Kennwort-Change-Management
Das vergessene Sicherheitsrisiko
Anwendungen auf RZ-Ebene benötigen häufig Kennwörter, um auf andere Applikationen zugreifen zu können. Diese sind in der Regel hart codiert, was eine Änderung extrem aufwändig macht. Ein Managementsystem der Defense AG soll für Abhilfe sorgen.
Bei der Einführung und der Umsetzung von Leitlinien für die IT-Sicherheit stehen viele Unternehmen und Organisationen heute vor einem Problem, dessen sie sich lange Zeit gar nicht so bewusst waren: Richtlinien sehen meist vor, dass Kennwörter in regelmäßigen Abständen geändert werden und zudem natürlich nur berechtigten Personen bekannt sein dürfen. Dennoch finden sich noch heute fast überall Kennwörter für den Zugang zu kritischen Ressourcen, die erstens statisch sind und zweitens einem weiten Personenkreis bekannt - und es ist nicht einmal gewährleistet, dass diese Personen überhaupt dem Unternehmen angehören.
Ursache dieses Problems ist die Tatsache, dass viele Anwendungen Kennwörter benötigen, um auf andere Applikationen zugreifen zu können, so genannte Application-to-Application-Passwörter (A2A). Diese sind in der Regel hart in die Anwendung codiert, was eine Änderung extrem aufwändig macht. Soll auch nur ein Serverpasswort geändert werden, das von mehreren Anwendungen verwendet wird, sind diese Anwendungen allesamt zu ändern, neu zu kompilieren und auszurollen.
Diesen Aufwand betreiben Unternehmen jedoch nur selten, und so gibt es eine erhebliche Anzahl privilegierter Passwörter, die automatisch verwendet und - wenn überhaupt - nur sehr selten geändert werden. Zudem sind diese kritischen Passwörter zwangsläufig den Anwendungsentwicklern bekannt, was die Policies in aller Regel nicht erlauben - zumal ein solcher Entwickler unter Umständen längst zum Wettbewerb gewechselt haben könnte.
Die Verwendung statischer und bekannter Kennwörter in Applikationen ist ein erhebliches Sicherheitsrisiko. Zwar mag es im laufenden Betrieb wohl eher selten konkrete Auswirkungen haben, aber es verhindert in jedem Fall ein erfolgreiches Auditing oder gar eine Zertifizierung nach ISO/IEC 27001. Ein simples Management by Turnschuh liefert keine Lösung: Dies wäre erstens zu aufwändig, und zweitens ließe sich die geforderte Dokumentation aller Veränderungen nicht gewährleisten. Als Alternative bieten Hersteller wie die Münchner Defense AG Lösungen für das automatische und sichere Management von privilegierten und von Application-to-Application-Passwörtern an, etwa das Produkt Cloakware Server Password Manager (CSPM).
Ziel einer solchen Lösung ist es, hart codierte Kennwörter insgesamt zu vermeiden. Sie ermöglicht es dem Unternehmen, allen serverbasierenden Accounts Passwort-Policies zuzuordnen und regelmäßige Änderungen zu automatisieren. Zudem verhindert ein solches System, dass Anwendungsentwickler Kenntnis von privilegierten Kennwörtern haben müssen, um die Kommunikation zwischen Applikationen zu realisieren. Auch das bisher erforderliche Re-Deployment von Anwendungen nach einem Kennwortwechsel, das die Verfügbarkeit beeinträchtigen kann, macht der CSPM überflüssig.
