Intelligente Login- und Zugriffskontrolle

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

KuppingerCole Analysts AG

Ein Benutzer ist nicht immer gleich zu bewerten

Die Risiko-Orientierung spielt bei der Authentifizierung und Autorisierung in einem zunehmend komplexeren Umfeld eine immer wichtigere Rolle. Benutzerzugriffe sind von ihrem Risiko her eben nicht immer gleich zu bewerten:

• Wenn der gleiche Benutzer sich lokal an seinem Arbeitsplatzrechner innerhalb des Firmengebäudes mit Benutzername und Kennwort authentifiziert, ist das Risiko ein anderes als beim Zugriff vom iPad über ein offenes WLAN.

• Wenn ein Kunde sich mit seiner eID-Karte wie dem neuen Personalausweis anmeldet, ist das Risiko ein anderes als bei der Authentifizierung über Facebook.

Die Authentifizierungsverfahren selbst, der Standort, das verwendete Gerät, die Aktualität der Anti-Malware-Lösungen auf dem Gerät und andere Faktoren bestimmen, wie vertrauenswürdig eine Authentifizierung ist. Heute und zukünftig sollte also vom Kontext abhängig gemacht werden, ob jemand authentifiziert wird und für was er autorisiert wird.

Entscheidungsfindung auf verschiedenen Ebenen

Bei der Authentifizierung geht es zunächst um die Entscheidung, ob ein Zugriff überhaupt zugelassen werden soll. Im Rahmen der Autorisierung wird dann geklärt, was gemacht werden darf. So könnte man beispielsweise die Genehmigung von Bestellungen in einem ERP-System einschränken, aber Zugriffe auf weniger kritische Informationen weiterhin zulassen, auch wenn der Kontext ein höheres Risiko indiziert.

Solche kontext- und risiko-basierenden Verfahren für die Authentifizierung sind insbesondere im Banken-Umfeld, aber teilweise auch im eCommerce, schon seit längerem zu finden. Hier werden auch Informationen aus Fraud-Management-Systemen mit einbezogen. Sie können aber natürlich in allen Branchen genutzt werden.

Derartige Systeme ermöglichen es, eine Risiko-Bewertung abhängig vom Kontext vorzunehmen und damit eine differenzierte Authentifizierungsentscheidung und, in der Folge, auch differenzierte Autorisierungsentscheidungen zu treffen. Bei der Authentifizierung können beispielsweise auch ergänzende Authentifizierungsinformationen verlangt werden, wenn das Risiko als zu hoch erscheint.

Verschiedene Login-Mechanismen unterstützten

Risiko- und kontextbasierende Authentifizierungslösungen sollten idealerweise die „versatile“ Authentifizierung unterstützen – ein Begriff, der für die Fähigkeit steht, unterschiedliche Authentifizierungsmechanismen flexibel nutzen zu können und diese auch kombinieren zu können. Damit lassen sich dann unterschiedliche Verfahren für die mehr oder weniger starke Authentifizierung verwenden.

Richtig gemacht, kann dann ein Benutzer sowohl mit einem „social login“ als auch mit einer starken Zwei-Faktor-Authentifizierung zugreifen, wobei sich die Risikobewertung natürlich unterscheidet. Wenn eine Authentifizierung nicht für die gewünschte Aktivität ausreicht, kann eine „step-up“ Authentifizierung genutzt werden, also eine zusätzliche Authentifizierungsinformation angefordert werden.

Mit der Authentifizierung ist es allerdings noch nicht getan. Auch die Autorisierung sollte den Kontext mit einbeziehen. Das ist noch eine Herausforderung, da die meisten Autorisierungskonzepte auf statisch definierten Berechtigungsinformationen wie den ACLs (Access Control Lists, Zugriffskontrolllisten) basieren.

IT-Trends wie Cloud und BYOD mit einbeziehen

Hier muss der Schritt hin zu dynamischem Autorisierungsmanagement gemacht werden, also Verfahren, die beispielsweise auf dem Standard XACML (Extensible Access Control Markup Language) basieren und von meist als Policy Server oder Entitlement Server bezeichneten Produkten unterstützt werden. Diese Lösungen können zur Laufzeit unter Einbezug unterschiedlichster Informationen wie dem Kontext und den definierten Rollen eine Autorisierungsentscheidung treffen.

Statt also in viele Systeme Berechtigungen zu schreiben, diese aufwändig zu pflegen und trotzdem nur grobe Entscheidungen ohne Einbezug des Kontexts treffen zu können, werden zur Laufzeit zentrale Autorisierungssysteme gefragt, die basierend auf aktuellen Informationen und Regeln eine Entscheidung treffen. Das ist mit Blick auf das Management von Sicherheit und Risiken sinnvoll – und es funktioniert auch technisch.

Ein wesentlicher Vorteil dieser Lösungen, die auch verteilt arbeiten können, ist dabei, dass Herausforderungen für die Informationssicherheit wie das Cloud Computing, das Mobile Computing, das Social Computing und das Extended Enterprise damit adressiert werden. Risiko- und kontextbasierende Authentifizierung und Autorisierung ist ein, wenn nicht sogar der Kernbaustein für die Informationssicherheit der Zukunft.

Mehr dazu können Sie von Dienstag bis Freitag, 14. bis 17. Mai 2013, auf der EIC 2013 (European Identity and Cloud Conference) in München erfahren.

Über den Autor

Martin Kuppinger ist Gründer des Analystenunternehmens Kuppinger Cole, das sich mit digitalen Identitäten, Identity und Access Management, GRC (Governance, Risk Management, Compliance) und Cloud Computing beschäftigt.

(ID:39131830)