text: Identity- und Access-Management - PDF
  Download "Identity- und Access-Management"
  Gottlob Hofmeister
  1 Identity- und Access-Management Inhalt: l l Digitale Gesichtskontrolle Der eindeutige Nachweis der Identität von Usern ist eine der wichtigsten Voraussetzungen für die Sicherheit von ICT-Systemen. Seite 2
  2 2 Digitale Gesichtskontrolle Der eindeutige Nachweis der Identität von Usern ist eine der wichtigsten Voraussetzungen für die Sicherheit von ICT-Systemen. Biometrische Systeme sorgen für eine eindeutige digitale Identität. ll Text: Dipl.-Ing. René Reutter, T-Systems Milliarden von Datensätzen fließen in jeder Sekunde durch unterschiedlich sichere Netze. Um diese Daten zu schützen, müssen zwei Voraussetzungen erfüllt sein: Jeder Beteiligte muss eine Zugangsberechtigung besitzen und seine Identität nachweisen. Im Internet sind Identitätsdiebstahl und Identitätsmissbrauch heute eine akute Bedrohung. Rund 1,5 Millionen Deutsche sind in den vergangenen zwei Jahren Opfer einer Phishing-Attacke geworden, so eine Studie von Infas Telekommunikationsmonitor.
  3 3 Und die Vorgehensweise der Täter entwickelt sich weiter. Wurden laut Bundesamt für Sicherheit in der Informationstechnik und dem Bundesministerium des Innern früher die meisten Systeme durch den bloßen Besuch von Internet-Seiten, also eine sogenannte drive-by-infection, und präparierte PDF- Dokumente angegriffen, gelangen Schadprogramme heute vorwiegend durch Schwachstellen im Betriebssystem beziehungsweise in Softwarepaketen auf die Nutzer-PCs. Vor diesem Hintergrund gewinnen elektronische Verfahren zur Sicherstellung einer Identität an Bedeutung. Dieser Beitrag geht auf einige biometrische Verfahren ein. Biometrische Verfahren In biometrischen Verfahren wird die Identität einer Person durch die Prüfung biologischer Merkmale ermittelt. Das können Fingerabdrücke sein, die Stimme, Iriserkennung oder bestimmte Verhaltensweisen wie Tippverhalten oder Handschrift. Diese verschiedenen Verfahrensweisen sind kombinierbar, Begriffsbestimmung Unter Authentisierung versteht man den eindeutigen Nachweis der eigenen Identität. Die Authentifizierung ist die Verifizierung der Behauptung der Authentizität. Nach der Authentifizierung beispielsweise eines Nutzers mit Name und Passwort an einem Server kann sich letzterer der Identität seines Gegenübers sicher sein wenn kein Identitätsdiebstahl vorliegt und diesem einen Account in einem technischen System zuordnen. Zur Authentisierung, Authentifizierung und Identifikation können verschiedene Verfahren dienen. Dies gilt insbesondere für innovative Verfahren auf Grund biometrischer Merkmale. um eine höhere und jeweils bedarfsgerechte Sicherheit zu erzielen. So lässt sich ein Fingerprintscanner beispielsweise in Kombination mit einem Passwort einsetzen. Biometrische Verfahren werden in Prozeduren mit den Zielen»Verifizierung«oder»Identifikation«unterschieden. Im ersten Fall wird ein Merkmal, das der Anwender präsentiert, gegen ein bestimmtes Referenzmerkmal von ihm verifiziert. Im zweiten Fall wird er über den Vergleich mit Referenzmerkmalen,
