Technische Universität Dresden Fakultät Informatik. Diplomarbeit

Größe: px
Ab Seite anzeigen:

Download "Technische Universität Dresden Fakultät Informatik. Diplomarbeit"

Transkript

1 Technische Universität Dresden Fakultät Informatik Diplomarbeit Konsolidierung mehrerer Zugangskontrollsysteme mit dem Ziel eines zentralen Identitäts- und Zugangskontrollsystems Jan Starke Matrikelnummer Eingereicht am: Verantwortlicher Hochschullehrer: Prof. Dr. rer. nat. habil. Dr. h. c. Alexander Schill 1. Gutachter: Dr. rer. nat. Dietbert Gütter 2. Gutachter: Dipl.-Ing. Matthias Herber

2

3 Erklärung Hiermit erkläre ich, dass ich die vorliegende Diplomarbeit in allen Teilen selbständig verfasst und keine anderen als die angegebenen Quellen und Hilfsmittel (einschließlich elektronischer Medien und Online-Quellen) benutzt habe. Alle wörtlich oder sinngemäß übernommenen Textstellen habe ich als solche kenntlich gemacht. Name: Ort, Datum: Unterschrift:

4

5 Inhaltsverzeichnis 1 Einführung und Abgrenzung der Arbeit Ziel der Arbeit Inhaltlicher Überblick Begriffe Konzepte Identity Management und Access Management Phasen der Zugriffskontrolle Begriff der Identität Identity Management Process Gründe für zentrale Identitätsverwaltung Identifizierung und Authentifizierung Zugriffsschutz Technologien im Bereich Identitäts- und Zugriffskontrollmanagement Speichern von Passwörtern Authentifizierungsprotokolle und -Frameworks Identifikatoren Speichern von Identitäten Lightweight Directory Access Protocol Nachfolger von LDAP Beschreibung des Beispielnetzwerks Nutzer des Netzwerks Ressourcen Ziele der Umstellung Rechtsgrundlage Schutzziele Zu erwartende Veränderungen Implementierung der Benutzerverwaltung Sun Identity Manager als Metaverzeichnis Datenbanken und IDM Kerberos OpenLDAP und Kerberos Konfiguration von SPML LDAP-Authentifizierung Versionskontrolle mit Subversion Applicationserver Tomcat Solaris, PAM und NFS Analyse der Implementierung Datenschutz Sicherheit Zusätzlich benötigte Dienste Zusammenfassung und Ausblick Abkürzungsverzeichnis 81 Quellen- und Literaturverzeichnis 86 Tabellenverzeichnis 87 Abbildungsverzeichnis 87

6 Verzeichnis der Listings 87 Anhang 88 A Konfigurationsdateien 88 A.1 /etc/tomcat5/conf/server.xml A.2 /etc/pam.conf A.3 Erweiterung der User Form:LDAPUserForm A.4 Konfigurationsobjekt SPMLPerson A.5 Konfigurationsobjekt spml2personform B Quellcodes 97 B.1 Passwortspeicherung mit MySQL B.2 LDAP B.3 Scripted JDBC und MySQL B.4 Shell Script: MIT Kerberos B.5 Provisioning mit SPML C Beispieldaten 109 C.1 Datensatz eines Benutzers D Abbildungen 110 D.1 Resource Schema einer LDAP-Resource mit NIS-Attributen

7 1 Einführung und Abgrenzung der Arbeit Zugangskontrollsysteme in Netzwerken werden genutzt, um sicherzustellen, dass nur bestimmte Personen bestimmte Netzwerkressourcen nutzen können. Dazu sind drei wichtige Voraussetzungen notwendig: 1. Identitätsmanagement: Es ist notwendig, die einzelnen Nutzer des Netzwerks identifizieren zu können, weil unterschiedliche Personen verschiedene Zugriffsbefugnisse haben. In diesem Rahmen muss auch die Authentizität der Identität sichergestellt werden. 2. Berechtigungen: Für jede Person muss eine Menge von Regeln existieren, die angeben, welche Ressource in welchem Umfang genutzt werden darf. Alle Komponenten des Netzwerks müssen die Regeln umsetzen. 3. Konsistenz: In der Praxis existiert für jede Person mehr als eine Identität im Netzwerk; entsprechend existieren auch mehrere, verschiedene Regelwerke für eine Person. Es ist notwendig, dass sowohl die Identitäten selbst als auch die Regeln immer zueinander konsistent sind. Die Umsetzung der ersten beiden Forderungen ist technisch problemlos möglich. Die einzige Herausforderung hier besteht darin, das richtige Datenformat für die Identität und die Regeln zu finden und sicherzustellen, dass die Regeln umgesetzt werden. Es bietet praktisch jeder netzwerkbasierte Dienst eine eigene Benutzer- und Rechteverwaltung an. Genau dieses umfangreiche Angebot ist das Problem bei der Umsetzung der dritten Forderung. Jeder Nutzer hat für jede zu nutzende Ressource einen Benutzernamen und ein Passwort, der Administrator muss für jede Ressource extra die Berechtigungen verwalten. Dadurch entsteht die technische Möglichkeit von Inkonsistenzen, die die Sicherheit des Gesamtsystems verschlechtern: Security is a chain; it s only as secure as the weakest link [Sch04]. 1.1 Ziel der Arbeit Das Ziel der Arbeit ist, ein System zu entwickeln, dass die drei oben genannten Forderungen erfüllt. Der Fokus soll einerseits auf die Konsistenz der Daten gelegt werden. Durch zentrale Speicherung der Identitäten soll erreicht werden, dass Inkonsistenzen vermieden werden. Weiterhin soll es möglich sein, jede beliebige Netzwerkressource mit dem zentralen Identitäts- und Zugangskontrollsystem zu verwalten. Das entwickelte Konzept der Benutzerverwaltung ist sowohl allgemein als auch an einem Beispiel zu betrachten. Das bedeutet, dass anhand konkreter Produkte die Einrichung sowohl der zentralen Benutzerverwaltung als auch der Ressourcenanbindung gezeigt werden soll. Es müssen sowohl die Wartbarkeit als auch die Sicherheit des Systems untersucht werden. Zusätzlich ist zu untersuchen, ob das vorgestellte System datenschutzkonform betrieben werden kann. 1.2 Inhaltlicher Überblick Im Rahmen der Arbeit wird ein Konzept für eine zentrale Benutzerverwaltung entwickelt, das ein Metaverzeichnis, ein Verzeichnis und ein Ticket-basiertes Single Sign On (SSO)-System kombiniert. Es wird am Beispiel konkreter Softwareprodukte (Sun Identity Manager, OpenLPAP, MIT Kerberos 5) gezeigt, dass die Integration beliebiger Ressourcen in diese Struktur möglich ist und dass dadurch Administrationsaufwand und Kosten verringert und die Sicherheit erhöht werden. In Abschnitt wird gezeigt, dass die Modellierung von Geschäftsprozessen für die Konsolidierung von Zugangskontrollsystemen dringend notwendig ist. Die Geschäftsprozessmodellierung ist aber nicht Thema dieser Arbeit und wird daher inhaltlich nicht weiter betrachtet. Aus diesem Grund werden keine Verfahren für die Festlegung von Zugriffsrechten beschrieben; wohl aber für die Umsetzung. Der Autor betrachtet sowohl die Geschäftsprozessmodellierung als auch die Festlegung, welche Person welche Zugriffsrechte hat, als bereits abgeschlossene Phasen der Konsolidierung. 1

8 Anschließend werden aktuelle Technologien für das Identitäts- und Zutrittskontrollmanagement vorgestellt. Dabei wird der Fokus auf Technologien gelegt, die in vielen Systemen bereits erfolgreich eingesetzt werden, damit ein Gesamtsystem mit möglichst guter Interoperabilität entsteht. Aus diesem Angebot werden einige Technologien und Verfahren ausgewählt, die zur Implementierung des zentralen Identitätsmanagementsystems verwendet werden. Bevor das System implementiert wird, beschreibt der Autor in Abschnitt 4 ein Beispielnetzwerk, da die Eigenschaften eines neuen Identitätsmanagementkonzepts nicht an einem abstrakten System untersucht werden können. Um trotzdem größtmögliche Allgemeinheit zu erreichen, werden viele verschiedene Arten von Teilsystemen betrachtet (vgl. Abschnitt 4.2), von denen jeweils ein konkreter Vertreter in das Gesamtsystem eingebunden wird. Dadurch soll die größtmögliche Übertragbarkeit der Ergebnisse auf konkrete Netzwerke ermöglicht werden. Die Arbeit wird mit einer Betrachtung der Eigenschaften sowohl des implementierten Systems als auch des zu Grunde liegenden Konzepts abgeschlossen. Dies beinhaltet auch eine Spekulation über die weitere Entwicklung der Technologien in diesem Umfeld und die Möglichkeiten, das hier vorgestellte Konzept auch zukünftig nach modernen Maßstäben implementieren zu können. 1.3 Begriffe In dieser Arbeit werden Begriffe benutzt, die in anderen Kontexten zum Teil eine andere Bedeutung haben können. Aus diesem Grund werden nachfolgend einige in dieser Arbeit verwendete Begriffe eingeführt und deren Bedeutung erklärt. Benutzer: Ein Benutzer ist die abstrakte Sicht auf das Aktivum, dass den Zugriff auf eine Ressource durchführt. Die technische Umsetzung eines Benutzers ist stets ein Prozess, wobei unter dem Begriff des Benutzers sowohl der Prozess als auch die Person, die den Prozess gestartet hat, gemeint sind. Wenn in der Arbeit von einer Person die Rede ist, dann ist immer ein Mensch gemeint. Organisation: Eine Organisation ist der Kontext, in dem Benutzer verwaltet werden. In der Praxis sind das hauptsächlich Unternehmen oder Behörden. In der Fachliteratur triff man häufig den Begriff Service Provider. Darunter ist eine Organisation zu verstehen, die Dienste für eine nicht geschlossene Benutzergruppe erbringt, wie zum Beispiel ein werbefinanziertes -Konto. Im Rahmen dieser Arbeit werden jedoch nur Organisationen betrachtet, deren Ressourcen nicht öffentlich, sondern nur für eine geschlossene Benutzergruppe zugänglich sind. Shared Secret: Wissen, über das genau zwei Kommunikationspartner verfügen, wird als Shared Secret bezeichnet. Das kann beispielsweise ein symmetrischer Schlüssel sein. Credential: Bei jeder Authentifizierung ist ein Beglaubigungsnachweis erforderlich. In der (nicht nur englischsprachigen) Fachliteratur wird der Begriff Credential häufig als Abstraktion für Passwort verwendet. In dieser Arbeit ist Credential ein Oberbegriff für die Datenmenge, die für die Authentifizierung benutzt wird. Das beinhaltet u.a. biometrische Merkmale, Chipkarten und Passwörter. 2 Konzepte Identity Management und Access Management 2.1 Phasen der Zugriffskontrolle Ein Netzwerk ist, einfach formuliert, eine Menge von Rechnern, die dazu in der Lage sind, untereinander Daten auszutauschen. Wie in [Tan00] ausführlich beschrieben ist, werden Netzwerke in Unternehmen eingesetzt, um Ressourcen gemeinsam zu nutzen, hohe Zuverlässigkeit zu gewähren und Kosten einzusparen. Da mittlerweile nahezu jedes Unternehmen ein eigenes Netzwerk betreibt, gehört es mittlerweile zum Alltag, dass Informationen und Dokumente zwischen 2