Alle kritischen Zugangsdaten wie Passwörter und Anwendungs-IDs sind in einem zentralen Repository gespeichert, auf das nur authentifizierte und autorisierte Server und Applikationen Zugriff haben. Dabei geht CSPM weit über die Authentifizierung auf Ebene des Betriebssystems hinaus: Ort und ID der anfragenden Anwendung sowie Hardware- und Software-Fingerprints berücksichtigt das System ebenfalls. Zudem kann das so genannte Server-Node-Locking dazu dienen, die physikalischen Charakteristika eines anfragenden Servers zu verifizieren. Benötigt eine Anwendung Zugang zu einer anderen, so fragt sie zunächst das Repository ab, um die aktuellen Zugangsinformationen zu erhalten. Erst mit diesen Informationen meldet sie sich dann bei der anderen Applikation an. Wird etwa ein privilegiertes Kennwort einer Anwendung geändert, synchronisiert es das System automatisch über das gesamte Netzwerk und stellt es allen berechtigten Anwendern und Anwendungen ohne Verzögerung zur Verfügung. Damit erleichtert CSPM auch die Einhaltung von Compliance-Bestimmungen die implizit oder explizit eine regelmäßige Änderung aller Kennwörter im Unternehmen verlangen.
Neben der zentralen Speicherung kritischer Zugangsinformationen unterstützt die zentrale Plattform auch Push-Verfahren: So kann sie mit Clients kommunizieren und aktiv geänderte Kennwörter an diese weitergeben. Dieses Vorgehen vermeidet so genannte Race Conditions, in denen eine Applikation Zugangsdaten abruft, diese aber verändert sind, bevor die Applikation sie für den Zugriff auf die gewünschte Ressource verwendet. Über das Push-Feature kann der CSPM-Server den gesamten Prozess der Kennwortänderung kontrollieren.
Das zentrale Repository besteht aus einer geclusterten Datenbank, um eine hohe Verfügbarkeit sicherzustellen. Sämtliche Daten sind unter Verwendung des AES-256-Algorithmus verschlüsselt; die Kommunikation zwischen Applikationen und der Datenbank ist durch SHA-1 abgesichert. Durch die zentrale Speicherung aller Zugangsdaten ist gewährleistet, dass Kennwort-Policies für alle Server im Unternehmen gelten und dass nach Passwort-Updates unverzüglich eine unternehmensweite Synchronisation erfolgt.
Zusätzlich zu Zugangsinformationen wie Passwörtern kann der CSPM auch die Schlüssel verwalten, die für die Kommunikation zwischen CSPM-Clients und dem CSPM-Server nötig sind. Auf diese Weise kann ein befugter Administrator ad hoc oder nach Zeitplan die Schlüssel auf dem CSPM-Server oder auf beliebigen Clients verändern.
Sicheres Management
Ein System, in dem - wenngleich verschlüsselt - eine große Zahl von Zugangsinformationen zu kritischen Systemen hinterlegt ist, muss natürlich selbst wirksam vor unbefugten Zugriffen geschützt sein. Um den Konsolenzugriff auf autorisierte Administratoren zu beschränken, ermöglicht das auf einer modularen Architektur basierende so genannte Java-Authentifizierungs- und Autorisierungsservices-Interface mehrere Methoden zur Authentifizierung. Dazu zählen etwa ID und Passwort, LDAP und RSA Secur-ID. Um dem Prinzip der geringsten Privilegien gerecht zu werden, unterstützt CSPM ein Rollenmodell. Jedem autorisierten Administrator ist dabei eine Rolle zugeschrieben, die seine Verantwortlichkeiten und Möglichkeiten exakt beschreibt und seine Rechte auf das dafür zwingend erforderliche Maß einschränkt.
Granulare Rollen ermöglichen dabei eine genau auf die Bedürfnisse und Prozesse im Unternehmen abgestimmte Managementumgebung.
Das System unterstützt die Dateneingabe sowohl im Ad-hoc- als auch im Batch-Verfahren. Die Population der zentralen Datenbank erfolgt dabei über ein GUI oder ein Java-Interface, das auch eine Fernverwaltung ermöglicht. Zudem können Unternehmen über das Java-Interface kundenspezifischen Verwaltungsoberflächen entwickeln oder das CSPM in bestehende Verwaltungsanwendungen integrieren.
Lesen Sie mehr zum Thema