  4 4 die von einem berechtigten Personenkreis hinterlegt sind, identifiziert. Leistungskriterien Da die vom biometrischen Sensor gelieferten Stichproben starken statistischen Schwankungen unterliegen, kann es gelegentlich zu Falscherkennungen kommen. Die Zuverlässigkeit der Identifikation beziehungsweise Verifikation wird hauptsächlich nach zwei Kriterien beurteilt. Der Falschakzeptanzrate FAR: Wie oft wurde ein unberechtigter Anwender zugelassen? Der Falschrückweisungsrate FRR: Wie oft wurde ein berechtigter Anwender abgewiesen? Beide Raten hängen gegenläufig vom Entscheidungsschwellwert ab. Eine höher gewählte Schwelle verringert zwar die FAR, erhöht zugleich aber die FRR und umgekehrt. Deshalb ergibt beispielsweise die alleinige Angabe der FAR ohne zugehörige FRR keinen Sinn. Während die FAR bei Verifikationssystemen bei gegebener Entscheidungsschwelle eine Konstante ist, wächst sie bei Identifikationssystemen mit der Zahl der gespeicherten Referenzdatensätze. Näherungsweise ergibt sich die resultierende Gesamt-FAR aus der Multiplikation der zu Grunde liegenden Verifikations-FAR mit der Zahl der Datensätze. Dies ist der Grund, warum stark distinktive Charakteristika wie Iris und Zehnfingerprint eine zuverlässige Identifikation über große Datenbasen mit Millionen von Einträgen ermöglichen. Die Falscherfassungsrate-Rate FER beschreibt schließlich den Umstand, dass nicht jedes biometrische Charakteristikum bei jedem Menschen jederzeit in ausreichender Qualität zur Verfügung steht. Die FER hängt nicht nur von der jeweiligen Verfassung des biometrischen Charakteristikums ab, sie wird, wie die anderen Fehlerraten auch, durch die Leistungsfähigkeit der Technik und die Mitwirkung der erfassten Testperson beeinflusst. In der Regel lassen sich die beschriebenen Fehlerraten nicht ausschließlich theoretisch berechnen, sondern müssen auch in praktischen Untersuchungen ermittelt werden. Verfahren zur Leistungsprüfung und -auswertung für biometrische Systeme beschreibt die Norm ISO/IEC Bei biometrischen Systemen spielt aber auch die Erkennungszeit eine große Rolle. Neben der Sicherheit und Zuverlässigkeit sind die Benutzerakzeptanz und die Gebrauchstauglichkeit bei der Beurteilung eines biometrischen Systems entscheidende Kriterien. Biometrische Stimmerkennung Der Zugang zu sicherheitsrelevanten Daten, Anwendungen oder Bereichen muss zuverlässig geschützt werden. Dies geschieht meistens über Passwörter
  5 5 und Zugangscodes, die jedoch leicht vergessen oder verloren werden können. Komplizierte Verfahren wie Fingerabdruck- oder Gesichts- und Retina-Scanner sind relativ aufwändig. Die biometrische Stimmverifizierung ist ein Verfahren, das für mehr Sicherheit, besseren Service und weniger Kosten steht. Marktführende und zertifizierte Verfahren basieren auf einer Lebenderkennung, daher kann das Stimmprofil nicht gefälscht werden. Ein Stimmprofil kann man auch nicht verlieren der Nutzer hat den unverwechselbaren»schlüssel«immer bei sich. Man benötigt keine Zusatzgeräte und kann sich ortsunabhängig über Festnetz, Mobilfunk und VoIP authentifizieren, was das Verfahren anwenderfreundlich gestaltet. Voraussetzung ist natürlich, dass das