9 Unternehmen per , FTP oder HTTP ausgetauscht werden. In Bereichen wie etwa der Fertigungsindustrie werden Warenwirtschaftssysteme eingesetzt, die sich über mehrere Unternehmen erstrecken, so dass eine gesamte Wertschöpfungskette von der Gewinnung der Rohmaterialien bis zum Kundendienst abgebildet werden kann. Hier stellen Unternehmen ihre Netzwerkressourcen nicht nur den eigenen Mitarbeitern, sondern auch anderen Unternehmen zur Verfügung. In diesem komplexen Umfeld muss sichergestellt werden, dass ein Mitarbeiter auf Ressourcen (interne oder externe) genau im Rahmen seiner Tätigkeit zugreifen können muss. Diese Anforderung wird durch Zugriffskontrolle realisiert. Ein Zugriffskontrollsystem kann als Funktion von der Menge der Nutzer auf die Menge der Zugriffsrechte betrachtet werden. Der Zugriff auf eine Netzwerkressource wird kontrolliert, indem zunächst ermittelt wird, welcher Nutzer die Ressource verwendet möchte. Anschließend wird die Funktion auf den Nutzer angewendet und es wird überprüft, ob der erwünscht Zugriff im Funktionswert enthalten ist. Zugriffskontrolle wird demnach in den zwei Phasen 1. Identifizierung Authentifizierung 2. Umsetzen von Zugriffsrechten durchgeführt. In den nachfolgenden Abschnitten werden die Grundideen beider Phasen erläutert, ohne auf Möglichkeiten der technischen Umsetzung einzugehen. Im Abschnitt 3 werden aktuelle Technologien beschrieben, die zur Realisierung eines Zugriffskontrollsystems genutzt werden können. 2.2 Begriff der Identität Philosophische Betrachtungen Die etymologische Herkunft des Wortes Identität kann bis auf das lateinische Adjektiv īdem zurückverfolgt werden ([KS02]). Dieses bedeutet der-, die-, dasselbe, der gleiche und wird im lat. Sprachgebrauch besonders zur Bezeichnung der Einheit des Subjekts [SPS94] genutzt. Das philosophische Problem der Identität eines Objekts (Satz der Identität des Ununterscheidbaren, principium identitatis indiscernibilium) wird bereits in der griechischen Antike betrachtet. Die moderne Auffassung, was unter Identität zu verstehen ist, entstammt aus der Arbeit Discours de Métaphysique von Wilhelm Gottfried Leibniz. Hierin gibt Leibniz dem Theologen und Philosophen Thomas von Aquin Recht in der Behauptung quod ibi omne individuum sit species infima ( Alle Unterschiede sind wesentlich, unveränderlich und vollkommen deutlich [Spe92]). Außerdem wird diese Aussage auf alle Substanzen erweitert ( est vrai de toutes les substances [Lei86]), was sehr bedeutend ist, da Aquin sich auf nicht materielle Objekte ( des anges ou intelligences [Lei86]) beschränkt hatte. Heute wird dieses Leibniz-Gesetz genannte Prinzip vereinfacht mit der Aussage, dass zwei Objekt identisch sind, wenn all Ihre Eigenschaften gleich sind. Mathematisch lässt sich das in der Formel F(Fx Fy) x = y darstellen, wobei hier F eine Funktion ist, die ein Objekt auf eine seiner Eigenschaften abbildet und x und y die zu vergleichenden Objekte sind. Die Frage, ob x und y überhaupt identisch sein können im Sinne der Definition (gleiche Eigenschaften), obwohl sie doch verschiedene Namen haben, erscheint etwas spöttisch, ist aber der Punkt, worüber gegenwärtig Uneinigkeit in der Fachwelt herrscht. Betrachtet man x und y als Namen für Speicherplätze, dann unterscheiden sich die darin gespeicherten Werte offensichtlich durch ihre (physische Position). Wenn man sowohl Zeit als auch Ort in die Menge der zu vergleichenden Eigenschaften der Objekt einbezieht, wird die Definition der Identität deutlich restriktiver, denn dann können keine zwei Objekte identisch sein (vgl. Abbildung 2.1(a)). Alternativ könnte man auch x und y nur als von den Objekten losgelöste Referenzen (ähnlich einer Adresse) betrachten. Nach einer Anpassung des Typs von F ist hier sogar mit der o.g. Einschränkung (Zeit und Ort) eine Identität der von x und y referenzierten Objekte möglich, da ja beide Referenzen auf genau ein Objekt verweisen können (vgl. Abbildung 2.1(b) und (c)). 3

10 x y x y x y (a) zwei Objekte (b) Referenzen auf zwei Objekte Abbildung 2.1: Identität zweier Objekte (c) zwei Referenzen auf ein Objekt In der Praxis der Zugangskontrolle in Rechnernetzen werden Objekte und Subjekte über ihre Namen identifiziert, d.h. die bevorzugte Variante, zwei Objekte voneinander zu unterscheiden ist, die Namen der Objekte zu vergleichen. Interessant in diesem Zusammenhang ist jedoch, dass Objekte in Rechnernetzen kopiert werden können, sodass ein Objekt zur gleichen Zeit an verschiedenen Orten existieren kann. Der Speicherort bestimmter Objekte ist in diesem Kontext keine Eigenschaft, die zum Bestimmen der Identität von Objekten genutzt wird. Das scheint insgesamt widersprüchlich zu sein. Gemäß der in dieser Arbeit verwendeten Definition einer digitalen Identität (vgl. Abschnitt 2.2.3) ist der Speicherort bei der Unterscheidung zweier Identitäten ohne Bedeutung. Zur Identifikation von Objekten wird ein Identifikator benutzt, der einen atomaren Wert darstellt. Alle anderen Eigenschaften von Objekten werden insofern als losgelöst von der Identität betrachtet, dass sie nicht zur eindeutigen Unterscheidung von Objekten geeignet sind Identität von Personen Zur Bestimmung der Identität von Personen werden je nach Kontext unterschiedliche Merkmale der Person genutzt: 4 Der Vorname einer Person wird häufig im familiären Umfeld und Freundeskreis genutzt. Erste Probleme treten hier auf, wenn der Vorname nicht eindeutig ist. Beim Umgang mit weniger nahe stehenden Personen (z.b. unter Kollegen) wird häufig eher der Nachname zur Identifikation genutzt. Falls dieser nicht eindeutig ist insbesondere nicht im direkten Gespräch, sondern bei der Verwendung in der 3. Person wird der Vorname mit genutzt. Ansonsten gilt es im deutschsprachigen Raum als unfreundlich, fremde Personen ohne Absprache beim Vornamen zu nennen. Es ist zu beachten, dass der Aufbau des Namens als auch die kontextspezifische Verwendung einzelner Namensbestandteile zwischen einzelnen Kulturen stark variiert. Das ist wichtig bei der Nutzung von Namen für die Identifikation in Rechnernetzen. Da Namen allein nicht immer eindeutig sind, vor allem, wenn es um den Umgang mit vielen Identitäten geht (z.b. im Gesundheitsumfeld), wird häufig eine Kombination aus Name, Vorname, Geburtsdatum und Geburtsort als Identifikationsmerkmal verwendet. Das ist insbesondere dann günstig, wenn die Identität der Person nur für kurze Zeit wichtig ist, z.b. in Blutspendezentren. Hier ist es teilweise üblich, einen Teil der o.g. Kombination, z.b. das Geburtsdatum, zur Authentifikation zu nutzen. Dieses Schema kann allerdings nicht verwendet werden, wenn der Vorwurf des Missbrauchs dieser Daten vermieden werden soll. Ein Bereich, in dem dieses Problem beispielsweise auftritt, ist das Prüfungsamt einer Hochschule. Im Idealfall kann ein Dozent, der eine Prüfung korrigiert, nur eine Zuordnung der Arbeit zu einer Matrikelnummer treffen, was dazu führt, dass die Bewertung einer Arbeit nicht davon beeinflusst werden kann, ob der Dozent den Studenten mehr oder weniger mag. Auch im Teilbereichen der Krankenkassen werden Nummern genutzt, um Kunden zu verwalten, da Mitarbeiter der Krankenkassen zwar Abrechnung der Ärzte und Krankenhäuser bekommen, jedoch keine Rückschlüsse auf den Gesundheitszustand einer konkreten Person ziehen können dürfen. Im Bereich der Personalverwaltung wird nahezu ausschließlich eine Mitarbeiternummer zur Identifikation verwendet, was u.a. deswegen sehr günstig ist, weil es das Problem der nicht

11 eindeutigen Namen löst. Außerdem kann so sichergestellt werden, dass nur bestimmte Mitarbeiter der Personalabteilung vertrauenswürdige Daten (z.b. Gehalt) konkreten Kollegen zuordnen können. Die Behörden der Bundesrepublik Deutschland nutzen Daten, die auf den Personalausweis gedruckt sind, zur Identifikation. Das kann die Personalausweisnummer sein, oder eine Kombination aus Detaildaten wie Name, Vorname und Hauptwohnsitz. Der Ausweis selbst wird hierbei zur Authentifizierung genutzt. Es ließen sich noch weitere Beispiele nennen, wie Personen identifiziert werden. Interessant ist ein Muster, dass man jedoch überall entdeckt, wenn Personen eindeutig identifiziert werden müssen: These: Zur Identifikation einer konkreten Person aus einer großen Menge von Personen ist ein eindeutiger, atomarer Wert notwendig. Mit Eindeutigkeit ist hier gemeint, dass die Relation zwischen Identifikationsmerkmal und Person rechtseindeutig sein muss. Zusätzlich sollte diese Relation linkseindeutig sein, damit zu einer konkreten Person der Identifikator bestimmt werden kann. Jede Person sollte beispielsweise nicht mehr als eine Sozialversicherungsnummer haben. Die Forderung, dass der Wert atomar sein muss, ergibt sich aus der Forderung nach Linkseindeutigkeit. Für den Fall, dass zur Identifikation eine Kombination aus n Merkmalen genutzt wird, ist der eindeutige, atomare Identifikator ein n-tupel. Nur ein Teil des Tupels kann nicht als Identifikator genutzt werden. Die Person ist von Ihrem Identifikator voll funktional abhängig Digitale Identität Aus technischer Sicht ist eine Identität zunächst ein Datensatz oder eine Menge von Datensätzen, die gemäß [Cho04] folgende Daten enthalten müssen: 1. Identitifier: atomares Feld, das genutzt wird, um eine Identifikation durchzuführen 2. Credentials: Daten, die für die Authentifizierung benötigt werden. Das könnte beispielsweise ein Passwort sein, ein X.509-Zertifikat oder gespeicherte biometrische Merkmale 3. Core Attributes: Eigenschaften, die die Identität näher beschreiben. Chong nennt hier Adresse und Telefonnummer als typische Beispiele 4. Context-Specific Attributes: Eigenschaften, die in bestimmten Kontexten zur näheren Beschreibung der Identität hilfreich sind. Typisches Beispiel sind Daten, die nur von der Personalverwaltung benötigt werden. 2.3 Identity Management Process Die Entscheidung, in einem Netzwerk ein zentrales Identitätsmanagement einzuführen, ist der erste Schritt in einem Prozess, dessen Aufgabe die ständige Verbesserung des Identitätsmanagement ist. In der Praxis wird man diesen Prozess nie zu Ende führen können, weil das Ziel ein optimal an die Organisation angepasstes Identitätsmanagementsystem nicht erreichbar ist. Das liegt in der Natur der Geschäftswelt begründet, dass Anforderungen an Netzwerke ständig verändert werden. Der Identity Management Process und seine Probleme werden in diesem Abschnitt beschrieben Lebenszyklus einer digitalen Identität Die digitale Identität als Datensatz durchläuft einen Lebenszyklus, der prinzipiell in 5 Abschnitte eingeteilt werden kann (siehe Abbildung 2.2, vgl. [Win05]). Bei der Bezeichung der einzelnen Abschnitte wurde die englische Bezeichnung aus der Fachliteratur übernommen, da die entsprechenden Termini auch als Funktionsbezeichnung in konkreten Softwareprodukten Verwendung finden. Nachfolgend werden die Abschnitte in der Reihenfolge, in der sie durchlaufen werden, beschrieben. 5

