Smartcards und Thin Clients: sicher und komfortabel

Transkript

1 Smartcards und Thin Clients: sicher und komfortabel Die zunehmende Abhängigkeit von IT-Systemen und Cloud-Services verleiht der Datensicherheit nach innen und außen eine noch größere Bedeutung. In Verbindung mit Smartcards schützen IGEL Thin Clients zuverlässig vor Manipulation, Datendiebstahl und anderen Bedrohungen.

2 Viele Arbeitgeber vernachlässigen den Schutz vor Computerkriminalität und lassen ihre Mitarbeiter mit dem Thema IT-Sicherheit allein. Zu diesem Schluss kommt eine repräsentative Umfrage im Auftrag des deutschen Hightech- Verbands BITKOM. Mehr als ein Fünftel der befragten Erwerbstätigen geben demnach an, dass ihr Arbeitgeber keinerlei Vorgaben zur Verhinderung von Computerkriminalität macht. Ein weiteres Fünftel gibt an, dass ihnen entsprechende Regeln nicht bekannt sind. Unternehmens-IT ein offenes Buch? Das Ergebnis ist alarmierend, bedeutet es doch, dass 40 Prozent der Beschäftigten nicht wissen, wie sie beispielsweise mit Passwörtern oder externen Datenträgern wie USB-Speichern umzugehen haben. Die Unternehmens-IT wird so schnell zum offenen Buch. Obgleich äußere Gefahren wie Viren, Trojaner, Würmer, Phishing oder Hackerangriffe von der IT-Abteilung bekämpft werden und auch der interne Datendiebstahl meist in der IT-Strategie berücksichtigt ist, bleibt die Passwortsicherheit in vielen Organisationen ein brisantes Dauerthema. Sollen geschäftskritische Daten zuverlässig vor nicht-autorisiertem Zugriff geschützt werden, ist die Kombination aus Benutzername und Passwort häufig nicht ausreichend. Auch eine gut gemeinte Verschärfung der Passwort-Richtlinien scheitert immer häufiger an den Begleiterscheinungen komplexer IT-Umgebungen. Gefährliches Passwort-Wirrwarr Das gestiegene Gefahrenpotenzial, die zunehmende Komplexität der IT-Nutzung sowie der externe oder mobile Zugriff auf das Firmennetz haben die Identifizierungsverfahren immer komplizierter gemacht. Unterschiedliche Anwendungen, Desktops und Cloud-Services verlangen nach einer eindeutigen Zugangsberechtigung. -Clients, Datenbanken, Business- Anwendungen wie SAP oder CRM, zentrale IT-Umgebungen, Der IGEL UD3 mit Smartcard Reader sichere virtuelle Räume für Projektmitglieder oder das Intranet haben zu einer unüberschaubaren und riskanten Vielfalt an Passwörtern, PIN-Nummern und Zugangs-IDs geführt, die die Anwender zusätzlich zu physischen Objekten wie traditionelle Schlüssel, Chipkarten oder Tokens hüten müssen. Die fatale Folge: Genervte bis überforderte Anwender notieren ihre Passwörter auf Notizzettel oder ungeschützten Medien wie zum Beispiel das private Handy. Viele betroffene Branchen nutzen Thin Clients Für Organisationen, die mit sensiblen geschäftskritischen oder personenbezogenen Informationen umgehen, besteht großer Handlungsbedarf, auch die Authentifizierungsdaten wirksam vor Ausspähung oder Diebstahl zu schützen von innen wie von außen. Zu den betroffenen Branchen zählen Banken, Versicherungen, Krankenkassen, Dienstleister für Rechnungswesen und nicht zuletzt medizinische Einrichtungen aller Art mit ih- anwendungsbeispiele Branche prozessor card memory card Universitäten Zugangskarte Banken Geldkarte Krankenkassen Gesundheitskarte KVK-Karte Behörden Ausweise Bezahlfernsehen Dekoderkarte 2/6

