Plattformsicherheit morgen Dezentrale Verschlüsselung und Authentifizierung

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Specops Software GmbH

Industrieplattformen sind im Trend, auch der Mittelstand erkennt ihre Vorteile. Doch bei der Plattformsicherheit gibt es noch Schwächen. Die Zukunft liegt in Selbstsouveränität bei Authentifizierung und Verschlüsselung.

Der Erfolg von Industrieplattformen hängt von der Plattformsicherheit ab. Die Nutzer müssen darauf vertrauen, dass personenbezogene und geschäftskritische Daten weder anderen Mandanten noch Dritten bekannt werden. Die Plattform muss deshalb Verschlüsselung und Authentifizierung nutzen, um allen Nutzern eine hohe Sicherheit zu bieten.

Die Gegenwart: Verschlüsseln und zentral authentifizieren

Eine weit verbreitete Vorgehensweise für Plattformsicherheit besteht darin, erstens Daten spaltenweise zu verschlüsseln und zweitens Benutzer mit JSON-Tokens zu authentifizieren. Beides zusammen sorgt dafür, dass nur berechtigte Nutzer auf bestimmte Daten zugreifen können.

Spaltenbasierte Verschlüsselung

Bei der spaltenbasierten Verschlüsselung werden nur einzelne Attribute einer Datenbank verschlüsselt, nicht die gesamte Tabelle oder Datenbankdatei. Dabei gibt es pro Attribut (Spalte) jeweils nur einen Schlüssel. Damit haben die oft spaltenbasierten Operationen auf Industrieplattformen eine ausreichend hohe Leistung.

Ein Beispiel: Zwei Business-Services tauschen Nutzungsdaten für Assets aus, etwa Mietwagen oder Werkzeugmaschinen. Für eine korrekte Abrechnung reicht es aus, die eigentlichen Nutzungs- und Abrechnungsdaten in den entsprechenden Tabellenspalten zu verschlüsseln. Sie können nun rasch und ohne Zeitverzug gelesen werden und sind durch die Verschlüsselung optimal abgesichert.

Eine größere Plattform mit zahlreichen Nutzern muss eine große Zahl an unterschiedlichen Schlüsseln verwalten und nutzt dafür spezielle Systeme. Diese Systeme dürfen aber nur berechtigten Benutzern den Zugriff auf die entsprechenden Schlüssel geben. Deshalb ist ein sicheres Verfahren für die Benutzerauthentifizierung auf der Plattform notwendig.

Im B2C-Sektor ist OAuth (Open Authorization) verbreitet. Der Nutzer meldet sich nicht direkt bei einer Website an, sondern indirekt, etwa mit einem Social-Media-Login. Der Nachteil: Anbieter wie Google oder Facebook erhalten über die Metadaten viele zusätzliche Informationen über Nutzer. Das Verfahren ist deshalb im B2B-Kontext kritisch zu sehen. Stattdessen ist hier die JWT-Authentifizierung Standard.

Sichere JWT-Authentifizierung

Authentifizierung mit JSON Web Tokens (JWT) ist eine sichere und beliebte Methode zur Authentifizierung. Das Token ist ein verifizierbares Datenobjekt, dessen Integrität mit kryptografischen Signaturen sichergestellt wird. Sie werden verwendet, um die Identität eines Nutzers über einen Dritten (Identity-Provider) festzustellen. Dadurch entfällt eine Datenbankabfrage nach Berechtigungen und das Speichern von Sitzungsdaten („Stateless Session“).

Um das Verfahren nutzen zu können, stellt ein Authentifizierungsserver dem Nutzer (einmalig) ein Token mit seinen Informationen aus und signiert ihn mit einem Schlüsselpaar. Der Nutzer erhält den öffentlichen Schlüssel und nutzt ihn als Identifizierungsmerkmal für eine Anwendung.

Ein JSON Web Token enthält genügend Authentifizierungsmerkmale, sodass zusätzliche Merkmale nicht mehr notwendig sind. Deshalb hängt ihre Sicherheit in erster Linie davon ab, dass die Nutzer sie geheim halten und sie nicht auf dem Transportweg abgefangen werden. Daher sind diese Tokens nur kurze Zeit gültig und werden regelmäßig erneuert.