12 Provision Propagate Use Deprovision Maintain Abbildung 2.2: Lebenszyklus einer digitalen Identität, entlehnt nach [Win05], S. 99 Provision Während dieser Phase wird der Datensatz, der die digitale Identität beschreibt, angelegt und dessen Datenfelder (bzw. Attribute) mit Werten gefüllt. Es wird in jedem Fall ein Benutzername festgelegt und eventuell ein Identifikator, den das System intern nutzt, mit dem Datensatz verknüpft. Ebenfalls notwendig ist die Speicherung eines Authentifizierungsmerkmals, wie etwa eines Passworts oder eines X.509-Zertifikats. Je nachdem, wie die Identität später genutzt werden soll, werden zusätzliche Informationen wie Vorname, Nachname, -Adresse, Telefonnummer, Adresse o.ä. aufgenommen. Es wird festgelegt, welche Berechtigungen mit der Identität verknüpft sind und dies entsprechend im System eingetragen. Propagate Anschließend werden die Änderungen an alle Systeme, die die digitalen Identitäten benötigen, verteilt. Je nach Art des Systems kann das bedeuten, dass Kopien der digitalen Identität verteilt werden (wie beispielsweise bei NIS). Es ist auch möglich, dass nur Nachrichten verschickt werden und sich die angeschlossen Systemen bei Bedarf die nötigen Daten nachladen. Bei einigen Systemen (bspw. bei LDAP-Authentifizierung mit nur einem Server) kann diese Phase u.u. komplett entfallen. Use Dies ist die Phase, in der die digitale Identität ihrem Zweck entsprechend genutzt wird. In den meisten Fällen ist das die Identifizierung und Authentifizierung von Benutzern, die eine Ressource nutzen wollen. Maintain In der Praxis treten regelmäßig Änderungen an der gewünschten Nutzung der digitalen Identität auf. Das können u.a. Änderungen von Authentifizierungsmerkmalen, z.b. Passwörtern Zugriffrechten Adress- und Kontaktdaten sein. Es ist erforderlich, dass die Änderungen wieder an alle angeschlossen Systeme verteilt werden, daher schließt sich an den Maintain-Abschnitt direkt der Propagate-Abschnitt an. Während der Lebensdauer einer digitalen Identität kann der Zyklus Propate-Use-Maintain beliebig oft durchlaufen werden. Deprovision Wenn die digitale Identität nicht mehr benötigt wird, weil z.b. die zugehörige reale Person aus der Organisation ausgeschieden ist, dann wird der Lebenszyklus mit dem Deprovision- Abschnitt abgeschlossen. Das bedeutet nicht zwangsläufig, dass der Datensatz komplett gelöscht wird. In vielen Fällen z.b. um Revisionssicherheit zu gewährleisten wird die digitale Identität noch benötigt. Es ist aber trotzdem erwünscht, dass sie nicht mehr für die Authentifizierung genutzt werden kann, also sollte das entsprechende Benutzerkonto gesperrt werden. Erst, wenn die Identität auch für informative Zwecke nicht mehr benötigt wird, kann der Datensatz aus dem System gelöscht werden. Die einzelnen Abschnitte im oben beschriebenen Lebenszyklus unterliegen gesetzlichen Regelungen, die bei der praktischen Umsetzung zu beachten sind (vgl. Abschnitt 4.4). 6

13 2.3.2 Geschäftsprozesse Identitätsdaten sind kein Selbstzweck, sondern werden benötigt, um Geschäftsprozesse zu unterstützen [Win05]. Dass bei der Kontrolle des Zugriffs auf Ressourcen Identitätsdaten benötigt werden ist offensichtlich. Die Geschäftsprozesse eines Unternehmens oder einer Einrichtung können grob in zwei Bereiche aufgeteilt werden. Kernprozesse Zu diesem Bereich werden Geschäftsprozesse gezählt, durch die die eigentliche Aufgabe der Organisation realisiert wird. In einem Systemhaus gehören z.b. die Abgabe eines Angebots bei einer Ausschreibung oder die Einrichtung eines Server-Systems zu diesem Bereich. In diesem Beispiel könnten folgende Identitätsdaten Verwendung finden: Kundendaten: Offensichtlich werden bei beiden Vorgängen Daten des Kunden, z.b. die Adresse, verwendet. Im Fall der Ausschreibung könnte zusätzlich interessant sein, welche Präferenzen der Auftraggeber in Bezug auf die ausgeschriebene Leistung hat. Die Nutzung solcher Daten gehört in den Bereich Customer Relationship Management (CRM) und wird in dieser Arbeit nicht gesondert betrachtet. Dennoch ist CRM ein Teilbereich des Identitätsmanagement: es werden Daten der juristischen Person des Kunden gespeichert. Ansprechpartner: Meistens wird bei einem Vorgang wie einer Ausschreibung gespeichert, welcher Mitarbeiter den Vorgang bearbeitet; sowohl auf der Seite des Auftraggebers als auch auf Seite des Auftragnehmers. Das ermöglicht es beiden Seiten, bei Rückfragen einen Ansprechpartner zu haben, der über den gesamten Vorgang bereits informiert ist und sofort weiterhelfen kann. Zusätzlich kann man erkennen, welche (Verkaufs-)Mitarbeiter weniger oder besonders erfolgreich sind. Darüber hinaus sind in vielen Unternehmen einige Mitarbeiter für die Betreuung eines bestimmten Kundenkreises oder gar eines einzelnen Kunden (Key Account Manager) verantwortlich. Andersherum ist es vorstellbar, dass der Kunde die Möglichkeit hat, z.b. über eine Website Probleme des eingerichteten Serversystems zu beschreiben und die Bearbeitung der Problemlösung zu beobachten. Diese Site würde eine Kommunikationsschnittstelle zwischen den Ansprechpartnern sowohl des Dienstleisters als auch des Kunden sein. Anmeldeinformationen: Eventuell hat der Dienstleister ein Benutzerkonto auf dem eingerichteten Server, um bei Problemen (notfalls aus der Ferne) Unterstützung bieten zu können. Hier müssen die Informationen zu dem Benutzerkonto einerseits seitens des Dienstleisters gespeichert werden; aber auch der Kunde muss wissen, welche Möglichkeiten des Zugriffs der Dienstleister im Netzwerk hat. Unterstützende- und Managementprozesse Damit ein Unternehmen Produkte herstellen oder Dienstleistungen anbieten kann, müssen die im Kernbereich arbeitenden Mitarbeiter sich so gut wie möglich auf Ihre Arbeit konzentrieren können. Alle Arbeiten, die im Hintergrund anfallen wie Personalmanagement, Buchführung oder Sicherstellung der Betriebsfähigkeit der Produktionsmittel wie Maschinen oder Computer kosten viel Geld und nutzen der Organisation nicht direkt, sondern indirekt, indem sie die eigentliche Wertschöpfung langfristig ermöglichen. These: Es ist nicht möglich, die Verwaltung von Identitätsdaten zu zentralisieren, wenn die Geschäftsprozesse des Unternehmens nicht definiert sind. Bevor Identitätsmanagementsysteme eingeführt werden können, muss klar sein, welche Identitätsdaten überhaupt gebraucht werden. Es muss außerdem festgelegt werden, welcher Mitarbeiter Zugriff auf welche Daten haben muss. Dazu ist es unbedingt erforderlich, dass die Geschäftsprozesse der Organisation ausreichend beschrieben sind. Um die Bedeutung dieser Abhängigkeit klar zu machen, soll der Sachverhalt noch einmal anders formuliert werden: Existiert keine Beschreibung von Geschäftsprozessen, dann weiß niemand in der Organisation, welche Daten wann und wo benötigt werden. Es gäbe dann auch keinen Grund, ein System zur zentralen Verwaltung von Daten einzurichten, weil ja gar nicht klar ist, wie und vor allem warum das System genutzt werden soll. 7

14 Identity Management Architecture In [Win05] wird das Konzept der Identity Management Architecture (IMA) vorgestellt. Es handelt sich hierbei um Ideen und Methoden zur Entwicklung verständlicher Pläne, Prozesse und einer Infratruktur für Identitätsmanagement ( [...]ideas and methodology involved in creating one for developing comprehensive plans, processes, and infrastructure for identity management., vgl. [Win05], S. 134). Konkrete Bestandteile der Architektur sind u.a. IMA lifecycle: Beschreibung des Lebenszyklus einer IMA. Hier werden Geschäftsprozesse genannt und beschrieben, die direkt an der Gestaltung des Identitätsmanagementsystems beteiligt sind. IMA governance model: Die Einrichtung eines Identity Management System (IMS) in einer Organisation erfordert die Zusammenarbeit mehrerer Personen und Interessengruppen, z.b. Geschäftsführung/Direktion, Administration, Verwaltung und Betriebsrat/Personalrat. In der IMA werden die Rollen Audience, Champion, Overseer, Manager, IMA team, Communicator, Advisor, Reviewer und Auditor beschrieben. Jede aktiv beteiligte Person kann im IMA-Prozess eine oder mehrere dieser Rollen spielen und hat dementsprechend bestimmte Verantwortlichkeiten. Alle Personen, die eine bestimmte Rolle haben, werden zu einer Gruppe zusammengefasst. Im IMA governance model wird beschrieben, wie die Veratwortlichkeiten verteilt sind und welche Gruppen miteinander welche Daten austauschen (vgl. [Win05], S. 146). Es ist anzumerken, dass dieses Modell und auch die Rollen an die jeweiligen Bedürfnisse der Organisation angepasst werden müssen. Business Function Matrix: Eine Business Function Matrix (BFM) beschreibt eine Abbildung von Teilen einer Organisation auf deren Funktionen/Aufgaben. Diese Matrix wird durch Analyse der Geschäftsprozesse gebildet und anschließend vereinfacht mit dem Ziel, die Infrastruktur an den Bedürfnissen des Geschäfts ausrichten zu können. Inhalt der Matrix muss also letztlich sein, Wer innerhalb der Organisation Wann und Warum auf welche Daten zugreifen können muss. Die Einführung einer zentralen Identitätsverwaltung ist vornehmlich ein Ansatz zur Lösung organisatorischer Probleme (vgl. Abschnitt 2.4) und wird also primär mit organisatorischen Mitteln durchgeführt. Aufgrund der fortgeschrittenen Entwicklung existiert die Möglichkeit (und Notwendigkeit), Computer für die Verwaltung der Datenmengen und Kontrolle des Zugriffs auf computerbasierte Ressourcen zu verwenden. Der Autor betrachtet in dieser Arbeit nur die technischen Möglichkeiten, die zu diesem Zweck zur Verfügung stehen, jedoch nicht die notwendigen organisatorischen Maßnahmen. 2.4 Gründe für zentrale Identitätsverwaltung Für jeden Geschäftsbereich einer Organisation existiert eine Menge von Identitäten, die auf bestimmte Ressourcen zugreifen darf. Die Identitäten eines Geschäftsbereichs werden in einem Repository gespeichert. Zur Verwaltung der Identitäten werden (bewusst oder unbewusst) Geschäftsprozesse durchgeführt, die eine wie in Abschnitt beschriebene IMA implementieren. In der Praxis kann man sogar die Einrichtung mehrerer unabhängiger Repositories innerhalb eines Geschäftsbereichs einer Organisation beobachten. Das führt letztendlich zu höheren Kosten in der Verwaltung der Identitäten und zu der Frage, ob sich durch Zusammenlegen der Repositories Kosten sparen lassen. Wenn die zentrale Speicherung von Identitäten kostengünstiger ist als die dezentrale Speicherung, sollte eine Konsolidierung durchgeführt werden. Wichtig bei der Entscheidung ist die Auswahl der Kostenfaktoren: Kosten für Hardware, Software, Support: Je weniger Repositories eingesetzt werden, desto weniger Server und Softwarelizenzen müssen gekauft werden. Dem gegenüber zu setzen ist, dass bei zentraler Identitätsverwaltung eventuell leistungsfähigere Hardware oder besondere, teurere Software beschafft werden müssen. 8

