Bloß nicht der Nächste sein – ein Passwort ist nicht genug

boudewijn@kiljan.comLijster 73 Spanbroek

Artikel von Boudewijn Kiljan, CTO EMEA bei Wave Systems

Das Problem

Die Hackerattacken auf Unternehmen wie Sony, Target oder J.P. Morgan sind Beispiele dafür, wie Angreifer einen gestohlenen Berechtigungsnachweis (Benutzername + Passwort) nutzen können, um sich ein Sprungbrett in die unternehmensinterne IT-Infrastruktur zu verschaffen. Die einfache Authentifizierung mit Passwort ist schon seit vielen Jahrzehnten gebräuchlich und stammt noch aus einer Zeit, als ein User die Computereingaben und -ausgaben in seinem eigenem Büro im Werksgebäude steuerte. Die Verwendung eines Passworts war damals ausreichend aufgrund der Bedingungen, denen Computerzugriffe unterlagen. Beispielsweise befanden sich die Computer meist in einem eigenen Raum vor Ort; der Zugriff auf Anwendungen war stark eingeschränkt; es gab keine Funktionalitäten zur Übertragung mobiler Daten (zum Beispiel via USB-Speichersticks); und der Systemadministrator kannte die Anwender und konnte sie sehen.

Das Internet hat dies gründlich verändert. Heute müssen Sie kein Bürogebäude mehr betreten, um auf Anwendungen und Daten zuzugreifen, und können Ihre Arbeit an jedem beliebigen Ort erledigen. Vor zwei Jahrzehnten griffen Benutzer allenfalls via Laptop und VPN auf Anwendungen und Firmendaten zu, während heute jedes Smartphone Internetzugang hat und für Geschäftszwecke eingesetzt werden kann.

Dennoch halten viele Anwender und Unternehmen ihre Benutzernamen und Passwörter nach wie vor für sicher – doch dieses Sicherheitsgefühl trügt. Phishing-Attacken werden immer ausgefeilter und gezielter; kompromittierte Konten ermöglichen den Angreifern Zugang zum Netzwerk, wo sie weitere Identitäten sammeln und neue Konten einrichten können. Die IT-Abteilung im Unternehmen kann zwar Richtlinien für die Komplexität und häufige Änderung von Passwörtern durchsetzen. Doch fangen Benutzer dann an, diese Passwörter mehrfach vergeben und verwenden diese auch auf öffentlichen Websites. Dort sind die Sicherheitsmaßnahmen oft weniger strikt– und Angreifern eröffnen sich weitere Möglichkeiten der Kompromittierung. Seit dem Einzug von Cloud Computing können sich Angreifer zudem online problemlos die nötige Rechenleistung für Brute-Force-Attacken verschaffen, um Passwörter zu knacken. Ein gestohlenes Passwort kann von einem Angreifer meist eine ganze Weile verwendet werden, bevor der Diebstahl entdeckt wird.

Multi-Faktor-Authentifizierung

Kommt bei der Authentifizierung noch ein zweiter Faktor hinzu, erhöht dies die Sicherheit und das Vertrauen in die Benutzeridentität enorm. Ein solcher zusätzlicher Faktor neben dem Passwort (etwas, das man „weiß“) kann beispielsweise eine Smartcard sein (etwas, das man „besitzt“) oder ein Fingerabdruck-Scan (etwas, das man „ist“).

Verglichen mit dem alleinigen Schutz durch Passwörter sind Smartcards besser in der Lage, unbefugte Personen am Zugriff auf ein geschütztes System oder Netzwerk zu hindern, da der Benutzer sowohl über die physische Smartcard als auch die entsprechende PIN verfügen muss, um Zugang zu erhalten. Sich beide Komponenten zu verschaffen, ist für einen Dieb wesentlich schwieriger. Diese „Zwei-Faktor-Authentifizierung“ reduziert beträchtlich die Wahrscheinlichkeit eines Diebstahls von Zugangsnachweisen, wie er bei Passwörtern vorkommt, da nur ein Exemplar der Karte (und ihrer Inhalte) existiert und nur jeweils eine Person ihr Login verwenden kann. Eine gleichzeitige Anmeldung von mehreren Orten aus ist nicht möglich.

 

Doch während Smartcards einen größeren Funktionsumfang bieten als Passwörter, bringen sie auch logistische Schwierigkeiten mit sich. Zum Beispiel kann die Verteilung physischer Smartcards in einem Unternehmen mühsam sein. Außerdem bestehen weiterhin Sicherheitsrisiken durch Verlust und Diebstahl. In der Regel sind auch die Supportkosten höher, und Ersatzkarten sind teuer (aufgrund potenzieller Komplikationen oft sogar teurer als die ursprüngliche Bereitstellung).

Die virtuelle Smartcard

Die virtuelle Smartcard ist an die Philosophie der physischen Smartcard angelehnt und hat ganz ähnliche Eigenschaften, verringert aber durch Nutzung des Trusted Platform Modules (TPM) die betrieblichen Herausforderungen. Das TPM ist ein integrierter Sicherheitsprozessor, der manipulationssicheren Schutz und Krypto-Funktionen für das Betriebssystem und seine Anwendungen bietet. Der TPM-Standard wurde von der Trusted Computing Group (TCG) für die gesamte Branche entwickelt, und der Chip selbst ist auf der überwiegenden Mehrzahl der professionellen Geräte in Unternehmen (Laptops, Tablets und Desktops) bereits installiert.

Die drei primären Funktionen einer physischen Smartcard (Nicht-Exportierbarkeit, isolierte Kryptographie und Anti-Hammering) werden alle auch vom TPM-Chip unterstützt, was die Verwendung als virtuelle Smartcard möglich macht. Die zentrale TPM Hardware-Technologie, die eine starke Authentifizierung und die Nutzung als virtuelle Smartcard (VSC) erlaubt, existiert bereits seit einiger Zeit. Der geschäftliche Fokus auf eine zusätzliche starke Authentifizierung als wesentlicher Bestandteil einer verbesserten Sicherheitsarchitektur ist dagegen relativ neu.

Die virtuelle Smartcard unterstützt eine Reihe traditioneller und erweiterter Authentifizierungsszenarien. So ist sie beispielsweise bei allen Authentifizierungsvorgängen mit digitalem Zertifikat – etwa für Anwendungen, Wi-Fi oder VPN – in genau der gleichen Weise nutzbar wie eine physische Smartcard. Die virtuelle Smartcard unterstützt auch Windows Smartcard-Logon.

Fazit

Die Nutzung des TPMs als virtuelle Smartcard hat im Vergleich zu physischen Smartcards eine Reihe von Vorteilen. Nur der Benutzer und sein Gerät müssen sich gegenüber Windows und dem Unternehmensnetzwerk authentifizieren. Die Lösung ist sehr sicher (Multi-Faktor-Authentifizierung und kein Erraten von Passwörtern), die Hardware ist kostengünstiger (Smartcards und Smartcard-Lesegeräte sind nicht erforderlich, und das TPM befindet sich bereits im Computer oder Tablet), die Managementkosten sind geringer (kein Smartcard-Management-System erforderlich), und die Benutzer sind zufriedener (kein externes Gerät mehr nötig).