Sicherheit auf der Basis digitaler Identitäten
Perimetersicherung reicht nicht mehr aus
CIOs benötigen IT-Infrastrukturen, die hohe Sicherheit bieten, dabei einfach zu managen sind und zugleich Anwendern die Freiheit geben, mobile und externe Geräte zu nutzen. Das Dilemma ist, dass verbesserte Sicherheit im Allgemeinen mit sinkender Flexibilität verbunden ist. Um diese gegensätzlichen Ziele zu erreichen, ist ein neuer Ansatz gefordert: "Electronic Trust". In diesem Konzept verfügt jedes Gerät und jeder Benutzer über eine gesicherte Identität, die sich nicht fälschen lässt.Der erste Schritt zur Sicherung der IT-Systeme ist nach wie vor der Einsatz klassischer defensiver Perimeterlösungen wie Firewalls, Filter-/Authentifizierungs-Proxy, Anti-Spam, Anti-Virus, Intrusion Detection etc. zum Schutz der Unternehmenswerte und für die Beseitigung von Schwachstellen. Um verschiedene Limitierungen dieses Konzeptes zu überwinden und ein passwortbasierendes Identity-Lifecycle-Management zu fördern, haben viele Unternehmen bereits Identity-Management-Projekte auf der Basis eines Corporate Directorys, eines Enterprise Single Sign-on (SSO) oder eines Web-SSO durchgeführt. Identity-Management Allerdings sind Perimeterlösungen dazu entwickelt, Schutz für interne Benutzer innerhalb eines privaten Netzwerks zu schaffen und können deshalb nicht mit dem wachsenden Bedarf umgehen, Unternehmensinformationen von außen über das Internet zu nutzen. Das Vertrauen auf technische Sicherheitsmechanismen war so lange probat, wie der Zugang auf interne Beschäftigte innerhalb einer Lokation beschränkt war. Mit dem aufstrebenden Mobile Computing müssen Unternehmen nun Mitarbeitern Zugang von verschiedenen Gerätetypen aus gewähren wie Workstations, Laptops, PDAs oder Cybercafés - und dies von beliebigen Orten wie dem Büro, der Zweigstelle oder unterwegs im Ausland sowie aus unterschiedlichen Netzen wie LAN, xDSL, 3G/4G, WLAN oder ungeschütztem Internet. Wenn beispielsweise ein Mitarbeiter von seinem Laptop im Büro über das Unternehmens-LAN, von seinem Home-PC über DSL, von einem Restaurant aus über sein Blackberry oder von der Flughafen-Lounge über einen öffentlichen WLAN-Hotspot auf Anwendungen zugreift, dann muss er über die Berechtigung verfügen, sich über drei unterschiedliche Geräte und vier verschiedene Netze anmelden zu können. Offene Netze und Anwendungen Darüber hinaus sind heutige Informationssysteme nicht mehr nur für interne Mitarbeiter reserviert. Partner und Lieferanten benötigen Zugang zu bestimmten Anwendungen und Dokumenten wie auch Kunden, die über Web-Portale E-Commerce- oder Customer-Care-Lösungen nutzen. IT-Systeme sind inzwischen offen für viele Nutzergruppen - auch aus dem Internet. Perimeterlösungen können demnach nicht mehr die einzige Grundlage für die Sicherheit sein. CIOs müssen sich deshalb ernsthaft Fragen stellen, ob sie sich der Identität der Personen und Geräte vollständig sicher sind, ob die Daten und Transaktionen nicht manipuliert wurden, ob verlorene oder gestohlene Daten nach wie vor geschützt sind und ob sich die Informationssysteme schnell an neue Anforderungen adaptieren lassen, ohne neue Schwachstellen zu schaffen. Electronic Trust "Electronic Trust" bietet Antworten auf diese Fragen. Dabei handelt es sich um ein leistungsfähiges und attraktives Konzept, da es auf einem inkrementellen Ansatz beruht. Es ermöglicht die Nutzung der schon getätigten Investitionen in das Identity- und Access-Management. Tatsächlich haben viele Unternehmen bereits LDAP, Provisioning oder SSO implementiert. Fortgeschrittene IT-Administrationen vergeben zudem Rollen und Rechte. Electronic Trust beginnt, sobald ein Unternehmen LDAP installiert hat. Das Konzept umfasst drei unterschiedliche Bereiche und lässt sich Schritt für Schritt je nach Anforderung umsetzen. Langfristig erscheint eine gemeinsame Infrastruktur für die drei folgenden Bereiche am wirtschaftlichsten: Dies sind vertrauenswürdige Netze und Infrastrukturen, vertrauenswürdige Identitäten für Benutzer sowie vertrauenswürdige Transaktionen. Trusted Networks In einem vertrauenswürdigen Netzwerk benötigt jedes Netzwerkgerät wie Server, Router, Workstation, VoIP-Telefon oder Smartphone eine vertrauenswürdige Identität zur Authentifizierung. Netzwerkzugang gewährt das System nur solchen Geräten, die über eine Identität verfügen, die durch eine Policy