15 administrativer Aufwand: Durch die Zentralisierung der Identitätsverwaltung können die freiwerdenden personellen Ressourcen anderweitig eingesetzt werden. Es ist jedoch zu beachten, dass der Administrator des zentralen Repositories umfangreichere Kenntnisse benötigt als der Administrator eines der ersetzten Teilrepositories. Es ist mit höheren Personalkosten im Umfeld der zentralen Benutzerverwaltung und mit Kostenreduzierung bei der Administration der ersetzten Systeme zu rechnen. Sicherheit: Wenn für eine Person in einem Repository ein Datensatz angelegt wird, sollte dieser die aktuellen Eigenschaften der Person (Kontaktdaten, Zugehörigkeit zur Organisation, Zugriffsrechte) widerspiegeln. Wenn zu einer Person mehrere digitale Identitäten existieren, müssen alle diese Datensätze aktuell sein. Je mehr unabhängige Datensätze zu einer Person existieren, umso mehr Aufwand (also Kosten) ist erforderlich, um die Daten aktuell zu halten. Da die digitale Identität auch Zugriffsrechte beinhaltet, ist dies eine Frage der Sicherheit. Zentrale Speicherung von Benutzerdaten verursacht daher weniger Kosten für das Erreichen einer konkreten Sicherheitsstufe als die dezentrale Speicherung von Benutzerdaten. Man muss dabei jedoch beachten, dass zentral gespeicherte Daten ein lukratives Angriffsziel darstellen, das besonders geschützt werden muss. 2.5 Identifizierung und Authentifizierung Wie schon in Abschnitt 2.1 beschrieben wurde ist der erste Schritt in der Umsetzung von Sicherheitsrichtlinien die Identifizierung des Benutzers. Technisch betrachtet ist die Identifizierung nichts anderes als die Auswahl der digitalen Identität, die der realen Identität d.h. des Benutzers selbst zugeordnet ist. Der wichtigste Teil in dieser Phase die Kontrolle, ob der Nutzer wirklich die Identität hat, die er zu haben vorgibt wird allgemein als Authentifizierung bezeichnet. Realisiert wird das über die Abfrage einer oder mehrerer Eigenschaften der realen Identität und Vergleich mit zuvor gespeicherten Werten. Im Rahmen dieser Arbeit werden zwei Anwendungsbereiche der Authentifizierung betrachtet: lokale Anmeldung an einem Rechner und Anmeldung an einem Netzwerkdienst (Fernanmeldung). Jede Authentifizierung beinhaltet, dass eine bestimmte Eigenschaft des Nutzers abgefragt wird. Diese Eigenschaft lässt sich in eine der Gruppen Wissen, Besitz oder (körperliches) Merkmal einordnen. In Tabelle 2.5 sind verschiedene Möglichkeiten genannt, wie aktuelle Systeme die jeweiligen Authentifizierungsmethoden implementieren. Methode Wissen Besitz Merkmal Realisierung PIN, Passwort, Passphrase, Antwort auf bestimmte Frage Privater Schlüssel, Smartcard, RFID-Karte, TAN bzw. itan, etoken, SecurID Handgefäßstruktur, Gesichtsgeometrie, Iris- Scan, Retina-Scan, Fingerabdruck, Tippverhalten, DNA Tabelle 2.1: Methoden der Authentifizierung Jede der genannten Methoden hat verschiedene Vor- und Nachteile, die nachfolgend kurz erläutert werden sollen. Wissen kann relativ kostengünstig erzeugt werden. Es erfordert beispielsweise nur einen geringen zeitlichen Aufwand, sich ein Passwort auszudenken. Alle Authentifizierungsverfahren, die auf dieser Methode aufbauen, sind allerdings dem Risiko ausgesetzt, dass der Benutzer das spezielle Wissen einfach vergisst. Es entsteht hier also administrativer Aufwand, bspw. um Passwörter zurückzusetzen. Häufig wird aus diesem Grund (und aus Bequemlichkeit) ein einfaches Passwort 9

16 gewählt, was wiederum einfach durch Brute-Force-Angriffe geknackt werden kann. Daher wird häufig durch den Administrator eine maximale Gültigkeitsdauer festgesetzt, was die Nutzungsdauer eines korrumpierten Benutzerkontos beschränkt. Die regelmäßigen Passwortänderungen motivieren andererseits die Nutzer wieder dazu, sich gerade einfache Passwörter zu wählen. Eine Analyse der möglichen Ursachen in [Wes08] kommt zu dem Schluss, dass Benutzer bestehende Risiken häufig zu niedrig bewerten und daher die niedrigen Kosten eines einfachen Passworts inkl. des niedrigen Risikos eines Sicherheitsvorfalls mit den damit verbundenen Kosten den sicheren Kosten eines guten Passworts vorziehen ( When there is a potential loss in a poor security decision compared to the guaranteed loss of making the pro-security decision, the user may be inclined to take the risk. ). Andere Realisierungen, wie z.b. PINs, bieten sehr selten die Möglichkeit, das spezielle Wissen regelmäßig zu ändern. Um trotzdem dem Problem der Bruts-Force-Angriffe begegnen zu können, kann man längere Zeichenketten (Passphrase, Antwort auf Frage) einsetzen. Hier entsteht wieder eine neue Sicherheitslücke: Aus Benutzbarkeitsgründen muss man eine längere Zeichenkette bei der Eingabe auf dem Bildschirm anzeigen, was das Mitlesen durch zufällig anwesende Personen ermöglicht. Zusammenfassend kann man also sagen, dass die Methode Wissen eine geringe Sicherheit bietet, einem gezielten Angriff jedoch nur schwer standhalten kann. Trotzdem steht eine sehr preiswerte und robuste Methode zur Verfügung, den Zugang zu Systemen zu kontrollieren. Besitz kann weder einfach kopiert noch selbst erzeugt werden. Wenn spezieller Besitz gestohlen wird oder verloren geht, wird das dem Besitzer meistens früher oder später bewusst. Es ist also sehr schwierig, ein Authentifizierungsverfahren, dass auf Besitz basiert, zu überlisten. Noch schwieriger ist, diese Sicherheitsverletzung unbemerkt zu begehen. Es steht hier eine ziemlich sichere und auch robuste Authentifizierungsmethode zur Verfügung. Der Nachteil hier sind die Kosten. Würde man beispielsweise in einem Netzwerk mit 1000 Benutzern jedem Benutzer ein etoken im Wert von 100ezur Verfügung gestellt werden, wären die Kosten höher als die jährlichen Personalkosten für einen Administrator zum Pflegen von Kennwörten. Wenn die Fluktuationsrate der Nutzer im Netzwerk hoch ist, muss gefragt werden, ob der Wert der zu schützenden Daten noch höher ist als der Aufwand, der zum Schutz betrieben wird. Merkmale haben gegenüber den beiden anderen Methoden den Vorteil, dass sie theoretisch nicht kopiert werden können und auch kein Geld kosten (abgesehen von den Lesegeräten). Man scheint hier die Methode mit der maximalen Sicherheit und den niedrigsten Kosten gefunden zu haben. Leider gibt es einige Probleme beim Nutzen biometrischer Merkmale für die Authentifizierung: Die Bereitschaft dafür, die digitale Kopie eines biometrischen Merkmals in einer fremden Datenbank abzulegen, ist bei vielen Personen nicht sehr hoch. Der Computer Chaos Club hat in [CCC04] gezeigt, dass es möglich ist, mit einem Laserdrucker, Projektorfolie und Holzkaltleim einen zuvor eingescannten Fingerabdruck zu kopieren. Mit diesem Abdruck wurde eine erfolgreiche Authentifierung durchgeführt. Experimente wie diese zeigen, dass es möglich ist, bestimmte biometrische Authentifizierungsverfahren zu umgehen und im Namen einer anderen Person bestimmte Handlungen (auch Straftaten) durchzuführen. Biometrie ist das Messen bestimmter physischer Merkmale eines Individuums. Die Nutzung für die Authentifizierung erfordert einerseits die sehr präzise Messung, andererseits auch den korrekten Umgang der Systeme mit Veränderungen der gemessenen Merkmale. So könnte eine Person sich z.b. eine Narbe zuziehen, wodurch sich der Fingerabdruck ändert. In [BioP2] wurde weiterhin festgestellt, dass der Einfluss von Alterungseffekten auf die Erkennungsleistung biometrischer Systeme bisher noch nicht ausreichend untersucht ist. Es ist also gegenwärtig mit einer hohen Fehlerrate (hauptsächlich Falschrückweisungsrate, vgl. [BioP2]) zu rechnen, was den Einsatz biometrischer Authentifizierungssysteme in der Praxis auf die Bereiche einschränkt, in denen man das gerne in Kauf nimmt, um höhere Sicherheit zu erhalten, wie etwa im militärischen Umfeld. 10

17 Frühe Authentifizierungssysteme waren sehr tolerant bei der Messung biometrischer Merkmale und konnten leicht umgangen werden. Aus schlechten Erfahrungen heraus wird mittlerweile geprüft, ob der Mensch, von dem gerade ein biometrisches Merkmal gemessen wird, noch am Leben ist (z.b. über Pulsmessung beim Fingerabdrucklesen). Solche Probleme verschlechtern die Akzeptanz biometrischer Zugangssysteme, was gemäß [BioP2] eine eine wesentliche Vorraussetzung für den erfolgreichen Einsatz biometrischer Verfahren ist. Nahezu alle Studien, die bisher die Nutzbarkeit der Biometrie untersucht haben, haben sich darauf konzentriert, die technische Umsetzbarkeit also Fehlerraten (false positives und false negatives) zu testen. Dem Autor sind jedoch momentan keine Studien bekannt, die testen, inwieweit biometrische Systeme in der Praxis den Zugang auf autorisierte Personen wirksam einschränken. Es gibt jedoch Einzelbeispiele, die zeigen, dass der Einsatz biometrischer Merkmale für die Authentifizierung das Risiko des Merkmalsträgers für einen physischen Angriff erhöhen (vgl. [Mau08]). Fazit Ein Authentifizierungsvorgang ist umso verlässlicher, je fester das Authentifizierungsmerkmal mit der Person verbunden ist. So lässt sich eine Chipkarte leichter nachmachen als bspw. ein genetischer Fingerabdruck. Dies scheint eine Tendenz aufzuzeigen, dass Passwörter, die sich am leichtesten kopieren bzw. knacken lassen, veraltet und unsicher erscheinen. In [Mau08] wurde gezeigt, dass praktisch alle Authentifizierungssysteme auf geheimen Informationen beruhen, die stark mit dem Besitzer zusammenhängen. In dem Sinne sind auch der private Schlüssel, der auf einer Smart-Card gespeichert ist oder ein Fingerabdruck nur Informationen, die man theoretisch lesen oder kopieren kann. Der theoretische Angriffspunkt gegen alle Authentifizierungssystem ist also, die Beziehung zwischen Authentifizierungsmerkmal und Merkmalsträger zu lockern, sei es durch Auslesen geheimer Daten, Diebstahl von Gegenständen o.a. Mittel. In Bezug auf Authentifizierung über das Prinzip Besitz stellt der Autor von von [Mau08] zusammenfassend fest, dass bei entsprechend attraktiven Angriffszielen [...] die Angriffsmethoden schnell von der virtuellen auf die physische Ebene und in die Nähe des Objektträgers, bis in den Bereich des Personenschutzes hinein verlagern. Ähnlich klingt das Urteil über biometrische Verfahren, die Sicherheitsfragen klar in die Ebene des Personenschutzes der Merkmalsträger [verlagern], womit sich nach Meinung des Autors Das Thema Biometrie als ernst zu nehmendes Authentifikationsmittel [...] in der Kosten/Nutzen-Abwägung [...] erledigt hat. An dieser Stelle sei auf die sehr interessanten Beispiele in [Mau08] verwiesen, wo u.a. gezeigt wird, dass selbst die Kombination aller drei Authentisierungsklassen [unzulänglich] sein kann. Im Rahmen dieser Arbei werden ausschließlich passwortbasierte Zugangskontrollsysteme betrachtet. Dies ist keine Einschränkung, da, wie in [Mau08] gezeigt, alle drei Authentifizierungsmethoden auf geschützen Informationen beruhen und sich nur durch Ihre technische Umsetzung unterscheiden. Die Probleme der sicheren Speicherung des Authentifizierungsmerkmals und der verlässlichen Überprüfung desselben müssen jedoch bei allen drei Methoden gelöst werden. 2.6 Zugriffsschutz Der Zugriff auf Ressourcen in einem Netzwerk wird durch eine Hardware oder Software kontrolliert, die sich wie ein Proxy (vgl. [GoF01]) verhält. Dabei wird eine Anfrage an eine Ressource zunächst von diesem Proxy empfangen, der dann auch entscheidet, ob die Anfrage weitergeleitet oder abgewiesen wird. In [And72] wird für die Kontrollinstanz der Name Referenzmonitor (Reference Monitor) eingeführt. Die Aufgabe des Referenzmonitors ist, alle Referenzen auf Ressourcen, die von einem Prozess angelegt werden, zu authoriseren ( [A reference monitor] is a continuously invoked validation that all references made by a user s program or any (executive) program operating on a users s behalf, are authorized for that user, vgl. [And72], S. 18). In Abbildung 2.3 wird allgemein dargestellt, an welcher Stelle beim Zugriff auf eine Ressource der Referenzmonitor arbeitet. An Stelle des Nutzers, des Nutzerprozesses oder eines Schutzbereichs ist hier der Principal gerückt, der einfach nur eine eindeutig identifizierbare, aktive Entität 11

