1 Einführung Auswahl der 2FA Richtige Wahl des 2FA Typs Voraussetzungen für die 2FA Typen... 3

Transkript

1 Zwei Faktoren Authentifizierung_Phase 2 Inhalt 1 Einführung Auswahl der 2FA Richtige Wahl des 2FA Typs Voraussetzungen für die 2FA Typen Passwort Gültigkeit und Verzögerung der Deaktivierung Anlegen eines neuen Accounts Auswirkung der 2FA auf die Anmeldung der Benutzer Anmeldung mit Mobile ID Anmeldung mit SMS/TAN Anmeldung mit /tan Absender Adresse aus der 2FA Selbsttest für die Mobile ID eines Benutzers Erweiterte Reports Aussicht auf Phase Selbstpflege durch die Benutzer Änderung von Einstellungen Validierung von Mutationen Initialpassworte geschützt übertragen Weitere Verbesserungen Anhang Abbildungsverzeichnis Tabellenverzeichnis Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 1/11

2 1 Einführung In der zweiten Phase wird die Funktionalität der Zwei Faktoren Authentifizierung (2FA) aktiviert. Das bedeutet, dass ein Benutzer nach Aktivierung eines 2FA Typs die entsprechende Anmeldungsprozedur durchlaufen muss. 2 Auswahl der 2FA Für die Erhöhung der Sicherheit beim Einstieg ins Wholesale Portal hat Swisscom Wholesale drei neue Möglichkeiten geschaffen: 1. Mobile ID Ausgezeichnete Sicherheit Der Benutzer wird bei der Anmeldung aufgefordert, sich auf seinem Mobile Gerät mit seiner Mobile ID zu authentisieren. Sollten Sie das Angebot von Mobile ID noch nicht kennen finden Sie Infos dazu unter: 2. SMS/TAN Gute Sicherheit Der Benutzer wird bei der Anmeldung aufgefordert, ein Token zur Bestätigung einzugeben Das Token wird via SMS an das hinterlegte Mobile Gerät gesendet. 3. /tan Minimale Sicherheit Der Benutzer wird bei der Anmeldung aufgefordert, ein Token zur Bestätigung einzugeben Das Token wird via an die hinterlegte Adresse gesendet. 2.1 Richtige Wahl des 2FA Typs Die richtige Auswahl richtet sich nach den Kommunikationsmöglichkeiten, die ein Benutzer des Kunden nutzen kann. Das Bestreben muss sein, jeweils die höchstmögliche Sicherheit bei der Anmeldung zu nutzen. Abbildung 1, 2ter Faktor Bei Produktivsetzung der Phase 2 werden alle Accounts noch ohne 2FA Typ migriert. Die Accounts werden beim 2FA Typ ein "None" aktiv haben. Damit ist eine sanfte Umsetzung der 2FA gewährleistet. Sie als Superuser oder Admin können jedoch ab dem Ihre Benutzer jederzeit auf eine höhere Sicherheitsstufe setzen. 1. Im Optimalfall nutzen Ihre Benutzer bereits Mobile ID, dann sollten Sie unbedingt diese Sicherheitsstufe aktivieren. 2. Verfügen Ihre Benutzer über Mobile Geräte, jedoch ohne Mobile ID, dann sollten Sie die Stufe SMS/TAN aktivieren. 3. Verfügen Ihre Benutzer jedoch über kein Mobile Gerät, so werden Sie die minimale Stufe mit der /tan aktivieren müssen. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 2/11

3 Hinweise: A) Sobald Sie eine der neuen 2FA Typen gewählt haben, können Sie den Typ nicht mehr auf "None" zurückstellen. B) Wenn Sie neue Benutzer anlegen haben Sie neu nur noch die drei 2FA Typen zur Auswahl. Nutzen Sie für Ihre Benutzer immer die höchstmögliche Sicherheitsstufe. 2.2 Voraussetzungen für die 2FA Typen Folgende Voraussetzungen sind pro 2FA Typ notwendig. Das Superuser Tool wird Sie entsprechend auf fehlende Angaben aufmerksam machen. 2FA Typ Mussfelder 1. Mobile ID Last name / / Mobilephone 2. SMS/TAN Last name / / Mobilephone 3. /tan Last name / Tabelle 1, Mussfelder für 2FA Typen Die gelb markierte Auswahl des User Types ist nur für den Superuser sichtbar. Abbildung 2, Mussfelder für 2ter Faktor = Mobile ID Abbildung 3, Mussfelder für 2ter Faktor = SMS/TAN Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 3/11