Hintergrundsystem einmal vom Anwender trainiert wurde. Personentypische Merkmale existieren bei handschriftlich verfassten Papierdokumenten, da die Formgebung der Buchstaben, aber auch der Druck des Kugelschreibers oder des Füllfederhalters je nach Verfasser variiert. Ein digitales Pendant zu diesem klassischen Verfahren ist eine biometrische Authentisierung, die das Tippverhalten der Anwender analysiert. Solche Verfahren eignen sich beispielsweise, um eine Passwortrücksetzung durchzuführen. Damit das funktioniert, müssen die Charakteristika des Tippverhaltens erfasst und geeignet abgelegt werden. Typische Eigenschaften sind etwa die Schreibgeschwindigkeit, Tippfehler und Korrekturverhalten sowie Eigenarten, wo eine zweite Taste bereits gedrückt wird, bevor die andere Taste komplett losgelassen wurde. Durch die einmalige Hinterlegung einer Referenz zum eigenen Tippverhalten kann der Nutzer von jedem Ort auf der Welt aus selbstständig ein neues Passwort für sich einrichten unabhängig von den Öffnungszeiten seines Helpdesks. Biometrische Authentisierung anhand des Tippverhaltens
  6 6 Um Angriffe zu vermeiden, bei denen das Schreibverhalten eventuell von einem Eindringling mitgezeichnet wird, ist es jedoch wichtig, nicht nur einen Musterabgleich durchzuführen. Vielmehr sollten beliebige Eingabefolgen gegen ein Referenzmuster geprüft werden. Hier haben sich Verfahren durchgesetzt, die auf anspruchsvollen statistischen Modellen basieren. Wie auch die biometrische Spracherkennung handelt es sich um ein psychometrisches Verfahren. 3D Fingerprintbiometrie Den Schlüssel zur Lösung mit der höchstmöglichen Sicherheit hat jeder Mensch ebenfalls stets bei sich: biometrische Daten in Form eines Fingerabdrucks. Einen individuellen Fingerabdruck kann man weder wie eine Zugangskarte verlieren, noch entwenden und auch nicht ohne weiteres mitbenutzen. T-Systems setzt auf das Biometrische Fingerprint- Verfahren, weil es richtig eingesetzt die Sicherheit erhöht und sich mit moderner Informationstechnik vereint. Die Anwendung ist einfach und komfortabel, so dass sie den Passwortzettel unter der Tastatur überflüssig macht. Die Erkennung durch ein 3D-basiertes Verfahren ist zuverlässig und datenschutzkonform, denn es wird kein Bild des Fingerabdrucks, sondern jeweils nur ein Hashcode gespeichert. Das bedeutet, der Fingerabdruck wird mit Hilfe von Algorithmen zerhackt und als Buchstaben-Zahlenfolge abgelegt. Die Einbindung in eine Microsoft-Active-Directory-Umgebung ADS sichert ein zentrales Management für die Benutzeranmeldung und steuert gleichzeitig über den Microsoft-Mechanismus die Konfiguration und Security-Einstellung mit Hilfe zentraler Richtlinien. Biometrische Zugangslösung für die Finanz-Informatik Die Finanz-Informatik, der IT-Dienstleister der Sparkassen-Finanzgruppe, bietet ihren Kunden ein biometrisches Authentifizierungsverfahren. Eine solche starke Authentifizierung oder auch doppelte Absicherung ist insbesondere bei Sparkassen vorgesehen, die auf eine Einmalanmeldung, das Single-Sign-on, Fingerprint-Authentifizierung für Active Directory als vollintegrierte Ende-zu-Ende- Lösung von T-Systems.