18 Principal Operation Reference Monitor Resource Abbildung 2.3: Prinzip des Referenzmonitors, nach [Ben05] ist. Ein Principal 1 kann dabei eine Person, die einen Computer bedient; ein Programm oder ein Computer selbst sein. Von konkreten technischen Details wird im Allgemeinen abstrahiert, indem man Ressourcen als Objekte bezeichnet und den Nutzer der Ressource, sei es ein Programm oder eine Person, Subjekt nennt Aufbau des Reference Monitor Für die weiteren Betrachtungen in dieser Arbeit ist der Aufbau des Reference Monitor von Interesse. Wie bereits beschrieben, müssen von diesem Softwarebestandteil folgende Aufgaben erfüllt werden: Identifizierung und Authentifizierung des Subjekts Identifizierung des Objekts Entscheiden, ob der Zugriff erlaubt ist und diesen entsprechend zulassen oder verhindern In [Win05] wurde das Zusammenwirken mehrerer Komponenten beschrieben, die in der Summe einen Reference Monitor implementieren. Deny/Allow 7 Credentials Request 1 Credentials Authentication PEP Yes/No 2 Authenication Server Access Request ADA PDP 4 Security Policy Identity Store Abbildung 2.4: Komponenten eines Reference Monitor, entlehnt aus Figure 2-1 aus [Win05], S.10 Die Bearbeitung eines Zugriffs auf die Ressource findet in den nachfolgend beschriebenen Schritten statt: 1. Ein Request und (nach Anfrage) Credentials werden an den Policy Enforcement Point (PEP) geschickt. Der PEP dient als Schnittstelle des Referenzmonitors für das Programm des Benutzers. 2. Die Credentials werden durch eine Komponente geprüft, die Zugriff auf die gespeicherten Credentials hat. 3. Wenn die Authentifizierung erfolgreich war, wird der Request weiter an den Policy Decision Point (PDP) geschickt. 1 Der Autor verzichtet auf eine Übersetzung des Terminus, da die Bedeutung der offensichtlichen Übersetzung Prinzipal sich von der eigentlich gemeinten Bedeutung unterscheidet. In der Fachliteratur hat sich das englische Wort Principal als Fachterminus etabliert. 12

19 6. Der PDP entscheidet mit Hilfe der Security Policy (4), ob der Zugriff für die bereits authentifizierte Identität (5) zulässig ist 7. Das Ergebnis wird dem PEP in Form einer Authorization Decision Assertion (ADA) mitgeteilt. Dieser führt den Zugriff auf die Ressource durch, falls dieser erlaubt ist, und 8. teilt dem aufrufenden Prozess das Ergebnis mit. In der Praxis wird die Authentifizierung aus Effizienzgründen nicht bei jedem Ressourcenzugriff durchgeführt. Statt dessen wird eine Sitzung erzeugt, von der aus Zugriffe ohne Authentifizierung möglich sind. Typische Implementierungen sind Login-Shells oder Transmission Control Protocol (TCP)-Verbindungen Access Control Matrix Eine einfache Möglichkeit, festzulegen, welcher Nutzer welche Aktionen mit welcher Ressource durchführen darf, ist das Anlegen einer Zugangskontrollmatrix (Access Control Matrix). Als eine der ersten Publikationen, in denen explizit eine Zugangskontrollmatrix (hier: Access Matrix) genutzt wurde, wird häufig [Lam71] genannt. Lampson nennt als Bestandteile der Matrix Reihen, die mit Bereichsnamen beschriftet sind; Spalten, die mit Objektnamen beschriftet sind; und Elemente, deren Inhalt Zeichenketten sind, die Zugriffsattribute beschreiben ( Its rows are labeled by domain names and its columns by object names. [...] Each element consists of a set of strings called access attributes; typical attributes are read, write, wakeup., vgl. [Lam71], S. 21). In [Den71] werden die Komponenten einer Zugangskontrollmatrix formal benannt: eine Menge X von Objekten ( First is a set X of objects, an object being any entity in the system that must be protected (i.e., to which access must be controlled)., vgl. [Den71], S. 206) eine Menge S von Subjekten ( The second part [...] is a set S of subjects, a subject being any entity that may access objects., vgl. [Den71], S. 206) Eine Sammlung von Zugriffsregeln R ( The third part [...] is a collection of access rules specifying the ways in which a subject may access objects., vgl. [Den71], S. 207) Es wird also von der konkreten Darstellung von Objekten, Subjekten und Zugriffsregeln abstrahiert und nur noch deren Zusammenhang untereinander betrachtet. Eine Beispiel für eine (kleine) Zugangskontrollmatrix ist in Tabelle 2.2 dargestellt. Datei 1 Datei 2 Prozess 1 Socket 1 Benutzer 1 read read wakeup read, write close Benutzer 2 read, write, delete, change permission Tabelle 2.2: Beispiel einer Zugangskontrollmatrix Der Vorteil dieses Ansatzes ist eine große Flexibilität, da nicht festgelegt ist, wie die Bestandteile der Matrix im Detail aussehen ( Because the access matrix model specifies only that there are rules (and subjects and objects and access modes), but not what the rules (or subjects or objects or access modes) are in detail, the model has great flexibility and wide applicability., vgl. [Lan81], S. 256). In diesem Modell wird die Existenz einer Funktion mit dem Typ X S R gefordert. Die Flexibilität besteht u.a. darin, dass der Implementierer entscheiden kann, auf welche Weise die Funktion berechnet wird. Da die Zugangskontrollmatrix häufig viele leere Elemente haben wird, haben sich in der Praxis zwei Varianten der Implementierung etabliert: Speicherung einer Liste von Berechtigungen für jeden Benutzer (Funktion des Typs S P(X R); Capabilities) 13

20 Speicherung einer Liste von Benutzern und zugehörigen Rechten für jede Ressource (Funktion des Typs X P(S R); Access Control List) Die Speicherung einer Liste statt einer Matrix hat die Vorteile, dass der Speicher effektiver genutzt werden kann, und das Suchen der gewünschten Regelmenge für ein konkretes Subjekt-Objekt-Paar schneller ist. Bei vielen System ist es sogar möglich, beide Ansätze kombiniert einzusetzen. Man kann zusammenfassend sagen, dass die Zugangskontrollmatrix eine theoretische Grundlage für viele der heute eingesetzten Zugangskontrollsysteme zur Verfügung stellt, wobei die praktische Umsetzung sich auf den ersten Blick stark vom ursprünglichen Ansatz unterscheidet Schutzmodelle Die Zugangskontrollmatrix stellt dar, welche Subjekte zu einem bestimmten Zeitpunkt auf welche Objekte zugreifen dürfen. Wie die Matrix zu Stande kommt und nach welchen Regeln sie im Laufe der Nutzung des Systems weiter entwickelt wird, ist Aufgabe der verschiedenen Schutzmodelle. Es existieren viele sehr verschiedene Schutzmodelle, von denen an dieser Stelle aufgrund Ihrer Relevanz nur zwei Modelle beschrieben werden. Discretionary Access Control Die Besonderheit an diesem Schutzmodell ist, dass es das Konzept des Besitztums von Objekten gibt. Für jedes Objekt existiert ein Subjekt, das Besitzer des Objekts ist. Der Besitzer legt die Zugriffsrechte auf das Objekt fest. Es gibt verschiedene Untersuchungen der Sicherheit dieses Modells, die meisten schränken jedoch die Möglichkeiten des Modells ein, um eine Aussage treffen zu können. In [HRU76] wurde gezeigt, dass es nicht entscheidbar ist, ob eine bestimmte Konfiguration eines gegebenen Schutzssystems für eine bestimmte Berechtigung sicher ist ( It is undecible whether a given configuration of a given protection system is safe for a given generic right, vgl. [HRU76], Theorem 2). Das Adjektiv sicher beschreibt in dem Zusammenhang eine Konfiguration, die es verhindert, dass eine Berechtigung durch ein Kommando in eine Zelle der Zugangskontrollmatrix schreibt, wo diese Berechtigung vorher nicht stand. Der Vorteil von Discretionary Access Control (DAC) demgegenüber sind die sehr flexiblen Möglichkeiten der Rechtevergabe, die gegenüber sichereren Modellen (z.b. Mandatory Access Control (MAC)) nicht unbedingt einer Hierachie mit gerichtetem, azyklischen Informationsfluss entsprechen müssen. Man kann so die Berechtigung eher an den Informationsfluss in Unternehmen anpassen, der sich nicht unbedingt an den Strukturen des Unternehmens orientiert. Role-Based Access Control Ein weiterer Nachteil von DAC ist das Prinzip, Rechte pro Benutzer zu vergeben, was in mittelgroßen Netzwerk nicht mehr praktikabel ist. Die Idee von Role- Based Access Control (RBAC) ist, jedem Mitglied einer Organisation eine oder mehrere Rollen zuzuweisen, die seiner Stellung bzw. seinen Aufgaben in der Organisation entsprechen. Die Berechtigungen werden dann nicht mehr den einzelnen Personen zugewiesen, sondern den Rollen. Dadurch reduziert sich der Aufwand in der Verwaltung der Berechtigungen. Weiterhin kann so die Sicherheit erhöht, da es über RBAC viel einfacher möglich ist, jedem Benutzer genau die Berechtigungen zuzuweisen, die er benötigt. RBAC ist ein theoretisches Modell, für das sowohl Implementierungen existieren (z.b. grsecurity), das jedoch als Ideenvorlage für andere Implementierung von Schutzmodellen gedient hat, wie z.b. Benutzergruppen in Windows oder UNIX. Im Rahmen dieser Arbeit sind die theoretischen Unterschiede von Rollen und Gruppen weniger interessant. Wichtig ist hier die Tatsache, dass Benutzer Mitglieder von Rollen bzw. Gruppen sein können und dass man Rollen bzw. Gruppen Berechtigungen zuordnen kann. Am Rande ist noch interessant, ob man mit aktuellen Implementierungen Rollen- bzw. Gruppenhierarchien aufbauen kann, was in der Praxis durchaus hilfreich sein kann. 14

Fachbericht zum Thema: Anforderungen an ein Datenbanksystem

Fachbericht zum Thema: Anforderungen an ein Datenbanksystem Fachbericht zum Thema: Anforderungen an ein Datenbanksystem von André Franken 1 Inhaltsverzeichnis 1 Inhaltsverzeichnis 1 2 Einführung 2 2.1 Gründe für den Einsatz von DB-Systemen 2 2.2 Definition: Datenbank

Mehr

Autorisierung. Sicherheit und Zugriffskontrolle & Erstellen einer Berechtigungskomponente

Autorisierung. Sicherheit und Zugriffskontrolle & Erstellen einer Berechtigungskomponente Autorisierung Sicherheit und Zugriffskontrolle & Erstellen einer Berechtigungskomponente Dokumentation zum Referat von Matthias Warnicke und Joachim Schröder Modul: Komponenten basierte Softwareentwickelung

Mehr

1. Einführung. 2. Die Mitarbeiterübersicht

1. Einführung. 2. Die Mitarbeiterübersicht 1. Einführung In orgamax können Sie jederzeit neue Mitarbeiter anlegen und diesen Mitarbeitern bestimmte Berechtigungen in der Software zuordnen. Darüber hinaus können auch Personaldaten wie Gehalt und

Mehr

Er musste so eingerichtet werden, dass das D-Laufwerk auf das E-Laufwerk gespiegelt

Er musste so eingerichtet werden, dass das D-Laufwerk auf das E-Laufwerk gespiegelt Inhaltsverzeichnis Aufgabe... 1 Allgemein... 1 Active Directory... 1 Konfiguration... 2 Benutzer erstellen... 3 Eigenes Verzeichnis erstellen... 3 Benutzerkonto erstellen... 3 Profil einrichten... 5 Berechtigungen

Mehr

1 Mathematische Grundlagen

1 Mathematische Grundlagen Mathematische Grundlagen - 1-1 Mathematische Grundlagen Der Begriff der Menge ist einer der grundlegenden Begriffe in der Mathematik. Mengen dienen dazu, Dinge oder Objekte zu einer Einheit zusammenzufassen.

Mehr

www.internet-einrichten.de

www.internet-einrichten.de E-Mail-Programme E-Mail Adresse einrichten Bei t-online, AOL, Compuserve, und anderen können Sie sich E-Mail-Adressen einrichten. Dies hat aber den Nachteil, dass Sie diese nur mit der entsprechenden Zugangssoftware

Mehr

Virtueller Seminarordner Anleitung für die Dozentinnen und Dozenten

Virtueller Seminarordner Anleitung für die Dozentinnen und Dozenten Virtueller Seminarordner Anleitung für die Dozentinnen und Dozenten In dem Virtuellen Seminarordner werden für die Teilnehmerinnen und Teilnehmer des Seminars alle für das Seminar wichtigen Informationen,

Mehr

mysql - Clients MySQL - Abfragen eine serverbasierenden Datenbank

mysql - Clients MySQL - Abfragen eine serverbasierenden Datenbank mysql - Clients MySQL - Abfragen eine serverbasierenden Datenbank In den ersten beiden Abschnitten (rbanken1.pdf und rbanken2.pdf) haben wir uns mit am Ende mysql beschäftigt und kennengelernt, wie man

Mehr

IRF2000 Application Note Eingeschränkter Remote Zugriff

IRF2000 Application Note Eingeschränkter Remote Zugriff Version 2.0 Original-Application Note ads-tec GmbH IRF2000 Application Note Eingeschränkter Remote Zugriff Stand: 28.10.2014 ads-tec GmbH 2014 IRF2000 2 Inhaltsverzeichnis 1 Einführung... 3 2 Benutzerkonten...