4 Abbildung 4, Mussfelder für 2ter Faktor = /tan 3 Passwort Gültigkeit und Verzögerung der Deaktivierung In der Phase 2 wird die Passwort Gültigkeit und die Verzögerung der Deaktivierung noch nicht hart vorgegeben. Dies wird erst in Phase 3 erfolgen. Allerdings bitten wir Sie, dies bei neuen Accounts oder Mutationen auf bestehenden Accounts bereits jetzt zu berücksichtigen. Und die beiden Werte entsprechend nur noch auf 120 Tage zu setzen. 4 Anlegen eines neuen Accounts Das Anlegen eines neuen Accounts erfolgt gleich wie heute, mit den in Kapitel 1 genannten Änderungen bei der Wahl des 2FA Typs. Die Erfassung der Mobile Nummer ist ja bereits seit dem möglich. 5 Auswirkung der 2FA auf die Anmeldung der Benutzer Was ändert sich nun für den Benutzer beim Anmelden im Wholesale Portal konkret. Der Benutzer meldet sich zuerst wie bisher mit seinem Synonym oder PUI und dem Passwort an und bestätigt mit <Login>. Abbildung 5, Benutzeranmeldung Start Der weitere Ablauf unterscheidet sich je nach verwendetem 2FA Typ. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 4/11

5 5.1 Anmeldung mit Mobile ID Nach dem Login wird dem Benutzer folgende Angabe angezeigt. Abbildung 6, Benutzeranmeldung Schritt 1, Mobile ID Nun erhält der Benutzer auf dem Mobile Gerät die Aufforderung seine Mobile ID einzugeben. Abbildung 7, Benutzeranmeldung Schritt 2a, Mobile ID Weiter mit <OK> gelangt der Benutzer zur Erfassung des Mobile ID PIN. Abbildung 8, Benutzeranmeldung Schritt 2b, Mobile ID Die Eingabe wiederum mit <OK> bestätigen. Fertig, das Portal öffnet sich. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 5/11

6 5.2 Anmeldung mit SMS/TAN Nach dem Login wird dem Benutzer folgende Angabe angezeigt. Abbildung 9, Benutzeranmeldung Schritt 1, SMS/TAN Nun erhält der Benutzer auf dem Mobile Gerät eine SMS mit dem Token. Abbildung 10, Benutzeranmeldung Schritt 2, SMS/TAN Dieses Token in die Maske eingeben und mit <Token prüfen> abschliessen. Fertig, das Portal öffnet sich. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 6/11

7 5.3 Anmeldung mit /tan Nach dem Login wird dem Benutzer folgende Angabe angezeigt. Abbildung 11, Benutzeranmeldung Schritt 1, /tan Nun erhält der Benutzer auf sein Konto ein Mail mit dem Token. Abbildung 12, Benutzeranmeldung Schritt 2, /tan Dieses Token in die Maske eingeben und mit <Token prüfen> abschliessen. Fertig, das Portal öffnet sich. 6 Absender Adresse aus der 2FA Eventuell nutzen Sie zur Sicherheit Ihres eigenen Netzwerks Filter für ankommende s. Die aus der 2FA stammenden /tan besitzen folgende Adresse: NoReply.ServiceDeskWholesale@swisscom.com Damit können Sie an ihrem Mail Eingang prüfen, ob ein aus der 2FA des Swisscom Wholesale Portals stammt oder nicht. Auch die nach Umsetzung der Phase 3 versendeten s für die Validierung von Änderungen werden mit dieser Adresse versandt werden. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 7/11

8 7 Selbsttest für die Mobile ID eines Benutzers Ein Benutzer kann für seine Mobile Nummer einen Test machen, um zu prüfen ob die Mobile ID korrekt funktioniert. Dazu dient folgender Link: Auf der Webseite fahren Sie fort mit <Mobile ID testen>. Der Dialog danach ist eindeutig und führt Sie über eine SMS Bestätigung zur Eingabe der Mobile ID. 8 Erweiterte Reports Weil das Erfassen der Adresse und der Mobile Nummer für die nächste Realisierungsphase wichtig ist, haben Sie seit dem die Möglichkeit, Ihre Accounts in einer Tabelle zu exportieren. So können Sie den Stand der von Ihnen bewirtschafteten Benutzer einfach prüfen. Abbildung 13, Benutzer Reports Mit <export as csv> erhalten Sie maximal die Anzahl Einträge, die unter "Max. number of results" definiert sind. Sie können die Anzahl im entsprechenden Feld erhöhen. Oder Sie nutzen <export as csv (no row limit)> um gleich alle ihre Benutzer zu erhalten. Abbildung 14, Beispiel Benutzer Report Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 8/11

