Montag, 1. März 2010


Topthema

Donnerstag, 4. Januar 2007 | Topthema

About Security #87: Sicherheit von Single Sign-On

(Link zum Artikel: http://www.entwickler.de/php/kolumnen/033433)

Vor- und Nachteile sowie die Sicherheit des in About Security #86 vorgestellten Single Sign-Ons sind das Thema dieser Folge. Der große Nachteil des SSO ist, dass es einen einzigen Angriffspunkt bildet: Ein Angreifer, der sich die Zugangsdaten eines Benutzers zum SSO-System verschafft hat, kann danach auf alle Systeme und Dienste zugreifen, auf die der betroffene Benutzer Zugriff hat. Ebenso verhindert ein erfolgreicher Denial-of-Service-Angriff auf das SSO-System auch den Zugriff auf alle darüber kontrollierten Server und Dienste.

Vorteile

Der Vorteil für die Benutzer ist die Verwendung eines einzigen Authentifikationssystems. Im Fall eines passwortbasierten Systems bedeutet das, dass man sich nur noch eine Kombination von Benutzername und Passwort merken muss. Damit entfällt (hoffentlich) die Unsitte, Benutzernamen und Passwörter auf Zetteln z.B. unter der Tastatur zu notieren oder leicht erratbare Passwörter zu verwenden. Außerdem ist nur noch eine einmalige Authentifizierung gegenüber dem SSO-System notwendig (i.d.R. einmal pro Tag) statt mehrerer Authentifizierungen gegenüber verschiedenen Systemen und Diensten.

N E U ! Security aktuell
Täglich aktuelle Security-Infos!

Der Vorteil für die Betreiber des Systems ist die einheitliche Lösung durch das SSO-System: Die Zugangs- und Benutzerdaten müssen nur noch im SSO-System gepflegt werden statt in vielen verschiedenen, unterschiedlichen Systemen. Ebenso ergeben sich einheitliche Regeln, z.B. für Passwörter. Ändern sich die Aufgaben eines Benutzers, sind nur Änderungen am SSO-System notwendig und nicht an den einzelnen Systemen und Diensten. Auch der Helpdesk wird entlastet, da die Benutzer nicht mehr die Zugangsdaten zu den verschiedenen Systemen und Diensten vergessen können. Wenn entsprechende Anfragen zur Passwortzurücksetzung kommen, betreffen sie nur noch das SSO-System.

Beim Einsatz einer zertifikatbasierten Authentifizierung liegt der Vorteil zudem in der höheren Sicherheit im Vergleich zu einer reinen Passwortabfrage (s.u.).

Sicherheit der Authentifizierung

Die Sicherheit des Gesamtsystems hängt vor allem von der Sicherheit der Authentifizierung ab. Ein IT-System kann einen Menschen an 3 Faktoren erkennen: Was er ist (durch biometrische Verfahren wie z.B. Fingerabdruckscanner oder das im CeBIT-Bericht vorgestellte Psylock), was er hat (z.B. eine Smartcard) oder was er weiß (z.B. ein Passwort).

About Security: Die komplette Serie

Bei einer herkömmlichen Passwortabfrage ist die Sicherheit allein von der Qualität und Geheimhaltung des Passworts abhängig. Die Authentifizierung durch Zertifikate erfolgt (wie in About Security #86 beschrieben) nach dem so genannten Challenge-Response-Verfahren. Dabei wird sowohl das Vorhandensein des privaten Schlüssels und damit der Smartcard als auch die Kenntnis des zur Freigabe der Smartcard notwendigen 'Passworts' in Form der PIN geprüft. Damit ist das Verfahren prinzipiell sicherer als eine reine Passwortabfrage, da es zwei Faktoren statt nur einen einzigen prüft. Ein Angreifer muss sich nicht nur ein Passwort verschaffen, sondern auch die zugehörige Smartcard. Sofern die Benutzer ihre Smartcard sicher verwahren und nicht unbeaufsichtigt im Kartenleser stecken lassen, während sie z.B. in die Kantine gehen, ist das Verfahren daher deutlich sicherer als eine reine Passwortabfrage. Zwar gibt es immer auch Benutzer, die ihre Karte ständig im Kartenleser aufbewahren und die zugehörige PIN auf die Tastatur schreiben, allerdings würden diese Benutzer auch ihre herkömmlichen Benutzername/Passwort-Kombinationen auf PostIts am Monitor notieren. Was wieder einmal zeigt, dass man soziale Probleme nicht durch technische Maßnahmen lösen kann.

Theoretisch könnte auch noch der dritte Faktor hinzugezogen werden, indem für die Freigabe der Smartcard eine Kombination aus biometrischen Verfahren und Passworteingabe, z.B. in Form eines Verfahrens wie des oben erwähnten Psylock, verwendet wird.

Alternative Authentifizierungslösungen

Außer einer Passwortabfrage und einer zertifikatbasierten Authentifizierung stehen zwei weitere Verfahren zur Verfügung: Einmalpasswörter (One-Time Passwords, OTP) und biometrische Verfahren. Einmalpasswörter werden entweder in Form vorab erzeugter Passwortlisten (z.B. TAN-Listen beim Onlinebanking) bereitgehalten oder auf Anforderung in einer externen Hardware, dem OTP-Token, erzeugt und in Verbindung mit einer PIN eingesetzt. Es wird also sowohl Besitz (des Tokens bzw. der Passwortliste) als auch Wissen (der PIN) geprüft.

Biometrische Verfahren erkennen einen Menschen an unveränderlichen menschlichen Attributen. Ihr besonderer Vorteil ist, dass das Erkennungsmerkmal eindeutig dem Berechtigten zugeordnet ist, während alle anderen Verfahren nur das Vorhandensein austauschbarer Merkmale prüfen: Passen Name und Passwort bzw. Smartcard/Token und PIN zusammen? Auf beide Verfahren wird in weiteren Folgen von About Security ausführlich eingegangen.

Thema der nächsten Folge sind virtuelle private Netze (VPN).

Wenn Sie Fragen oder Themenvorschläge haben, können Sie diese gerne an die angegebene E-Mail-Adresse senden oder im Security-Forum einbringen!

Carsten Eilers

About Security – Übersicht zum aktuellen Thema "Kryptographie - Anwendungen"

Kommentare

Folgende Links könnten Sie auch interessieren