3 rem gewaltigen Pool an Patientendaten. Aber auch bestimmte Abteilungen wie Controlling, Buchhaltung, Forschung und Entwicklung, Vertrieb und Personal sind betroffen. Um die Datenhaltung konsequent zu zentralisieren und lokale Speichermedien wie USB-Sticks einfach und wirksam zu reglementieren, setzen immer mehr Organisationen auf Cloud-Umgebungen mit Thin Clients, die im Vergleich zu Arbeitsplatz-PCs deutliche Sicherheitsvorteile bieten. So gestatten die kosten- und energieeffizienten Endgeräte per se keine lokale Datenspeicherung. Darüber hinaus verhindern ihr Read only-memory und Betriebssystem, dass sich Viren, Trojaner und andere Schadsoftware dauerhaft in den Geräten festsetzen können. in Kombination mit Smartcards Um darüber hinaus das Passwort-Risiko in den Griff zu bekommen, haben sich als technische Lösung weltweit die sogenannten Smartcards etabliert Plastikkarten in Kreditkartengröße, die in aller Regel einen Chip mit einer Hardware-Logik, einem Speicher oder auch einem Mikroprozessor enthalten. Im Vergleich zu Magnetstreifenkarten besitzt dieser Minicomputer ein breites Einsatzspektrum und ist um ein Vielfaches langlebiger. Smartcards können bis zu Mal gelesen werden. Sie sind unempfindlich gegenüber Magnetfeldern und dank eines integrierten Überspannungsschutzes auch gegen Entladungen. Zur Verwendung der Smartcard ist ein Lesegerät nötig, das entweder im Computergehäuse integriert ist, oder über USB, ggf. auch seriell mit dem Endgerät verbunden wird. Aufgabe des Smartcard-Readers ist es, den Mikroprozessor der Karte mit Strom zu versorgen und über entsprechende Treiber mit den von ihm gesteuerten Applikationen zu kommunizieren. Intelligent und programmierbar Die wichtigste Eigenschaft einer Smartcard ist ihre Intelligenz, d.h. ihre Programmierbarkeit. Damit kann sie beispielsweise nicht-auslesbare Schlüssel enthalten, die nicht für externe, wohl aber für die auf der Smartcard laufenden Anwendungen verwendbar sind. Moderne Authentifizierungsverfahren nutzen den sogenannten Challenge/Response -Mechanismus. Dabei muss auf eine jeweils neue Anfrage die passende Antwort zurückgeliefert werden, die sich jedoch nur mit Hilfe des passenden Schlüssels generieren lässt und von einem Programm auf der Smartcard errechnet wird. Smartcards besitzen prinzipiell genügend Intelligenz und Speicher, um auch komplizierte Sicherheitsprozesse wie Identifizierungs- und Authentifizierungsverfahren sowie modernste Verschlüsselungstechnologien zu bedienen. Je nach Anforderungsprofil werden dabei unterschiedlich leistungsfähige Karten eingesetzt. Von IGEL unterstützte Smartcard-Lösungen (Auswahl) Anbieter A.E.T. Europe B.V. Aladdin Gemalto HID NEC Reiner SCT SecMaker S-Trust Lösung SafeSign Aladdin etoken und Smartcard IGEL Smartcard Gemalto.NET Omnikey SafeSign cyberjack NetID SafeSign, qualifizierte Digitale Signatur, fortgeschrittene Digitale Signatur Memory- und Prozessorkarten Der kostengünstige Basistyp der Smartcard ist die sogenannte Memory-Karte (auch: synchrone Chipkarte). Sie besteht im Wesentlichen aus einem intelligenten, d.h. mehrfach beschreibbaren Speicher, auf dessen Zellen der Reader sequenziell über eine entsprechende Schnittstelle zugreift. Memory-Karten sind kopierbar und finden deshalb nur dort Verwendung, wo es auf die Speicherung der Daten ankommt, nicht aber auf den Schutz vor unbefugtem Auslesen oder Manipulation. Anders verhält es sich beim intelligentesten Typus der Smartcard, der Prozessorkarte (auch: asynchrone Chipkarte). Der im Inneren der Plastikkarte verschweißte Mikroprozessor verhindert mittels kryptographischer Verfahren den unberechtigten Zugriff auf die gespeicherten Daten. Typische Beispiele reichen von Geldkarten über Gesundheits- und Ausweiskarten mit personenbezogenen Daten, bis hin zu Dekoderkarten, die über ein