Mehr

Task: Nmap Skripte ausführen

Task: Nmap Skripte ausführen Task: Nmap Skripte ausführen Inhalt Einfache Netzwerkscans mit NSE Ausführen des Scans Anpassung der Parameter Einleitung Copyright 2009-2015 Greenbone Networks GmbH Herkunft und aktuellste Version dieses

Mehr

Benutzerverwaltung Business- & Company-Paket

Benutzerverwaltung Business- & Company-Paket Benutzerverwaltung Business- & Company-Paket Gemeinsames Arbeiten mit der easyfeedback Umfragesoftware. Inhaltsübersicht Freischaltung des Business- oder Company-Paketes... 3 Benutzerverwaltung Business-Paket...

Mehr

Stellen Sie bitte den Cursor in die Spalte B2 und rufen die Funktion Sverweis auf. Es öffnet sich folgendes Dialogfenster

Stellen Sie bitte den Cursor in die Spalte B2 und rufen die Funktion Sverweis auf. Es öffnet sich folgendes Dialogfenster Es gibt in Excel unter anderem die so genannten Suchfunktionen / Matrixfunktionen Damit können Sie Werte innerhalb eines bestimmten Bereichs suchen. Als Beispiel möchte ich die Funktion Sverweis zeigen.

Mehr

In diesem Thema lernen wir die Grundlagen der Datenbanken kennen und werden diese lernen einzusetzen. Access. Die Grundlagen der Datenbanken.

In diesem Thema lernen wir die Grundlagen der Datenbanken kennen und werden diese lernen einzusetzen. Access. Die Grundlagen der Datenbanken. In diesem Thema lernen wir die Grundlagen der Datenbanken kennen und werden diese lernen einzusetzen. Access Die Grundlagen der Datenbanken kurspc15 Inhaltsverzeichnis Access... Fehler! Textmarke nicht

Mehr

Novell Client. Anleitung. zur Verfügung gestellt durch: ZID Dezentrale Systeme. Februar 2015. ZID Dezentrale Systeme

Novell Client. Anleitung. zur Verfügung gestellt durch: ZID Dezentrale Systeme. Februar 2015. ZID Dezentrale Systeme Novell Client Anleitung zur Verfügung gestellt durch: ZID Dezentrale Systeme Februar 2015 Seite 2 von 8 Mit der Einführung von Windows 7 hat sich die Novell-Anmeldung sehr stark verändert. Der Novell Client

Mehr

.htaccess HOWTO. zum Schutz von Dateien und Verzeichnissen mittels Passwortabfrage

.htaccess HOWTO. zum Schutz von Dateien und Verzeichnissen mittels Passwortabfrage .htaccess HOWTO zum Schutz von Dateien und Verzeichnissen mittels Passwortabfrage Stand: 21.06.2015 Inhaltsverzeichnis 1. Vorwort...3 2. Verwendung...4 2.1 Allgemeines...4 2.1 Das Aussehen der.htaccess

Mehr

Sie erhalten einen kurzen Überblick über die verschiedenen Domänenkonzepte.

Sie erhalten einen kurzen Überblick über die verschiedenen Domänenkonzepte. 4 Domänenkonzepte Ziele des Kapitels: Sie verstehen den Begriff Domäne. Sie erhalten einen kurzen Überblick über die verschiedenen Domänenkonzepte. Sie verstehen die Besonderheiten der Vertrauensstellungen

Mehr

Handbuch ECDL 2003 Basic Modul 5: Datenbank Grundlagen von relationalen Datenbanken

Handbuch ECDL 2003 Basic Modul 5: Datenbank Grundlagen von relationalen Datenbanken Handbuch ECDL 2003 Basic Modul 5: Datenbank Grundlagen von relationalen Datenbanken Dateiname: ecdl5_01_00_documentation_standard.doc Speicherdatum: 14.02.2005 ECDL 2003 Basic Modul 5 Datenbank - Grundlagen

Mehr

Benutzeranleitung Superadmin Tool

Benutzeranleitung Superadmin Tool Benutzeranleitung Inhalt 1 Einleitung & Voraussetzungen... 2 2 Aufruf des... 3 3 Konto für neuen Benutzer erstellen... 3 4 Services einem Konto hinzufügen... 5 5 Benutzer über neues Konto informieren...

Mehr

Datenübernahme von HKO 5.9 zur. Advolux Kanzleisoftware

Datenübernahme von HKO 5.9 zur. Advolux Kanzleisoftware Datenübernahme von HKO 5.9 zur Advolux Kanzleisoftware Die Datenübernahme (DÜ) von HKO 5.9 zu Advolux Kanzleisoftware ist aufgrund der von Update zu Update veränderten Datenbank (DB)-Strukturen in HKO

Mehr

Lineargleichungssysteme: Additions-/ Subtraktionsverfahren

Lineargleichungssysteme: Additions-/ Subtraktionsverfahren Lineargleichungssysteme: Additions-/ Subtraktionsverfahren W. Kippels 22. Februar 2014 Inhaltsverzeichnis 1 Einleitung 2 2 Lineargleichungssysteme zweiten Grades 2 3 Lineargleichungssysteme höheren als

Mehr

Anleitung öffentlicher Zugang einrichten

Anleitung öffentlicher Zugang einrichten TRK-DashBoard Anleitung öffentlicher Zugang einrichten Manual für Kunden VERSION DATUM AUTOR DATEINAME 1.0 8. SEPTEMBER 2011 HRR ANLEITUNG_OEFFENTLICHER_ZUGANG_DASHBOARD_V10 INHALT 1 ALLGEMEINE INFORMATIONEN...

Mehr

Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten

Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten Was sind Berechtigungen? Unter Berechtigungen werden ganz allgemein die Zugriffsrechte auf Dateien und Verzeichnisse (Ordner) verstanden.

Mehr

Warenwirtschaft Handbuch - Administration. 2013 www.addware.de

Warenwirtschaft Handbuch - Administration. 2013 www.addware.de Warenwirtschaft Handbuch - Administration 2 Warenwirtschaft Inhaltsverzeichnis Vorwort 0 Teil I Administration 3 1 Datei... 4 2 Datenbank... 6 3 Warenwirtschaft... 12 Erste Schritte... 13 Benutzerverwaltung...

Mehr

Outlook. sysplus.ch outlook - mail-grundlagen Seite 1/8. Mail-Grundlagen. Posteingang

Outlook. sysplus.ch outlook - mail-grundlagen Seite 1/8. Mail-Grundlagen. Posteingang sysplus.ch outlook - mail-grundlagen Seite 1/8 Outlook Mail-Grundlagen Posteingang Es gibt verschiedene Möglichkeiten, um zum Posteingang zu gelangen. Man kann links im Outlook-Fenster auf die Schaltfläche

Mehr

Hochschulrechenzentrum. chschulrechenzentrum #96. Freie Universität Berlin

Hochschulrechenzentrum. chschulrechenzentrum #96. Freie Universität Berlin #96 Version 1 Konfiguration von Outlook 2010 Um Ihre E-Mails über den Mailserver der ZEDAT herunterzuladen oder zu versenden, können Sie das Programm Outlook 2010 verwenden. Die folgende Anleitung demonstriert

Mehr

Einrichten eines Postfachs mit Outlook Express / Outlook bis Version 2000

Einrichten eines Postfachs mit Outlook Express / Outlook bis Version 2000 Folgende Anleitung beschreibt, wie Sie ein bestehendes Postfach in Outlook Express, bzw. Microsoft Outlook bis Version 2000 einrichten können. 1. Öffnen Sie im Menü die Punkte Extras und anschließend Konten

Mehr

Guide DynDNS und Portforwarding

Guide DynDNS und Portforwarding Guide DynDNS und Portforwarding Allgemein Um Geräte im lokalen Netzwerk von überall aus über das Internet erreichen zu können, kommt man um die Themen Dynamik DNS (kurz DynDNS) und Portweiterleitung(auch

Mehr

2 Die Terminaldienste Prüfungsanforderungen von Microsoft: Lernziele:

2 Die Terminaldienste Prüfungsanforderungen von Microsoft: Lernziele: 2 Die Terminaldienste Prüfungsanforderungen von Microsoft: Configuring Terminal Services o Configure Windows Server 2008 Terminal Services RemoteApp (TS RemoteApp) o Configure Terminal Services Gateway

Mehr

Family Safety (Kinderschutz) einrichten unter Windows 8

Family Safety (Kinderschutz) einrichten unter Windows 8 Family Safety (Kinderschutz) einrichten unter Windows 8 Family Safety ist eine Gratissoftware von Microsoft, welche es ermöglicht, dem Kind Vorgaben bei der Nutzung des Computer zu machen und die Nutzung

Mehr

Informationssystemanalyse Problemstellung 2 1. Trotz aller Methoden, Techniken usw. zeigen Untersuchungen sehr negative Ergebnisse:

Informationssystemanalyse Problemstellung 2 1. Trotz aller Methoden, Techniken usw. zeigen Untersuchungen sehr negative Ergebnisse: Informationssystemanalyse Problemstellung 2 1 Problemstellung Trotz aller Methoden, Techniken usw. zeigen Untersuchungen sehr negative Ergebnisse: große Software-Systeme werden im Schnitt ein Jahr zu spät

Mehr

PHPNuke Quick & Dirty

PHPNuke Quick & Dirty PHPNuke Quick & Dirty Dieses Tutorial richtet sich an all die, die zum erstenmal an PHPNuke System aufsetzen und wirklich keine Ahnung haben wie es geht. Hier wird sehr flott, ohne grosse Umschweife dargestellt

Mehr

SDD System Design Document

SDD System Design Document SDD Software Konstruktion WS01/02 Gruppe 4 1. Einleitung Das vorliegende Dokument richtet sich vor allem an die Entwickler, aber auch an den Kunden, der das enstehende System verwenden wird. Es soll einen

Mehr

Professionelle Seminare im Bereich MS-Office

Professionelle Seminare im Bereich MS-Office Der Name BEREICH.VERSCHIEBEN() ist etwas unglücklich gewählt. Man kann mit der Funktion Bereiche zwar verschieben, man kann Bereiche aber auch verkleinern oder vergrößern. Besser wäre es, die Funktion

Mehr

Import der Schülerdaten Sokrates Web

Import der Schülerdaten Sokrates Web 23.09.2014 Import der Schülerdaten Sokrates Web Leitfaden zum korrekten Import der Schülerdaten aus Sokrates Web WebUntis 2015 Über dieses Dokument Dieses Dokument beschreibt die konkreten Schritte, die

Mehr

Benutzerkonto unter Windows 2000

Benutzerkonto unter Windows 2000 Jeder Benutzer, der an einem Windows 2000 PC arbeiten möchte, braucht dazu ein Benutzerkonto. Je nach Organisation des Netzwerkes, existiert dieses Benutzerkonto auf der lokalen Workstation oder im Active

Mehr

E-Mail-Inhalte an cobra übergeben

E-Mail-Inhalte an cobra übergeben E-Mail-Inhalte an cobra übergeben Sie bieten ihren potentiellen oder schon bestehenden Kunden über ihre Website die Möglichkeit, per Bestellformular verschiedene Infomaterialien in Papierform abzurufen?

Mehr

S TAND N OVEMBE R 2012 HANDBUCH DUDLE.ELK-WUE.DE T E R M I N A B S P R A C H E N I N D E R L A N D E S K I R C H E

S TAND N OVEMBE R 2012 HANDBUCH DUDLE.ELK-WUE.DE T E R M I N A B S P R A C H E N I N D E R L A N D E S K I R C H E S TAND N OVEMBE R 2012 HANDBUCH T E R M I N A B S P R A C H E N I N D E R L A N D E S K I R C H E Herausgeber Referat Informationstechnologie in der Landeskirche und im Oberkirchenrat Evangelischer Oberkirchenrat

Mehr

icloud nicht neu, aber doch irgendwie anders

icloud nicht neu, aber doch irgendwie anders Kapitel 6 In diesem Kapitel zeigen wir Ihnen, welche Dienste die icloud beim Abgleich von Dateien und Informationen anbietet. Sie lernen icloud Drive kennen, den Fotostream, den icloud-schlüsselbund und

Mehr

Lizenzierung von System Center 2012

Lizenzierung von System Center 2012 Lizenzierung von System Center 2012 Mit den Microsoft System Center-Produkten lassen sich Endgeräte wie Server, Clients und mobile Geräte mit unterschiedlichen Betriebssystemen verwalten. Verwalten im

Mehr

Treckerverein Monschauer Land e.v.