bestätigt ist. Diese Geräte lassen sich als sicher für das Netzwerk einstufen. Alle anderen Geräte werden isoliert und ihr Zugang auf öffentliche Daten und Anwendungen beschränkt. Innerhalb des Netzwerks erhält jedes Gerät lediglich Zugang zu definierten Ressourcen. Ein bestimmter PC mag den Zugang zu Servern und Anwendungen einer speziellen Abteilung erhalten, während ein Laptop ohne saubere Identität - möglicherweise von einem Besucher oder einem Mitarbeiter einer anderen Abteilung - lediglich Zugriff auf das Internet oder einen Drucker erhält. Innerhalb eines Netzwerks kann die Administration dafür auf einfache Weise vertrauenswürdige Domains schaffen, sogenannte Security Bubbles. Identitätsbewusste Netzwerke bieten die Identifizierung von Geräten, aber ein gewisser Zweifel hinsichtlich der Frage, wer das Gerät benutzt, bleibt bestehen. Login-Daten beziehungsweise Passwort können gestohlen oder kopiert sein, ohne dass sich der Benutzer dessen bewusst ist. Ein gestohlenes SSO-Passwort beispielsweise bietet Zugriff auf eine große Zahl von Applikationen. SSOs sind zwar anwenderfreundlich, aber sie stellen höhere Anforderungen an die Security. Starke Authentifizierung Nur eine starke Authentifizierung auf der Basis von Smart-Cards und One-Time Passwords (OTPs) bietet eine Identifikation bis zum Anwender selbst. Ein Benutzer mit Smart-Card und OTP identifiziert sich persönlich. Er unterzeichnet zudem eine Vereinbarung, seinen PIN-Code geheim zu halten und sofort zu deklarieren, wenn seine Karte verloren ist oder gestohlen wurde. In diesem Konzept sind Geräte mit doppelter Sicherheit ausgestattet - einem Zertifikat auf der Karte und dem PIN-Code. Um sich mit einem Netzwerk zu verbinden benötigt der Benutzer den PC, die Smart-Card sowie den Code. Zwei dieser drei Elemente allein reichen nicht aus, um Zugriff zu erlangen. Der Anwender ist bei diesem Verfahren mit Sicherheit persönlich identifiziert und kann demnach auch für seine Aktionen zur Verantwortung gezogen werden. Der Inhalt eines Desktops oder Laptops lässt sich zusätzlich verschlüsseln, um selbst bei einem Diebstahl geschützt zu sein. Ferner kann der Mitarbeiter seine Zugangskarte in der Regel für unterschiedliche Zwecke gemeinsam nutzen wie etwa PC-Access, Zutritt zu Räumlichkeiten, Micropayments in der Cafeteria etc. Hinzu kommt, dass die meisten Anwender mit einem PIN-Code zufriedener sind als mit mehreren Passwörtern, die sie zudem regelmäßig ändern müssen. Vertrauenswürdiger Transaktionen Eine Transaktion zu starten, ohne den Transaktionspartner zu kennen, ist im besten Fall fahrlässig. Ohne Vertrauen und Haftung sollten geschäftliche Transaktionen nicht stattfinden. Vertrauenswürdige digitale Identitäten sind deshalb auch dort die Voraussetzung für geschäftliche Prozesse. Elektronische Transaktionen eröffnen Unternehmen, die administrative Prozesse nach wie vor auf Papier abwickeln, hohe Produktivitätspotenziale. Warum sollten zwei Unternehmen mit ähnlichen ERP-Systemen nach wie vor Rechnungen oder Formulare auf Papier versenden? Letzteres erscheint kaum noch nachvollziehbar, ist aber bislang weitgehend Realität. Vertrauenswürdige Transaktionen basieren auf digitalen Identitäten, digitalen Signaturen sowie dem Nachweis-Management. Auf dieser Basis sind sie vollständig rückverfolgbar, nicht manipulierbar und lassen sich unter Beachtung der bestehenden Regeln und Richtlinien ausführen. Die nächsten Schritte stellen die Sicherstellung der Dokumentenintegrität sowie Zeitstempel dar. Schließlich folgt die gesicherte Speicherung und Wiederherstellung. Trusted Ecosystem Ein ganzheitliches "Trusted Ecosystem" platziert die digitale Identität an der Wurzel jeder einzelnen Komponente eines Informationssystems, sei es das Netzwerk mit jeder aktiven Komponente wie Router oder Switches, seien es die Workstations oder intelligente mobile Geräte wie Laptops, Tablets oder Smartphones. Ebenso setzt es bei den Benutzern an - oder genauer - ihrer digitalen Identität, die Systeme oder Anwendungen auswerten, und letztlich bei den Servern und Applikationen selbst, die Authentifizierung, Nachverfolgung und Datenschutz benötigen. Auf dieser Basis lassen sich Sicherheitskonzepte entwickeln, die den Anforderungen an die Security und die Flexibilität gleichermaßen entsprechen und dabei die Herausforderungen der Mobilität einbeziehen.
Lesen Sie mehr zum Thema