Zertifikat zum Entschlüsseln von Fernsehsignalen berechtigten. Thin Client & Smartcard: sicher und effizient Wenn es darum geht, wechselnden Personen schnell, sicher und unkompliziert Zugang zu zentralen Daten zu gewähren, sind die kostengünstigeren Memory-Karten meist die erste Wahl. Damit können beispielsweise in Krankenhäusern Ärzte oder Pflegekräfte ohne großen Authentifizierungsaufwand von verschiedenen Orten und Abteilungen auf die für sie freigegebenen Patientendaten, das Krankenhausinformationssystem (KIS) oder Inventardatenbanken zugreifen. Ähnliches gilt für Bibliotheken, bei denen Besucher über allgemein zugängliche Thin Clients unterschiedliche, userabhängig eingeschränkte Recherchebereiche nutzen, wie z.b. kostenpflichtige Datenbanken. Weil sich viele dieser Anwendungsfälle mit den Ein- 3/6

4 Smart macht mobil: Arbeitsplatz-Roaming Die IGEL Smartcard und andere Memory-Karten werden häufig in Kombination mit dem sogenannten Arbeitsplatz- Roaming eingesetzt. Mit dem Herausziehen der Karte aus dem Reader lässt sich eine begonnene Verbindung mit zentral bereitgestellten Anwendungen und Desktops (Microsoft Remote Desktop Services, Citrix XenApp / XenDesktop, VMware Horizon View, etc.) oder einem anderen Cloud-Service ganz einfach unterbrechen und an einem beliebigen Thin Client im Netzwerk fortsetzen (Session Roaming). So können sich Ärzte, Bibliotheksbenutzer oder andere Mitarbeiter mit hoher Mobilität innerhalb des Firmennetzes bewegen und die Endgeräte spontan nutzen. satzszenarien von Thin Clients decken, integrieren einige Thin Client-Hersteller Smartcard-Reader direkt in ihre Modelle. Als Pionier dieser Praxis gilt, dessen aktuelle Modelle IGEL UD3, UD5 und UD9 optional mit einem integrierten Lesegerät bestellbar sind. Dank PC/SC-Schnittstelle (Personal Computer/Smartcard) eignen sich die integrierten Reader für alle Smartcard-Typen und eine Vielzahl an Lösungen. Darüber hinaus unterstützen sämtliche IGEL-Modelle auch viele externe PC/SC-Reader. Effizient und sicher: die IGEL Smartcard Darüber hinaus hat IGEL eine eigene, optionale Smartcard im Angebot, die eine kostengünstige Lösung für Authentifizierung, Single Sign-on und Arbeitsplatz-Roaming darstellt. Die IGEL Smartcard basiert auf einer Memory-Karte, auf der verschiedene Informationen wie z.b. die Authentifizierungsdaten der Anwender gespeichert werden können. Vor der Ausgabe wird die jeweilige Karte vom Netzwerkadministrator über das Setup entsprechend für den Benutzer eingerichtet, so dass er z.b. mehrere anwenderspezifische Sitzungen ohne wiederholte Passworteingabe nutzen kann. Damit lassen sich bereits einige wichtige und komfortable Lösungen für häufige Nutzungsszenarien realisieren, wie zum Beispiel der automatisierte Start lokaler oder Cloud- bzw. server-basierten Anwendungen beim Einschieben der IGEL Smartcard oder das Sperren des Thin Clients beim Herausziehen. Dabei werden die aktuellen ICA-, RDP- oder PCoIP-Sitzungen unterbrochen. Stattdessen erscheint ein Bildschirmschoner mit Anmeldemaske, der den Benutzer zur Neuanmeldung mit Smartcard und PIN-Eingabe auffordert. Hohe Sicherheit mit Prozessorkarten Die häufigsten Anwendungsfälle für Prozessorkarten bestehen im Einlesen der elektronischen Gesundheitskarte (egk), z.b. über Cherry-Tastaturen mit integriertem Lesegerät, oder elektronischer Ausweise, wie dem deutschen Personalausweis mit elektronischem Identitätsnachweis, dem niederländischen UZI- Pass oder der belgischen eid. In der Finanzbranche sind neben Cherry- auch DESKO-Tastaturen mit integriertem Reader verbreitet. Im