Treckerverein Monschauer Land e.v. Der Mitgliederbereich Der Mitgliederbereich (TV-MON Intern) ist ein Teil der Webseiten des Treckervereins, der nicht öffentlich und für jedermann zugängig ist. Dieser Bereich steht ausschließlich Mitgliedern

Mehr

Übersicht... 2 Dateiupload... 3 Administratorfunktionen... 4

Übersicht... 2 Dateiupload... 3 Administratorfunktionen... 4 Inhalt Übersicht... 2 Dateiupload... 3 Administratorfunktionen... 4 Benutzer hinzufügen... 4 Benutzerverwaltung... 5 Ordner anlegen... 6 Rechteverwaltung... 7 Verlag für neue Medien Seite 1 Übersicht Mit

Mehr

Datensicherung. Beschreibung der Datensicherung

Datensicherung. Beschreibung der Datensicherung Datensicherung Mit dem Datensicherungsprogramm können Sie Ihre persönlichen Daten problemlos Sichern. Es ist möglich eine komplette Datensicherung durchzuführen, aber auch nur die neuen und geänderten

Mehr

HANDBUCH PHOENIX II - DOKUMENTENVERWALTUNG

HANDBUCH PHOENIX II - DOKUMENTENVERWALTUNG it4sport GmbH HANDBUCH PHOENIX II - DOKUMENTENVERWALTUNG Stand 10.07.2014 Version 2.0 1. INHALTSVERZEICHNIS 2. Abbildungsverzeichnis... 3 3. Dokumentenumfang... 4 4. Dokumente anzeigen... 5 4.1 Dokumente

Mehr

SANDBOXIE konfigurieren

SANDBOXIE konfigurieren SANDBOXIE konfigurieren für Webbrowser und E-Mail-Programme Dies ist eine kurze Anleitung für die grundlegenden folgender Programme: Webbrowser: Internet Explorer, Mozilla Firefox und Opera E-Mail-Programme:

Mehr

ANYWHERE Zugriff von externen Arbeitsplätzen

ANYWHERE Zugriff von externen Arbeitsplätzen ANYWHERE Zugriff von externen Arbeitsplätzen Inhaltsverzeichnis 1 Leistungsbeschreibung... 3 2 Integration Agenda ANYWHERE... 4 3 Highlights... 5 3.1 Sofort einsatzbereit ohne Installationsaufwand... 5

Mehr

2.5.2 Primärschlüssel

2.5.2 Primärschlüssel Relationale Datenbanken 0110 01101110 01110 0110 0110 0110 01101 011 01110 0110 010 011011011 0110 01111010 01101 011011 0110 01 01110 011011101 01101 0110 010 010 0110 011011101 0101 0110 010 010 01 01101110

Mehr

OP-LOG www.op-log.de

OP-LOG www.op-log.de Verwendung von Microsoft SQL Server, Seite 1/18 OP-LOG www.op-log.de Anleitung: Verwendung von Microsoft SQL Server 2005 Stand Mai 2010 1 Ich-lese-keine-Anleitungen 'Verwendung von Microsoft SQL Server

Mehr

Kurzanleitung GigaMove

Kurzanleitung GigaMove Kurzanleitung GigaMove Dezember 2014 Inhalt Kurzerklärung... 1 Erstellen eines neuen Benutzerkontos... 2 Login... 5 Datei bereitstellen... 6 Bereitgestellte Datei herunterladen... 6 Datei anfordern...

Mehr

Einleitung: Frontend Backend

Einleitung: Frontend Backend Die Internetseite des LSW Deutschland e.v. hat ein neues Gesicht bekommen. Ab dem 01.01.2012 ist sie in Form eines Content Management Systems (CMS) im Netz. Einleitung: Die Grundlage für die Neuprogrammierung

Mehr

Anleitung zur Mailumstellung Entourage

Anleitung zur Mailumstellung Entourage Anleitung zur Mailumstellung Entourage (Wenn Sie Apple Mail verwenden oder mit Windows arbeiten, so laden Sie sich die entsprechenden Anleitungen, sowie die Anleitung für das WebMail unter http://www.fhnw.ch/migration/

Mehr

Stundenerfassung Version 1.8 Anleitung Arbeiten mit Replikaten

Stundenerfassung Version 1.8 Anleitung Arbeiten mit Replikaten Stundenerfassung Version 1.8 Anleitung Arbeiten mit Replikaten 2008 netcadservice GmbH netcadservice GmbH Augustinerstraße 3 D-83395 Freilassing Dieses Programm ist urheberrechtlich geschützt. Eine Weitergabe

Mehr

Anleitung zum Anlegen und Bearbeiten einer News in TYPO3 für www.fk-havelland-mitte.de

Anleitung zum Anlegen und Bearbeiten einer News in TYPO3 für www.fk-havelland-mitte.de WEBandIT.net - Anleitung zum Anlegen und Bearbeiten einer News in TYPO3 für www.fk-havelland-mitte.de Die Internet-Seite wird intern durch das Programm TYPO3 verwaltet. Eine Anmeldung ist nur durch Zugangsdaten

Mehr

PeDaS Personal Data Safe. - Bedienungsanleitung -

PeDaS Personal Data Safe. - Bedienungsanleitung - PeDaS Personal Data Safe - Bedienungsanleitung - PeDaS Bedienungsanleitung v1.0 1/12 OWITA GmbH 2008 1 Initialisierung einer neuen SmartCard Starten Sie die PeDaS-Anwendung, nachdem Sie eine neue noch

Mehr

Anlegen eines SendAs/RecieveAs Benutzer unter Exchange 2003, 2007 und 2010

Anlegen eines SendAs/RecieveAs Benutzer unter Exchange 2003, 2007 und 2010 1 von 6 Anlegen eines SendAs/RecieveAs Benutzer unter Exchange 2003, 2007 und 2010 ci solution GmbH 2010 Whitepaper Draft Anleitung Deutsch Verfasser: ci solution GmbH 2010 Manfred Büttner 16. September

Mehr

Systemen im Wandel. Autor: Dr. Gerd Frenzen Coromell GmbH Seite 1 von 5

Systemen im Wandel. Autor: Dr. Gerd Frenzen Coromell GmbH Seite 1 von 5 Das Management von Informations- Systemen im Wandel Die Informations-Technologie (IT) war lange Zeit ausschließlich ein Hilfsmittel, um Arbeitsabläufe zu vereinfachen und Personal einzusparen. Sie hat

Mehr

Prozessbewertung und -verbesserung nach ITIL im Kontext des betrieblichen Informationsmanagements. von Stephanie Wilke am 14.08.08

Prozessbewertung und -verbesserung nach ITIL im Kontext des betrieblichen Informationsmanagements. von Stephanie Wilke am 14.08.08 Prozessbewertung und -verbesserung nach ITIL im Kontext des betrieblichen Informationsmanagements von Stephanie Wilke am 14.08.08 Überblick Einleitung Was ist ITIL? Gegenüberstellung der Prozesse Neuer

Mehr

Kommunikations-Management

Kommunikations-Management Tutorial: Wie kann ich E-Mails schreiben? Im vorliegenden Tutorial lernen Sie, wie Sie in myfactory E-Mails schreiben können. In myfactory können Sie jederzeit schnell und einfach E-Mails verfassen egal

Mehr

IRF2000 Application Note Lösung von IP-Adresskonflikten bei zwei identischen Netzwerken

IRF2000 Application Note Lösung von IP-Adresskonflikten bei zwei identischen Netzwerken Version 2.0 1 Original-Application Note ads-tec GmbH IRF2000 Application Note Lösung von IP-Adresskonflikten bei zwei identischen Netzwerken Stand: 27.10.2014 ads-tec GmbH 2014 IRF2000 2 Inhaltsverzeichnis

Mehr

Agile Vorgehensmodelle in der Softwareentwicklung: Scrum

Agile Vorgehensmodelle in der Softwareentwicklung: Scrum C A R L V O N O S S I E T Z K Y Agile Vorgehensmodelle in der Softwareentwicklung: Scrum Johannes Diemke Vortrag im Rahmen der Projektgruppe Oldenburger Robot Soccer Team im Wintersemester 2009/2010 Was

Mehr

SharePoint Demonstration

SharePoint Demonstration SharePoint Demonstration Was zeigt die Demonstration? Diese Demonstration soll den modernen Zugriff auf Daten und Informationen veranschaulichen und zeigen welche Vorteile sich dadurch in der Zusammenarbeit

Mehr

Inhalt. 1 Einleitung AUTOMATISCHE DATENSICHERUNG AUF EINEN CLOUDSPEICHER

Inhalt. 1 Einleitung AUTOMATISCHE DATENSICHERUNG AUF EINEN CLOUDSPEICHER AUTOMATISCHE DATENSICHERUNG AUF EINEN CLOUDSPEICHER Inhalt 1 Einleitung... 1 2 Einrichtung der Aufgabe für die automatische Sicherung... 2 2.1 Die Aufgabenplanung... 2 2.2 Der erste Testlauf... 9 3 Problembehebung...

Mehr

Zur Bestätigung wird je nach Anmeldung (Benutzer oder Administrator) eine Meldung angezeigt:

Zur Bestätigung wird je nach Anmeldung (Benutzer oder Administrator) eine Meldung angezeigt: K U R Z A N L E I T U N G D A S R Z L WE B - P O R T A L D E R R Z L N E W S L E T T E R ( I N F O - M A I L ) RZL Software GmbH Riedauer Straße 15 4910 Ried im Innkreis Version: 11. Juni 2012 / mw Bitte

Mehr

Skriptenverkauf Datenmodell. Lars Trebing, 4. Juli 2008

Skriptenverkauf Datenmodell. Lars Trebing, 4. Juli 2008 Skriptenverkauf Datenmodell Lars Trebing, 4. Juli 2008 Überblick Verkaufsvorgang Verkaufter Bestand Ärger Nummer Verkaufsvorgang Nummer Lagerplatz Abschlußzeitpunkt primär (ja, nein) Text Verkäufer Kunde

Mehr

Kommunikations-Management

Kommunikations-Management Tutorial: Wie importiere und exportiere ich Daten zwischen myfactory und Outlook? Im vorliegenden Tutorial lernen Sie, wie Sie in myfactory Daten aus Outlook importieren Daten aus myfactory nach Outlook

Mehr

DIRECTINFO 5.7 SICHERHEITSKONZEPTE FÜR BENUTZER, INFORMATIONEN UND FUNKTIONEN

DIRECTINFO 5.7 SICHERHEITSKONZEPTE FÜR BENUTZER, INFORMATIONEN UND FUNKTIONEN DIRECTINFO 5.7 SICHERHEITSKONZEPTE FÜR BENUTZER, INFORMATIONEN UND FUNKTIONEN - Whitepaper 1 Autor: Peter Kopecki Version: 1.2 Stand: Mai 2006 DIRECTINFO 5.7... 1 SICHERHEITSKONZEPTE FÜR BENUTZER, INFORMATIONEN

Mehr

MailUtilities: Remote Deployment - Einführung

MailUtilities: Remote Deployment - Einführung MailUtilities: Remote Deployment - Einführung Zielsetzung Die Aufgabe von Remote Deployment adressiert zwei Szenarien: 1. Konfiguration der MailUtilities von einer Workstation aus, damit man das Control

Mehr

Das RSA-Verschlüsselungsverfahren 1 Christian Vollmer

Das RSA-Verschlüsselungsverfahren 1 Christian Vollmer Das RSA-Verschlüsselungsverfahren 1 Christian Vollmer Allgemein: Das RSA-Verschlüsselungsverfahren ist ein häufig benutztes Verschlüsselungsverfahren, weil es sehr sicher ist. Es gehört zu der Klasse der

Mehr

Umgang mit der Software ebuddy Ändern von IP Adresse, Firmware und erstellen von Backups von ewon Geräten.

