Was tun wenn man SecurID-Token zur Authentifizierung einsetzt?

Anbieter zum Thema

FAST LTA GmbH

Insider Research

KuppingerCole Analysts AG

Kurzfristig: Mitarbeiter schulen, Logfiles überwachen und Token tauschen

Zu den kurzfristig zu treffenden Maßnahmen gehören rein organisatorische, wie verbesserte Mitarbeiterschulung. „Gebe niemals dein Passwort weiter, egal an wen, so muss die Botschaft lauten“, sagt Kuppinger. Daneben rät er zu Umstellen auf stärkere Passwörter und intensiveres Überwachen und Auswerten von Log Files.

Außerdem gibt es seiner Meinung nach technische Maßnahmen, die kurzfristig die offensichtliche Anfälligkeit des RSA-Systems verringern und den Schutz gefährdeter Systeme verbessern können. Dazu zählt der umgehende Austausch der meist als Schlüsselanhänger oder kreditkartengroße Plastikkarten im Einsatz sind. Da die so genannten TokenIDs der neuen Hardware zum Zeitpunkt des Hackerangriffs nicht auf den Servern von RSA gespeichert waren, können sie als sicher gelten, so lange kein neuer Hack gemeldet wird. RSA hat inzwischen bestätigt, dass das Unternehmen Kunden auf Wunsch die SecuriID-Token tauscht.

Die zusätzliche Verwendung von manuell einzugebenden Passwörtern oder anderen Authentifizierungssystemen sei in vielen Fällen anzuraten, mein Martin Kuppinger. Wo dies nicht oder nicht schnell genug möglich ist, rät KuppingerCole dazu, das SecurID-System vorübergehend abzuschalten und durch eine konventionelle Kombination von Benutzernamen und Passwort für den Desktop-Zugang zum Firmennetz, oder durch ein zertifikatbasiertes System für den Fernzugriff vom Laptop aus zu ersetzen.

Mittelfristig: Entkoppeln von Authentifizierung und Anwendung

Mittelfristig müssen Unternehmen nach Ansicht von KuppingerCole ihre Strategie in Sachen Strong Authentication auf den Prüfstand heben. Allzu häufig ist der Autorisierungsmechanismus heute fester Bestandteil der Anwendung, was zu vermeidbaren Mehrkosten in der Softwareentwicklung und zu erhöhten Sicherheitsrisiken führen kann. Durch das Entkoppeln des Authentifizierungmechanismus von der eigentlichen Anwendung kann die Einführung neuer Applikationen signifikant beschleunigt und die Anwendungssicherheit erhöht werden.

Das Entkoppeln von Authentifizierung und Anwendung versetzt Organisationen vor allen Dingen in die Lage, schnell zu reagieren, wenn sich ein verwendeter Sicherheitsmechanismus als zu aufwändig und teuer, oder wie im Fall von RSA SecurID plötzlich über Nacht als potenzielle Gefahrenquelle für die IT-Systeme entpuppt.

(ID:2051956)