Authentifizierung und Compliance in der mobilen IT Client-Zertifikate fürs Mobile Device Management

Perimeter-Schutzmaßnahmen werden angesichts der zunehmenden Mitarbeiter-Mobilität immer unwirksamer. Die Mechanismen müssen deshalb an den Daten und Dokumenten selbst ansetzen. Eine Lösung besteht in (Client-) Zertifikaten, die eine Authentifizierung und Identifizierung sowie das Signieren ermöglichen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

MobileIron Germany

Bei nicht zentral verwalteten Smartphones und Tablets ist der Gerätebesitzer von Haus aus mit vielen Rechten ausgestattet. Dies wird insbesondere dann sicherheitskritisch, wenn der Anwender mit dem mobilen Endgerät auf Unternehmensdaten zugreifen kann.

Eine effiziente und sichere Form der Authentifizierung ist bei „nomadisierenden“ Geräten wie Smartphones oder Tablets also dringlicher, als bei eher standorttreuen Geräten wie dem PC. Hier bietet sich eine Zwei-Faktor-Authentifizierung an, also die Frage nach der Identität von Nutzer und Gerät beziehungsweise nach der Berechtigung des Nutzers.

Sehr elegant und nutzertransparent lässt sich eine solche starke Authentifizierung mit Client-Zertifikaten umsetzen; vor allem weil dann das Mobilgerät auch im Unternehmensumfeld genauso gehandhabt werden kann, wie es die Nutzer aus dem privaten Umfeld gewohnt sind.

Zertifikat als Passwort-Träger

In einem Zertifikat steckt ein (geheimer) Schlüssel, der genau für den jeweiligen Benutzer und das jeweilige Gerät erzeugt wurde. Dieser geheime Schlüssel entspricht im Prinzip einem sehr sicheren Passwort, nur dass sich der Nutzer dieses Passwort nicht merken und händisch eingeben muss.

Eine so genannte Public-Key-Infrastruktur (PKI) verbindet den geheimen Schlüssel mit einem weiteren Schlüssel. Letzterer ist zusammen mit seinem Eigentümer in einem öffentlichen Verzeichnis abgelegt. Die Korrektheit wird durch den Betreiber der PKI beglaubigt.

Beide Schlüssel sind als Schlüsselpaar abwechselnd für Verschlüsselung und Entschlüsselung einsetzbar. Der Absender verschlüsselt mit dem öffentlichen Schlüssel des Empfängers, dieser wiederum kann mit seinem privaten Schlüssel die verschlüsselte Nachricht entschlüsseln. Auf die komplexen mathematischen Verfahren dieser asymmetrischen Verschlüsselung gehen wir aus Platzgründen nicht ein.

Die Vertrauenswürdigkeit eines Zertifikats beruht natürlich auf der Seriosität der Instanz, die hierfür bürgt. Da diese Instanz auch wieder zertifiziert werden kann und sollte, entstehen Zertifikatsketten, die idealerweise bei einem Trustcenter als Basiszertifizierungsstelle enden. Deren Root-Zertifikat wird durch die Institution selbst beglaubigt.

Da ein Trustcenter als Garant für das Root-Zertifikat nicht unerhebliche Kosten verursacht, setzen viele Unternehmen auf „leichtgewichtigere“ und preiswertere Zertifizierungsstellen (CAs, Certification Authorities). So enthält das Windows-Betriebssystem seit Windows Server 2003 eine eigene CA, gleiches gibt es im Mobilbereich. So ist beispielsweise das Mobile Device Management-System von MobileIron mit einer eigenen CA ausgestattet.

(ID:42275107)