  7 7 Sichere Rundum-Verschlüsselung für sensible Daten. setzen. Finanzinstitute, die biometrische Authentifizierung einsetzen, erfüllen nicht nur die gesetzlichen Sicherheitsanforderungen, sondern sie profitieren auch von einem hohen Sicherheitsstandard. Im Gegensatz zu einer Smartcard kann die biometrische Authentifizierung keinem Unbefugten in die Hände fallen. In Kooperation mit T-Systems realisierte die Finanz Informatik nicht nur den Einsatz des innovativen biometrischen 3D Fingerprint-Verfahrens. Mitarbeiter der Sparkassen, die sich am Arbeitsplatz ins Unternehmensnetz einloggen wollen, müssen zusätzlich zum Fingerabdruck noch ein Passwort eingeben. Fazit Der sichere Zugang zu ICT-Systemen gewinnt vor dem Hintergrund der steigenden Vernetzung im Web 2.0 an Bedeutung. Innovative und bedarfsgerechte Verfahren zur eindeutigen Identitätsfeststellung sind wichtig, weil daraus Berechtigungen abgeleitet werden. Es ist sicher, dass Passwörter noch eine Weile zum Einsatz kommen werden. Wo biometrische Merkmale in Form von Besitz, Wissen und Eigenschaft hinzu genommen werden, erhöht sich der Sicherheitslevel. In gleichem Maße kann mit der Einbeziehung biometrischer Merkmale die Komplexität der anderen Elemente verringert werden, ohne gleichzeitig einen Verlust des Sicherheitsniveaus zu erleiden. In Summe bieten biometrische Verfahren Unternehmen eine Reihe viel versprechender Anknüpfungspunkte, die eigene Security-Strategie zu hinterfragen und neu auszurichten. K Dipl.-Ing. René Reutter CISSP, T-Systems Abteilungsleiter Seamless ICT Security Infrastructure & Management
  8 Service Impressum Security Advisor epublication Eine Publikation der Verantwortlich für den redaktionellen Teil: Davor Kolaric, Alte Münchner Straße 12, Wielenbach, Tel: , Verantwortlich für Anzeigen: Davor Kolaric, Adresse wie oben Schlussredaktion: Dirk Glogau Layout / Satz: Uwe Klenner, Layout und Gestaltung, Passau, Rittsteiger Str. 104, NEWSLETTER Unsere Newsletter informiert Sie in regelmäßigen Abständen über die neuesten Entwicklungen im Bereich der IT-Sicherheit. Wählen Sie die Themenfelder, welche für Sie interessant sind aus und bleiben so immer auf dem neuesten Stand. Hier abonnieren... Mitteilung gemäß bayerischem Pressegesetz Besitzverhältnisse: Alte Münchner Straße 12, Wielenbach Alleingesellschafter: Davor Kolaric Urheberrecht: Alle in diesem Heft erschienenden Beiträge sind urheberrechtlich geschützt. Alle Rechte, auch Übersetzungen und Zweitverwertung, vorbehalten. Reproduktionen, gleich welcher Art, nur mit schriftlicher Genehmigung des Verlags. Aus der Veröffentlichung darf nicht geschlossen werden, dass die beschriebenen Lösungen oder Bezeichnungen frei von gewerblichen Schutzrechten sind. Haftungshinweis: Trotz sorgfältiger inhaltlicher Kontrolle übernehmen wir keine Haftung für die Inhalte externer Links. Für den Inhalt verlinkter Seiten sind ausschließlich deren Betreiber verantwortlich.
  Ruhr-Universität Seminar ITS Bochum Biometrische Verfahren WS 2004/2005 Vortragender: Ferruh Sayin Betreuer: Dipl. Ing. Marko Wolf Inhaltsverzeichnis (1) 1. Einleitung 4.1 Physiologische Verfahren 4.1.1
  Security Advisor epublication. Information. Security. Cyberwar 2.0. Wie Datenspionage funktioniert
  Information Security Cyberwar 2.0 Wie Datenspionage funktioniert 2 Cyberwar 2.0 Wie Datenspionage funktioniert Datenspionage ist heute vor allem durch finanzielle Interessen motiviert. Nicht zuletzt deshalb
  Biometrie als Bestandteil von Zutrittskontrollsystemen
  Zutrittskontrollsysteme Biometrie und mit Sicherheit Biometrie Biometrie als Bestandteil von Zutrittskontrollsystemen ZUTRITTSKONTROLLE - Die Integration unterschiedlicher Techniken zu komplexen, maßgeschneiderten
  Organisations-Sicherheit Soft- und Hardwarverschlüsselung Inhalt: l Der passende Schutz Verschlüsselungsmethoden sinnvoll auswählen maximale Sicherheit erreichen Seite 2 l Impressum 2 Der passende Schutz