Die JWT-Authentifizierung wird von verschiedenen Identity-Providern angeboten und ist im Regelfall nicht mit anderen Diensten verbunden. Anders als bei Google oder Facebook kommt es nicht zu Korrelationen der Metadaten mit anderen Daten. Doch JWT ist immer noch ein zentrales Authentifizierungsverfahren, das auf föderalisiertem Vertrauen beruht.

Selbstbestimmte Identitäten

Self-Sovereign Identity (SSI) und seine Verwendung

Die Zukunft: Selbstsouveräne Identitäten

Dezentral gespeicherte digitale Berechtigungsnachweise geben Individuen und Organisationen die vollständige Kontrolle über ihre Identitätsdaten: Die selbstsouveräne Identität oder Self-Sovereign Identity (SSI). Allgemein bedeutet SSI, dass Personen ihre digitale Identität selbst verwalten, etwa als Wallet auf einem mobilen Endgerät. Die Daten werden dezentral und fälschungssicher in einer Blockchain gespeichert.

Die Anwender sind dadurch nicht mehr von einem zentralen Identitätsdienstleister abhängig. Für die Authentifizierung wird ein Decentralized Identifier (DID) genutzt. Das ist ein digitaler Identifikator, der von einer vertrauenswürdigen Autorität ausgestellt wird, etwa einer Behörde oder dem Arbeitgeber. Ein Beispiel ist der Führerschein. Wenn sich ein Nutzer bei einem Car-Sharing-Service anmeldet, wird er für die Authentifizierung genutzt.

Bring (Hold) you own Key

SSI-Lösungen besitzen das Potenzial, zwei wichtige neue Sicherheitsmodelle umzusetzen: „Bring your own Key“ (ByoK) und „Hold your own Key“ (HyoK). Bei beiden Modellen geht es darum, dass die Schlüsselverwaltung für die Ver- und Entschlüsselung von Daten in die Hände des Nutzers gelegt wird. Heute ist das im Regelfall noch nicht so, für die Schlüsselgenerierung sind die Serviceanbieter verantwortlich.

Das ByoK-Konzept legt Erzeugung, Verwaltung und Aktualisierung der Schlüssel vollständig in die Hände der Nutzer. Dies hat zwar den Vorteil des alleinigen Schlüsselbesitzes, doch es gibt auch Schwachstellen. So erfordert die Schlüsselübergabe einen sicheren Transport und der Serviceanbieter muss dafür sorgen, dass die übergebenen Schlüssel sicher gespeichert werden.

Beim HyoK wird dagegen die gesamte Verschlüsselung an den Nutzer delegiert, der somit verschlüsselte Daten in der Cloud speichert. Der Nachteil liegt auf der Hand: Anwendungen können nur mit Zugriff auf Klartextdaten sinnvoll funktionieren. So empfiehlt sich HyoK in erster Linie für die Verschlüsselung von Einzeldokumenten, Backups oder bestimmten Feldern in Datenbanken zum Beispiel vor dem Hintergrund der Transportsicherheit.

Selbstsouveräne Identitäten und die Selbstverwaltung der kryptographischen Schlüssel sind moderne Verfahren der Plattformsicherheit, die sich sicher durchsetzen werden. Sie bieten den Nutzern einen großen größeren Einfluss auf ihre Daten und sind darüber hinaus datenschutzkonform – im B2B-Umfeld ein wichtiges Argument.

Über den Autor: Christopher Möhle ist COO der Technologieagentur Turbine Kreuzberg. Mit umfassender Erfahrung in den Bereichen Technologie und Umsetzungsstrategie leitet er das Plattform-Geschäft der Agentur. Dabei begleitet er Unternehmen bei der Entwicklung von digitalen Produkt- und Serviceplattformen sowie individuellen Applikationen auf IoT- und Blockchain-Basis.

(ID:47549162)