, Smartcards oder USB-Token. Auch Soft-Token zur Einmal-Passwort-Erzeugung auf mobilen Geräten, die auf iOS, Android, Windows Phone oder Java basieren, empfehlen sich zur Authentifizierung. Darüber hinaus sollte eine Nutzung des Verfahrens Einmal-Passwort-Versand per SMS oder E-Mail möglich sein.

Zum Aufbau einer adäquaten Authentifizierungsinfrastruktur müssen nicht zuletzt unterschiedliche Zugangskanäle unterstützt werden. RADIUS ermöglicht klassische Remote- und VPN-Zugänge, während SAML (Security Assertion Markup Language) sich für Web-SSO (Web-Single-Sign-On) und Cloud-Dienste eignet. Das ist vor allem deshalb von Bedeutung, da sich im Hinblick auf die zunehmende Verbreitung von Cloud-basierten Anwendungen beim Anmeldeverfahren gerade die Verwendung von Federation-Services (zum Beispiel Microsoft ADFS) mit Web-SSO empfiehlt.

Hohe Flexibilität, vereinfachte Administration

Die Vorteile einer integrierten Authentifizierungslösung betreffen vor allem die Aspekte Sicherheit, Administration, Flexibilität und Kosten. Mehr Sicherheit ergibt sich durch die Zwei- oder Mehr-Faktor-Authentifizierung, mit der potenzielle Sicherheitslücken beseitigt und unberechtigte Zugriffe zuverlässig verhindert werden können. Mit einem standardbasierten Konzept kann ein sicherer Zugang zu internen und auch Cloud-basierten Anwendungen realisiert werden.

Ein wesentlicher Vorteil einer integrierten Gesamtlösung, mit der unterschiedliche Credentials über ihren gesamten Lebenszyklus verwaltet werden können, liegt in der vereinfachten, zentralisierten Administration. Beispielsweise lassen sich Smartcards sowie die damit verbundenen Schlüssel und Daten, PKI-Zertifikate und Einmal-Passworte zentral administrieren. Im Idealfall werden Smartcards im gewohnten Kreditkartenformat genauso verwaltet wie USB-Token und spezielle Mikro-SD-Karten, die bei Smartphones und Tablets eingesetzt werden.

Ergänzt durch eine Authentifizierungsplattform wie ActivID von HID ergibt sich eine hohe Flexibilität, da auf diesem Weg eine adaptive Authentifizierungsstrategie umgesetzt werden kann. Es können also unterschiedliche Zugangsebenen festgelegt werden, indem definiert wird, welches Credential eine Person für die Authentifizierung benötigt und welche Art von Zugang gewährt wird.

Konvergente Lösungen für eine sichere Identität

Wer noch einen Schritt weitergehen möchte, kann sogar die Nutzung einer Konvergenz-Lösung in Betracht ziehen, das heißt, die Authentifizierungslösung in Richtung physische Zutrittskontrolle erweitern. Konvergenz bedeutet, dass die Funktionalitäten von Zutritts- und Zugangslösungen wie Schlüssel, Ausweiskarten oder Token auf einer multifunktionalen Smartcard integriert werden.

Mit der Karte lassen sich dann nicht nur Türen öffnen, sie ermöglicht in Verbindung mit weiteren Faktoren auch den geschützten Zugang zu Rechnern und unterschiedlichsten IT-Anwendungen. Multifunktionalität heißt dabei auch, dass nicht nur die Bereiche Zutritt und Datenzugang am Arbeitsplatz abgedeckt werden können, sondern beispielsweise zusätzlich der Fernzugriff oder das sichere Drucken und die digitale Signierung von E-Mails und Dokumenten.

Durch konvergente Authentifizierungsgeräte wie Smartcards – in der Zukunft aber auch zum Beispiel Smartphones – werden Investitionen in separate Infrastrukturen für die physische und logische Authentifizierung überflüssig. Damit können Abläufe vereinfacht und Identitätsprüfungen generell optimiert werden.

Umfassende Sicherheit endet nicht bei der starken Authentifizierung

Die Notwendigkeit der Integration einer Mehr-Faktor-Authentifizierung für einzelne User sollte für ein Unternehmen heute nicht mehr in Frage stehen. Fasst man das Thema Sicherheit etwas weiter, stellt sie aber lediglich die erste Sicherheitsschicht (Security Layer) dar. Vier weitere sind ebenfalls wichtig und sollten bei der Lösungsauswahl und -implementierung beachtet werden. Das ist vor allem im Hinblick auf die verstärkte Nutzung Cloud-basierter Applikationen und den generellen Trend zum mobilen Arbeiten von Bedeutung.

Der zweite Layer betrifft das Thema Geräteauthentifizierung. In anderen Worten: Sobald bestimmt ist, dass der User derjenige ist, der er zu sein vorgibt, muss auch überprüft werden, ob er ein „bekanntes“ Gerät verwendet. Auf dieser Ebene ist es also wichtig, die Geräteidentifikation mit Elementen wie automatische Proxy-Erkennung oder Geolokation zu kombinieren.

Auf dem dritten Layer geht es um den Aspekt Browser-Sicherheit. Sie wird vielfach mit einer einfachen passiven Malware-Erkennung realisiert, aber dies führt nicht zu einer maximal möglichen Sicherheit. Es ist hier wesentlich effektiver, einen gehärteten Browser zu verwenden – unter Nutzung des hybriden Verschlüsselungsprotokolls Transport Layer Security (TLS) und einer Zwei-Wege-Authentifizierung.

Beim vierten Layer geht es um die Transaktionsauthentifizierung, die die Sicherheit für besonders unternehmenskritische Transaktionen erhöht. Ein solcher Layer kann eine Out-Of-Band (OOB)-Verifizierung, Transaktionssignierung, eine Transaktionsüberwachung oder Verhaltensanalyse beinhalten.

Der letzte Layer betrifft die Applikationssicherheit. Applikationen sollten ebenfalls gehärtet sein und eine gegenseitige Authentifizierung unterstützen. Das Hinzufügen dieses Layers macht einen Datendiebstahl für Cyber-Kriminelle wesentlich komplexer und kostenintensiver. Die effiziente Implementierung dieser fünf Security Layer erfordert eine integrierte und flexible Authentifizierungsplattform mit Threat-Detection-Funktionalität in Echtzeit.

Eine entsprechende Bedrohungserkennung wird gegenwärtig bereits vereinzelt in den Bereichen Online-Banking und E-Commerce verwendet, es ist allerdings davon auszugehen, dass sie generell im Unternehmensbereich verstärkt zum Einsatz kommen wird, und zwar als zusätzlicher Sicherheitslayer für Remote-Zugriffe, zum Beispiel über VPN oder in Virtual-Desktop-Infrastructure (VDI)-Umgebungen.

Insgesamt ermöglicht eine vollständig integrierte Authentifizierungslösung die Umsetzung von flexiblen Szenarien für die Zugangs- und Zugriffsberechtigung – und zwar in Abhängigkeit von den unterschiedlichen Nutzertypen. Auch eine Differenzierung zwischen internen und externen Mitarbeitern ist für ein Unternehmen so komfortabel und problemlos möglich.

* Dirk Losse ist Principal Pre-Sales Consultant Central Europe and Turkey Identity Assurance bei HID Global in Walluf.

(ID:43461287)