Schutzbedarf von Daten bestimmt den passenden Authentifizierungsmix Identity Management und Single-Sign-On erhöhen Anwendungskomfort

IT-Verantwortliche können sensible Daten mit verschiedenen Authentifizierungsmethoden sichern. Doch alle Verfahren haben spezifische Stärken und Schwächen. Erst eine geschickte Kombination erfüllt Compliance-Vorgaben und deckt den Schutzbedarf kritischer Informationen. Gepaart mit Identity Management und Single-Sign-On profitiert sogar der Endnutzer.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Specops Software GmbH

Unternehmen müssen ihre Daten vor nicht berechtigtem Zugriff schützen. Tun sie das nicht, müssen sie mit erheblichen finanziellen Schäden rechnen.

Exemplarisch belegt das die Erhebung CSI/FBI 2006, Computer Crime and Security Survey, USA 2006. Laut dieser enstand allein im Jahr 2006 ein Schaden von über 10 Millionen US-Dollar, weil Unberechtigte auf fremde Daten zugegriffen haben (siehe Abbildung).

Verschiedene Techniken und Methoden sollen das Vorspielen falscher Identitäten verhindern, indem sie Personen eindeutig und sicher identifizieren.

Seite 2: Grundlegende Authentifizierungsstrategien

Grundlegende Authentifizierungsstrategien

Alle Techniken zur Authentifizierung basieren auf mindestens einem von drei Grundprinzipien, nach denen die Teilnehmer über das System geprüft werden.

Gemeinsames Geheimnis als logische Identität

Teilnehmer werden bei der Wissensmethode identifiziert, weil sie um ein gemeinsames Geheimnis (shared secret) wissen; Das kennt in der Regel nur ein sehr kleiner und eingeweihter Kreis von Personen. Ein Beispiel ist das klassische Losungswort, wie es auch heute noch im Bankwesen verwendet wird.

Kennwörter können allerdings sehr einfach ausgespäht werden. Technisch ist das per Sniffer oder Keylogger möglich. Zusätzlicher Schwachpunkt bei komplexen und vermeintlich sicheren Passwörtern ist der Endnutzer. Auf Post-its oder Passwortlisten notierte Kennungen können das gesamte Zugangssystem kompromittieren. Daher bewerten Experten die Wissensmethode skeptisch, wenn es um die Absicherung des Zugangs zu sensiblen Informationen geht.

Passive Identifikation mit einem physischen Gegenstand

Bei der Passividentifikation besitzen Teilnehmer etwas Physisches, das selten und nur einem privilegierten Personenkreis zugänglich ist. Beispiel ist Kreditkartenbuchung per VISA oder AMEX. Das Verfahren gilt als sehr unsicher, da die Zugangstoken verloren gehen oder gestohlen werden können. Paradoxerweise wird die Methode im Zahlungsverkehr tagtäglich millionenfach angewandt.

Aktive Identität durch körperliche Merkmale

Biometrische Strategien setzen auf verschiedene körperliche Merkmale, die im Allgemeinen als einzigartig gelten. Hierzu zählen Fingerabdrücke, die Iris eines Auges oder das Tippverhalten eines Nutzers.

In der Informationstechnologie haben sich biometrische Authentifizierungsmethoden bewährt. Sie sind benutzerfreundlicher als Tokens oder Smartcards, da der Anwender keine Hardware mit sich führen muss. Auch brauchen sich Endnutzer weder PINs noch Passwörter merken. Hardware (Scanner) muss zwar zusätzlich eingesetzt werden, ist aber heute beispielsweise oft schon in Laptops integriert.

Seite 3: Zwischen Fehlerpotential und Einsatzbereich abwägen

Zwischen Fehlerpotential und Einsatzbereich abwägen

Keine der genannten Methoden kann den gesamten Authentisierungsbedarf eines durchschnittlichen Unternehmens abdecken. Dies liegt zum einen am Fehlerpotential der verwendeten Verfahren. Zum anderen eignen sich nicht alle Methoden gleichermaßen gut für verschiedene Anwendungen: Ein One Time PasswordToken ist zwar sehr gut geeignet für sichere Authentisierungen aus dem Internet – für Push-Mail-Dienste ist der Ansatz allerdings völlig unbrauchbar. Smartcard-basierende Authentisierungen sind zwar sehr sicher, allerdings technisch nicht immer einsetzbar.

Daher werden sich die meisten IT-Verantwortlichen in Zukunft damit beschäftigen müssen, unterschiedliche Authentisierungsmethoden einzusetzen. Bei diesem Methodenmix kommt es nicht nur auf technische Aspekte an.

Über allem steht der Schutzbedarf jener Informationen, auf welche die entsprechende Authentisierung einen Zugriff erlaubt. Ein Modell dafür ist schon vielfach im Bereich des Online Banking realisiert: für den „View Only“ Zugang zu einem Konto ist eine statische Benutzeranmeldung ausreichend; sobald allerdings Transaktionen durchgeführt werden, sind zusätzliche Authentisierungen nötig, zum Beispiel TANs, mobile TANs oder One Time Passwörter.

Identity Management und Single-Sign-On kombinieren

Bei der Implementation können IT-Verantwortliche auf immer komplexere Authentisierungssysteme zurückgreifen. Die meisten Systeme lassen sich mittlerweile mit Identity Management und Single-Sign-On kombinieren. Und dies ist die eigentliche Vision, die eine eingehende Auseinandersetzung so spannend macht.

Wenn man geschickt vorgeht, lässt sich mit einem neuen Authentisierungsystem auch die Benutzerfreundlichkeit erhöhen. Ein Einloggen genügt, um nachfolgend unmittelbaren Zugriff auf alle authorisierten Applikationen zu erhalten. Wie das praktisch umgesetzt werden kann, zeigt ein Referenzprojekt der EV Group (EVG), eines europäischen, international tätigen Anlagenbauers.

Seite 4: Biometrie ersetzt Passwörter, Tokens und Chipkarten

Biometrie ersetzt Passwörter, Tokens und Chipkarten

Anforderung war hierbei, die Sicherheitsrichtlinien zur nachweislichen Authentifizierung und des Datenschutzes umzusetzen. Die Wahl fiel schließlich auf eine biometrische Lösung des Anbieters DigitalPersona. Das System identifiziert Nutzer per Fingerabdruck und ersetzt Passwörter, Tokens und Chipkarten. Benutzer loggen sich per Fingerabdruck ein: In Windows, in passwortgeschützte Applikationen sowie in Web-Anwendungen und über Remote-Verbindungen. Die vollständig in Microsoft Active Directory integrierte Lösung wurde weltweit bereits über 90 Millionen mal installiert

Josef Alexander Buttinger, EVG Managing Head of IT-Security, resümiert: „Die getroffene Entscheidung hat sich auch im Rückblick über die letzten vier Jahre als einwandfrei erwiesen.“ Das biometrische System lasse sich ohne großen Aufwand verwalten, sei von den Anwendern akzeptiert und spare zudem Kosten am Helpdesk.

(ID:2013148)