9 9 Aussicht auf Phase 3 Die Einführung der Phase 3 ist für Ende Mai 2019 geplant. Details dazu werden Ihnen wiederum vorzeitig kommuniziert. In den folgenden Kapiteln finden Sie eine Vorausschau, woran wir zurzeit arbeiten. 9.1 Selbstpflege durch die Benutzer Analog der Namens- oder Passwortänderung in der Einstiegsmaske werden in Phase 3 die Selbstpflege der neuen Benutzerangaben durch die Benutzer ermöglicht. Die Benutzer werden in der Lage sein, ihre Adresse und ihre Mobile Nummer selber zu pflegen. Noch ist nicht klar, ob die Wahl der 2FA Methode auch für den Benutzer freigegeben werden kann. Abbildung 15, Neue Selbstpflege 9.2 Änderung von Einstellungen Mit der Umsetzung der Phase 3 ändern sich einige Einstellungen: - Die verbliebenen Benutzer, die noch den 2FA Typ "None" aufweisen, werden auf den 2FA Typ "SMS/TAN" gesetzt. Ausnahmen für das Setzen der Minimalstufe " /tan oder gar das Belassen auf "None" müssen durch die Superuser bei ihrem Accounter von Wholesale beantragt und begründet werden. - Für alle Benutzer (Superuser, Admin und User) werden die beiden Werte für "Password validity" und "Deactivation delay" auf 120 Tage gesetzt. - Die Service Accounts für Webservices sind von Phase 3 nicht betroffen. Sie sind bereits entkoppelt und werden durch Swisscom gepflegt. Auswirkungen: Wenn bei der Produktivsetzung von Phase 3 ein Benutzer noch über keine genügenden Angaben verfügt, wird er beim nächsten Einstieg aufgefordert werden, seine noch fehlenden Angaben in mittels der oben erwähnten Selbstpflege zu ergänzen. Natürlich können die Benutzer schon vor der Produktivsetzung der Phase 3 durch die Superuser und Admin entsprechend ergänzt werden. Das würde die Einführung für die Benutzer sicher erleichtern. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 9/11

10 9.3 Validierung von Mutationen Mit Phase 3 wird bei Änderungen auf dem User Account (Benutzername, Passwort, Adresse, Mobile Nummer, 2FA Methode) eine Validierungsmeldung generiert werden. Ausnahmen bilden Änderungen, die durch einen Superuser, Admin oder durch Swisscom durchgeführt wurden. Mit dieser Validierung kann der Benutzer sofort erkennen, falls ein Fremder versucht seinen Account zu ändern. 9.4 Initialpassworte geschützt übertragen Initialpassworte werden neu direkt an den Benutzer übertragen, ohne dass der Erzeuger sie sieht. Dazu wird ein SMS an die hinterlegte Mobile Nummer oder falls keine solche vorhanden ist, ein Mail an die hinterlegte Adresse versandt. Eine entsprechende Anzeige wird den Superuser oder Admin auf die versandte Information hinweisen. 10 Weitere Verbesserungen In Anbetracht der steten Sicherheitsgefahren werden wir von Swisscom Wholesale noch weitere Schritte unternehmen, um Ihre und unsere Daten bestmöglich zu schützen. Zudem wollen wir demnächst auch das Look & Feel des Superuser Tools auffrischen und es an die Oberfläche des Portals angleichen. Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 10/11

11 11 Anhang 11.1 Abbildungsverzeichnis Abbildung 1, 2ter Faktor... 2 Abbildung 2, Mussfelder für 2ter Faktor = Mobile ID... 3 Abbildung 3, Mussfelder für 2ter Faktor = SMS/TAN... 3 Abbildung 4, Mussfelder für 2ter Faktor = /tan... 4 Abbildung 5, Benutzeranmeldung Start... 4 Abbildung 6, Benutzeranmeldung Schritt 1, Mobile ID... 5 Abbildung 7, Benutzeranmeldung Schritt 2a, Mobile ID... 5 Abbildung 8, Benutzeranmeldung Schritt 2b, Mobile ID... 5 Abbildung 9, Benutzeranmeldung Schritt 1, SMS/TAN... 6 Abbildung 10, Benutzeranmeldung Schritt 2, SMS/TAN... 6 Abbildung 11, Benutzeranmeldung Schritt 1, /tan... 7 Abbildung 12, Benutzeranmeldung Schritt 2, /tan... 7 Abbildung 13, Benutzer Reports... 8 Abbildung 14, Beispiel Benutzer Report... 8 Abbildung 15, Neue Selbstpflege Tabellenverzeichnis Tabelle 1, Mussfelder für 2FA Typen... 3 Swisscom (Schweiz) AG Titel: Zwei Faktoren Authentifizierung_Phase 2 11/11