Hochschulbereich regeln externe Reader und Prozessorkarten typischerweise den Zugriff auf Rechenzentren, Netzwerkdrucker und Bibliotheken. Die verschiedenen Benutzergruppen der Server zentrierten IT-Architektur Studenten, externe Besucher oder Wissenschaftler erhalten dabei unterschiedliche Berechtigungen für den Zugriff auf das Intranet, verschiedene Datenbanken, virtualisierte Anwendungen bzw. Desktops oder Druckfunktionen. Die Zertifikats basierte Authentifizierung der jeweiligen Nutzergruppen erfolgt entweder rein Smartcard-basiert oder im Sinne einer Zwei-Faktor-Authentifizierung mit zusätzlichem PIN, der bei besonders hohen Sicherheitsanforderungen über ein vom Endgerät getrenntes Terminal einzugeben ist. Hoch sichere Heimarbeitsplätze Für besonders sicheren externen IT-Zugriff via Smartcard eignet sich die Kombination aus IGEL Thin Client und dem nicht-manipulierbaren Hochsicherheitspaket Mobile Security Device genucard. Anschluss und Stromversorgung erfolgen über USB, die Authentisierung und das Key-Handling via Smartcard. Eine integrierte Firewall stellt eine sichere VPN-Datenkommunikation über DSL, ISDN, UMTS oder WLAN sicher. Das Mobile Security Device genucard ist vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für den verschlüsselten Versand eingestufter Daten zugelassen, in Kombination mit IGEL Thin Clients zertifiziert und erfüllt die Anforderungen der Geheimhaltungsstufen VS-NfD, NATO Restricted und Restreint UE. Außerdem gestattet das Mobile Security Device genucard auch ein absolut sicheres Thin Client-Management, denn die genucard unterstützt die im Lieferumfang der Thin Clients enthaltene Remote- Managementsoftware IGEL Universal Management Suite (UMS). 4/6

5 PKI, digitale Signatur und Single Sign-on Prozessorkarten werden auch für die besonders sichere Authentifizierung im Rahmen einer Public Key Infrastructure (PKI) verwendet. Im Gegensatz zur traditionellen Verschlüsselung, bei der beide Partner des Legitimierungsverfahrens denselben Schlüssel benötigen, sind beim Public Key-Verfahren Verschlüsselungs- und Entschlüsselungscode verschieden. Der Entschlüsselungsprozess erfordert einen privaten und einen öffentlichen Schlüssel (Private and Public Key). Dadurch, dass der Public Key jedermann zugänglich ist, können verschlüsselte Informationen an beliebige Personen verschickt werden, die dann mit ihrem Private Key die Botschaft wieder entschlüsseln. Dieses Verfahren ermöglicht die Einführung einer digitalen Signatur zur Erstellung fälschungssicherer Unterschriften. Die digitale Signatur garantiert so die Echtheit von Dokumenten und schafft zugleich die Basis für eine sichere Authentifizierung und das zeitsparende Single Sign-on (SSO). SSO-Lösungen ermöglichen dem Benutzer nach dem einmaligen Nachweis seiner Identität den Zugriff auf alle für ihn freigegebenen Anwendungen und Ressourcen. Der Private Key muss selbstverständlich konsequent vertraulich gehalten werden. Gespeichert auf einer Smartcard ist sie natürlich wesentlich besser geschützt, als durch ein Passwort. Smartcards einfach sicherer IGEL Thin Clients bieten ideale Voraussetzungen für den Einsatz von Smartcards und eine sichere Zwei-Faktor-Authentifizierung mit Besitz- (Karte) und Wissenskomponente (PIN oder Passwort). Single Sign-on und Session Roaming sorgen zudem für mehr Produktivität bei der täglichen Computerarbeit. Welche Smartcard-Lösung jeweils die richtige ist, hängt prinzipiell vom geforderten Sicherheitsniveau ab. Zwar garantieren auch Smartcards keine 100-prozentige Sicherheit Memory-Karten lassen sich kopieren und Prozessorkarten können an Dritte weitergeben werden doch der kriminelle Aufwand, um sich unberechtigten Zugriff zu verschaffen, ist deutlich erhöht. Zudem muss eine Smartcard-Lösung nicht viel kosten, kann sich aber schnell rechnen. Schließlich ist es weit mehr als nur ärgerlich, wenn fahrlässig notierte Passwörter der Grund für Image- Schäden, Vertrauensverlust oder gesetzliche Strafen sind. 5/6