Umgang mit der Software ebuddy Ändern von IP Adresse, Firmware und erstellen von Backups von ewon Geräten. ewon - Technical Note Nr. 001 Version 1.3 Umgang mit der Software ebuddy Ändern von IP Adresse, Firmware und erstellen von Backups von ewon Geräten. 19.10.2006/SI Übersicht: 1. Thema 2. Benötigte Komponenten

Mehr

Anleitungen zum KMG-Email-Konto

Anleitungen zum KMG-Email-Konto In dieser Anleitung erfahren Sie, wie Sie mit einem Browser (Firefox etc.) auf das Email-Konto zugreifen; Ihr Kennwort ändern; eine Weiterleitung zu einer privaten Email-Adresse einrichten; Ihr Email-Konto

Mehr

GEZIELT MEHR SICHERHEIT MIT 4I ACCESS SERVER & 4I CONNECT CLIENT

GEZIELT MEHR SICHERHEIT MIT 4I ACCESS SERVER & 4I CONNECT CLIENT Seite 1/7 GEZIELT MEHR SICHERHEIT MIT 4I ACCESS SERVER & 4I CONNECT CLIENT ZENTRAL LOKALE MANAGEMENT-PLATTFORM FÜR EINE W ELTWEIT SICHERE INDUSTRIELLE KOMMUNIKATION. Seite 2/7 Auf den folgenden Seiten

Mehr

Hilfedatei der Oden$-Börse Stand Juni 2014

Hilfedatei der Oden$-Börse Stand Juni 2014 Hilfedatei der Oden$-Börse Stand Juni 2014 Inhalt 1. Einleitung... 2 2. Die Anmeldung... 2 2.1 Die Erstregistrierung... 3 2.2 Die Mitgliedsnummer anfordern... 4 3. Die Funktionen für Nutzer... 5 3.1 Arbeiten

Mehr

Gruppenrichtlinien und Softwareverteilung

Gruppenrichtlinien und Softwareverteilung Gruppenrichtlinien und Softwareverteilung Ergänzungen zur Musterlösung Bitte lesen Sie zuerst die gesamte Anleitung durch! Vorbemerkung: Die Begriffe OU (Organizational Unit) und Raum werden in der folgenden

Mehr

GEORG.NET Anbindung an Ihr ACTIVE-DIRECTORY

GEORG.NET Anbindung an Ihr ACTIVE-DIRECTORY GEORG.NET Anbindung an Ihr ACTIVE-DIRECTORY Vorteile der Verwendung eines ACTIVE-DIRECTORY Automatische GEORG Anmeldung über bereits erfolgte Anmeldung am Betriebssystem o Sie können sich jederzeit als

Mehr

Aufklappelemente anlegen

Aufklappelemente anlegen Aufklappelemente anlegen Dieses Dokument beschreibt die grundsätzliche Erstellung der Aufklappelemente in der mittleren und rechten Spalte. Login Melden Sie sich an der jeweiligen Website an, in dem Sie

Mehr

Anmeldeverfahren. Inhalt. 1. Einleitung und Hinweise

Anmeldeverfahren. Inhalt. 1. Einleitung und Hinweise Anmeldeverfahren Inhalt In dieser Anleitung finden Sie eine detaillierte Beschreibung der verschiedenen Anmeldeverfahren bzw. Zugangsberechtigungen anhand der verschiedenen Szenarien, die für Sie in der

Mehr

www.internet-einrichten.de

www.internet-einrichten.de E-Mail-Programme E-Mail Adresse einrichten Bei t-online, AOL, Compuserve, und anderen können Sie sich E-Mail-Adressen einrichten. Dies hat aber den Nachteil, dass Sie diese nur mit der entsprechenden Zugangssoftware

Mehr

Leichte-Sprache-Bilder

Leichte-Sprache-Bilder Leichte-Sprache-Bilder Reinhild Kassing Information - So geht es 1. Bilder gucken 2. anmelden für Probe-Bilder 3. Bilder bestellen 4. Rechnung bezahlen 5. Bilder runterladen 6. neue Bilder vorschlagen

Mehr

NetStream Helpdesk-Online. Verwalten und erstellen Sie Ihre eigenen Tickets

NetStream Helpdesk-Online. Verwalten und erstellen Sie Ihre eigenen Tickets Verwalten und erstellen Sie Ihre eigenen Tickets NetStream GmbH 2014 Was ist NetStream Helpdesk-Online? NetStream Helpdesk-Online ist ein professionelles Support-Tool, mit dem Sie alle Ihre Support-Anfragen

Mehr

Internationales Altkatholisches Laienforum

Internationales Altkatholisches Laienforum Internationales Altkatholisches Laienforum Schritt für Schritt Anleitung für die Einrichtung eines Accounts auf admin.laienforum.info Hier erklären wir, wie ein Account im registrierten Bereich eingerichtet

Mehr

Installationsanleitung für CashPro im Mehrbenutzerzugriff/Netzwerkbetrieb

Installationsanleitung für CashPro im Mehrbenutzerzugriff/Netzwerkbetrieb Installationsanleitung für CashPro im Mehrbenutzerzugriff/Netzwerkbetrieb CashPro basiert auf Accesstechnologie 2003 und ist auch unter den aktuellen Accessversionen 2007 bis 2013 einsetzbar und Mehrbenutzerfähig.

Mehr

Leitfaden zur Einrichtung za-mail mit IMAP auf dem iphone

Leitfaden zur Einrichtung za-mail mit IMAP auf dem iphone Dieser Leitfaden zeigt die einzelnen Schritte der Konfiguration des iphones für die Abfrage von Emails bei der za-internet GmbH. Grundsätzlich gelten diese Schritte auch für andere Geräte, wie dem ipod

Mehr

Arbeiten Sie gerne für die Ablage?

Arbeiten Sie gerne für die Ablage? University of Applied Sciences Arbeiten Sie gerne für die Ablage? Ihr Studium kommt nun in die Schlussphase, denn Sie haben sich gerade zur Abschlussarbeit angemeldet. Auch wenn das Ende Ihres Studiums

Mehr

Anti-Botnet-Beratungszentrum. Windows XP in fünf Schritten absichern

Anti-Botnet-Beratungszentrum. Windows XP in fünf Schritten absichern Windows XP in fünf Schritten absichern Inhalt: 1. Firewall Aktivierung 2. Anwendung eines Anti-Virus Scanner 3. Aktivierung der automatischen Updates 4. Erstellen eines Backup 5. Setzen von sicheren Passwörtern

Mehr

Wichtig ist die Originalsatzung. Nur was in der Originalsatzung steht, gilt. Denn nur die Originalsatzung wurde vom Gericht geprüft.

Wichtig ist die Originalsatzung. Nur was in der Originalsatzung steht, gilt. Denn nur die Originalsatzung wurde vom Gericht geprüft. Das ist ein Text in leichter Sprache. Hier finden Sie die wichtigsten Regeln für den Verein zur Förderung der Autonomie Behinderter e. V.. Das hier ist die Übersetzung der Originalsatzung. Es wurden nur

Mehr

Albert HAYR Linux, IT and Open Source Expert and Solution Architect. Open Source professionell einsetzen

Albert HAYR Linux, IT and Open Source Expert and Solution Architect. Open Source professionell einsetzen Open Source professionell einsetzen 1 Mein Background Ich bin überzeugt von Open Source. Ich verwende fast nur Open Source privat und beruflich. Ich arbeite seit mehr als 10 Jahren mit Linux und Open Source.

Mehr

Avira Server Security Produktupdates. Best Practice

Avira Server Security Produktupdates. Best Practice Avira Server Security Produktupdates Best Practice Inhaltsverzeichnis 1. Was ist Avira Server Security?... 3 2. Wo kann Avira Server Security sonst gefunden werden?... 3 3. Was ist der Unterschied zwischen

Mehr

Konfiguration VLAN's. Konfiguration VLAN's IACBOX.COM. Version 2.0.1 Deutsch 01.07.2014

Konfiguration VLAN's. Konfiguration VLAN's IACBOX.COM. Version 2.0.1 Deutsch 01.07.2014 Konfiguration VLAN's Version 2.0.1 Deutsch 01.07.2014 In diesem HOWTO wird die Konfiguration der VLAN's für das Surf-LAN der IAC-BOX beschrieben. Konfiguration VLAN's TITEL Inhaltsverzeichnis Inhaltsverzeichnis...

Mehr

Ihre Interessentendatensätze bei inobroker. 1. Interessentendatensätze

Ihre Interessentendatensätze bei inobroker. 1. Interessentendatensätze Ihre Interessentendatensätze bei inobroker Wenn Sie oder Ihre Kunden die Prozesse von inobroker nutzen, werden Interessentendatensätze erzeugt. Diese können Sie direkt über inobroker bearbeiten oder mit

Mehr

Bereich METIS (Texte im Internet) Zählmarkenrecherche

Bereich METIS (Texte im Internet) Zählmarkenrecherche Bereich METIS (Texte im Internet) Zählmarkenrecherche Über die Zählmarkenrecherche kann man nach der Eingabe des Privaten Identifikationscodes einer bestimmten Zählmarke, 1. Informationen zu dieser Zählmarke

Mehr

Netzlaufwerke der Domäne von zu Hause/extern verbinden

Netzlaufwerke der Domäne von zu Hause/extern verbinden Netzlaufwerke der Domäne von zu Hause/extern verbinden Hintergrundinformationen Normalerweise arbeiten Sie wahrscheinlich an einem Computer der Mitglied der Domäne CR ist. Beim Einloggen an dem Computer

Mehr

Abschluss Version 1.0

Abschluss Version 1.0 Beschreibung Der Abschluss wird normalerweise nur einmal jährlich durchgeführt. Dieses Tech-Note soll helfen, diesen doch seltenen aber periodisch notwendigen Vorgang problemlos durchzuführen. Abschlussvarianten

Mehr

Migration NVC 5.x auf NEM/NPro (Migration eines bestehenden, produktiven NVC Verteilservers auf NEM/NPro)

Migration NVC 5.x auf NEM/NPro (Migration eines bestehenden, produktiven NVC Verteilservers auf NEM/NPro) Migration NVC 5.x auf NEM/NPro (Migration eines bestehenden, produktiven NVC Verteilservers auf NEM/NPro) 1. Vorbereitung/Hinweise Norman Endpoint Manager und Norman Endpoint Protection (NEM/NPro) kann

Mehr

In diesem Tutorial lernen Sie, wie Sie einen Termin erfassen und verschiedene Einstellungen zu einem Termin vornehmen können.

In diesem Tutorial lernen Sie, wie Sie einen Termin erfassen und verschiedene Einstellungen zu einem Termin vornehmen können. Tutorial: Wie erfasse ich einen Termin? In diesem Tutorial lernen Sie, wie Sie einen Termin erfassen und verschiedene Einstellungen zu einem Termin vornehmen können. Neben den allgemeinen Angaben zu einem

Mehr

Software Engineering Klassendiagramme Assoziationen

Software Engineering Klassendiagramme Assoziationen Software Engineering Klassendiagramme Assoziationen Prof. Adrian A. Müller, PMP, PSM 1, CSM Fachbereich Informatik und Mikrosystemtechnik 1 Lesen von Multiplizitäten (1) Multiplizitäten werden folgendermaßen

Mehr

SAMMEL DEINE IDENTITÄTEN::: NINA FRANK :: 727026 :: WINTERSEMESTER 08 09

SAMMEL DEINE IDENTITÄTEN::: NINA FRANK :: 727026 :: WINTERSEMESTER 08 09 SAMMEL DEINE IDENTITÄTEN::: :: IDEE :: Ich selbst habe viele verschiedene Benutzernamen und Passwörter und wenn ich mir diese nicht alle aufschreiben würde, würde ich alle durcheinander bringen oder welche

Mehr

E-Mail-Verschlüsselung mit S/MIME

E-Mail-Verschlüsselung mit S/MIME E-Mail-Verschlüsselung mit S/MIME 17. November 2015 Inhaltsverzeichnis 1 Zertifikat erstellen 1 2 Zertifikat speichern 4 3 Zertifikat in Thunderbird importieren 6 4 Verschlüsselte Mail senden 8 5 Verschlüsselte

Mehr

Dokumentenverwaltung. Copyright 2012 cobra computer s brainware GmbH

Dokumentenverwaltung. Copyright 2012 cobra computer s brainware GmbH Dokumentenverwaltung Copyright 2012 cobra computer s brainware GmbH cobra Adress PLUS ist eingetragenes Warenzeichen der cobra computer s brainware GmbH. Andere Begriffe können Warenzeichen oder anderweitig

Mehr

BSV Software Support Mobile Portal (SMP) Stand 1.0 20.03.2015

BSV Software Support Mobile Portal (SMP) Stand 1.0 20.03.2015 1 BSV Software Support Mobile Portal (SMP) Stand 1.0 20.03.2015 Installation Um den Support der BSV zu nutzen benötigen Sie die SMP-Software. Diese können Sie direkt unter der URL http://62.153.93.110/smp/smp.publish.html

Mehr