6 Das IGEL Universal Desktop-Konzept Ob Server Based Computing, virtuelle Desktops oder Cloud Computing die Universal Desktops von IGEL arbeiten mit unterschiedlichsten zentralen IT- Infrastrukturen zusammen. Für eine hohe Zukunftssicherheit sorgen insbesondere die leistungsfähige Hardware und Grafikperformance der Geräte sowie ihre laufend weiter entwickelte Firmware. Die Auswahl des passenden Modells kann bedarfsabhängig und kosteneffizient erfolgen dank diverser Bauformen, Betriebssysteme, alternativer Firmware- Ausstattungen (lokale Tools, Clients und Protokolle) und zahlreicher Hardware-Optionen. Nicht zuletzt überzeugen die IGEL Universal Desktops durch ihren minimalen Energieverbrauch, lange Einsatzzeiten und die im Lieferumfang enthaltene Remote- Managementlösung IGEL Universal Management Suite (UMS). Umfangreiche Peripherieunterstützung IGEL Universal Desktops lassen sich in verschiedenste Peripherieumgebungen einbinden. Mehrere USB-Ports, Audio- Ein- und -Ausgänge sowie mindestens eine DVI-I-Schnittstelle gehören zur Standardausstattung. Dank optionalem Y-Videokabel sind sämtliche Modelle Dualview-fähig, Widescreen-Formate werden ebenfalls unterstützt. Darüber hinaus bietet IGEL USB-Seriell- bzw. USB-Parallel-Adapter, optionale Sockelfüße sowie integrierte Smartcard-Reader und unterstützt externe Sicherheitslösungen. Letztere erweitern die Konnektivität um WLAN und/oder eine zusätzliche serielle- bzw. parallele Schnittstelle. Für einen räumlich flexiblen Einsatz sind neben VESA- Montagevorrichtungen auch Gummifüße für den horizontalen Betrieb erhältlich. IGEL UD5 PCIe- Steckplatz Mic-in Stereo-out Serielle Anschlüsse USB 2.0 RJ45 Ethernet PS/2-Tastatur Display Port DVI-I-Monitor Vorderseite: Zwei USB 2.0-Anschlüsse Stromversorgung DE UK FR Deutschland (Zentrale) GmbH Hanna-Kunath-Str. 31 D Bremen Deutschland Telefon +49 (0) Fax +49 (0) GroSSbritannien Ltd Merlin House Brunel Road Theale Reading Berkshire RG7 4AB United Kingdom Telefon +44 (0) Fax +44 (0) Frankreich France 57, Esplanade du Général de Gaulle PARIS LA DEFENSE CEDEX Telefon +33 (0) NL US SG Niederlande Netherlands Orteliusln BB Utrecht Telefon +31 (0) USA America, LLC 2106 Florence Avenue Cincinnati OH USA Telefon Fax Kostenfrei (nur US): GET IGEL Singapur Care of: C. Melchers GmbH & Co. Singapore Branch 101 Thomson Road # 24-01/05 United Square Singapur Telefon Fax info@igel.com CN Hongkong Care of: Melchers (H.K.) Ltd Shun Tak Centre West Tower Connaught Road C. Hongkong China Telefon Fax infohk@igel.com Beijing Care of: Melchers (H.K.) Ltd. Beijing Tower Room Changan Ave. (East) Peking China Telefon Fax infochina@igel.com Shanghai Care of: Melchers (H.K.) Ltd. 13 Floor East Ocean Centre 588 Yanan Road (East) Shanghai China Telefon Fax infochina@igel.com IGEL ist eine geschützte Marke der GmbH. Alle Hardware- und Software-Namen sind Marken oder eingetragene Marken der jeweiligen Hersteller. Alle sonstigen genannten oder anders erkennbaren Marken, eingetragenen Waren- und/oder Dienstleistungsmarken sind das Eigentum ihrer jeweiligen Inhaber. Änderungen und Irrtümer vorbehalten. info@igel.com I 02/ DE-47-1