Sicherheitsarchitektur auf Basis einer Chipkarteninfrastruktur

Transkript

1 Sicherheitsarchitektur auf Basis einer Chipkarteninfrastruktur Dipl.-Inform. Ramon Mörl Der Inhalt des Vortrags beschäftigt sich mit den Schlüsselfaktoren der Entscheidung, eine Sicherheitsarchitektur auf der Basis einer Chipkarteninfrastruktur zu erstellen. Die Schlüsselfaktoren wurden bei der Beratung verschiedener Kunden während der Erstellung und Umsetzung einer Sicherheitsarchitektur identifiziert. Nicht jeder Kunde hat sich für die Chipkartentechnologie entschieden, aber jeder Kunde war an der Technologie und ihren Möglichkeiten interessiert. Wir wollen Ihnen nicht nur die Schlüsselfaktoren für eine Entscheidung präsentieren, sondern auch ein konkretes Projekt vorstellen. Deshalb enthält dieses Skript eine kurze Skizze der Projektinhalte mit konkreten Lösungsbeschreibungen. Im Anschluß daran finden Sie die Vortragsunterlagen mit den Entscheidungsfaktoren. 1. Einführung In diesem Text werden anhand des Lösungskonzeptes, welches für ein Großprojekt in Skandinavien entwickelt wurde, praktikable Vorgehensweisen bei der Umsetzung einer modernen Sicherheitsarchitektur in verteilten Netzwerken dargestellt. Die grundsätzliche Problemstellung einer Sicherheitsarchitektur ist es, das Spannungsfeld zu lösen, welches durch die Forderung nach sicheren, heterogenen, offenen IT-Systemen mit einer realistischen Kostenstruktur entsteht. Dazu sind folgende Schlüsselfaktoren zu berücksichtigen: I. Unsicherheitsfaktor Mensch: Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -1-

2 DV-Laien Digitale Signatur entspricht den realen Abläufen Rollenkonzept entspricht der Organistationsstruktur Single Sign On Multifunktionale Chipkarten Entlastung der Endbenutzer Sicherheit Akzeptanz der Benutzer Einfache Bedienbarkeit II. Skalierbarkeit für unterschiedliche Sicherheitsanforderungen: Mechanismusstärke Integrität Anonymität Vertraulichkeit Beweisbarkeit Verfügbarkeit III. kontinuierliche Investition durch eine sanfte Migration IV.hoher Wirkungsgrad durch optimierte Kosten Nutzen V. heterogene, offene Systeme durch standardisierte Sicherheit VI.Investitionsschutz Sehr gute Skalierbarkeit Administratoren Einfaches Vertretungskonzept Natürliche Gruppierung der Benutzer nach Rollen & Funktionen Einfache Abbildung organisatorischer Abläufe Multifunktionale Chipkarten Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -2-

3 2 Projektskizze In einer sehr heterogenen Umgebung mit über Endbenutzern, einer Infrastruktur bestehend aus Mainframes, Unix Servern und PC Clients mit Standardapplikationen und proprietären Client-Server Applikationen soll eine Sicherheitsarchitektur integriert werden. Die zentralen Elemente sind: I. Einsatz von Smartcards zur Authentifizierung der Endbenutzer II. ein rollenorientierter Zugriffsschutz III. Nutzung eines public key Kryptosystems IV.sichere Datenhaltung 3 Sichere Datenhaltung Die Entscheidung für ein X.500 konformes Adreßbuch zur Datenhaltung der nicht sensitiven Informationen ist bereits im Vorfeld gefallen. Um einen Investitionsschutz für die bestehende Infrastruktur zu gewährleisten, wird der vorhandene X.500 Dienst ebenfalls für die sensitiven Daten verwendet. Der X.500 Dienst bietet eine starke Authentifizierung nach X.509 und damit verbunden das Management von Benutzerzertifikaten. Durch den sicherheitsbewußten X.500 Dienst kann der limitierte Speicherbereich der Smartcards einer multifunktionalen Verwendung dienen. Im folgenden soll die Konzeption einer sicheren hochverfügbaren Datenhaltung mittels des X.500 Dienstes beschrieben werden. 3.1 Sicherheitsqualitäten Bereits in der Konzeptionsphase war klar, daß den einzelnen Benutzerattributen unterschiedliche Sicherheitsqualitäten zuzuordnen sind. So sind die Attributqualitäten Integritätsgeschützt, Anonym und Vertraulich zu unterscheiden. Außerdem ist die Sicherheitsqualität Verbindlichkeit für Ereignisse (z.b. Endbenutzerkommunikation mittels ) und zum Teil für die Inhalte der Ereignisse zu implementieren. Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -3-

4 3.1.1 Integrität Besonders interessant ist der Integritätsschutz von Attributen. Für einen rollenbasierten Zugriffsschutz ist evident, daß die Rollen, die einem Benutzer zugeordnet sind, genau diesen Integritätsschutz benötigen. Für die Konfigurationsdaten von verteilten Aplikationen ist ein Integritätsschutz besonders hilfreich, da ein zentrales Management einfach unterstützt wird und der Schutz vor einer lokalen Veränderung durchsetzbar ist. Ein kurzes Beispiele veranschaulicht, daß durch den Integritätsschutz von öffentlichen Daten ein wirksames Mittel eingeführt wird, um sehr einfache aber wirkungsvolle Angriffe zu verhindern. Das Beispiel beruht auf dem einfachen aber oft wirkungsvollen Angriff den eine Person durchführt, indem sie sich zwischen die eigentlichen Kommunikationspartner schaltet (man in the middle attack). Die Adresse der elektronischen Post ( ) eines Teilnehmers gilt nich als sensitiv. Sie ist zumeist auf Visitenkarten oder in Unterlagen enthalten, um eine Kontaktaufnahme zu erleichtern. Die verstärkte Benutzung von -Adressen ohnen mnemotechnischen Bezug zum Benutzernamen (z.b. Compuserve Adressen) erlaubt es durch eine leichte Modifikation der Adresse den Datenstrom umzuleiten. Der Sender einer Nachricht wird die Adresse ohne Bedenken angeben und seine Informationen damit dem falschen Benutzer zuschicken. Nachdem der Sender in dem elektronischen Briefkopf enthalten ist, kann der Angreifer nach Erhalt einer Nachricht diese lesen und mit einem gefälschten elektronischen Briefkopf an den in Wirklichkeit intendierten Empfänger weiterleiten. Dieser Angriff wird über einen langen Zeitraum unbemerkt bleiben. Je nach belieben kann der Angreifer aber auch einzelne Dokumente zurückhalten oder modifizieren. Der dadurch entstehende Schaden ist offensichtlich. Eine ähnliche Kompromittierung kann eine Modifizierung der Faxnummer eines Teilnehmers mit sich bringen Vertraulichkeit Die Vertraulichkeit von personenbezogener Information trägt dem Datenschutzgesetz Rechnung. Selbst dem Administrator, der über backup Medien jederzeit Zugang zu den personenbezogenen Daten hat, wird damit die Möglichkeit gegeben mit diesen Daten und den dazu gehörenden Datenträgern ohne Restriktionen durch das Datenschutzgesetz zu hantieren. Wichtig für die Benutzerakzeptanz ist hier, daß der Administrator vor ungerechtfertigten Verdächtigungen geschützt wird. Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -4-

5 3.1.3 Anonymität Die Anonymität einzelner Daten stellt sicher, daß nur unter besonderen organisatorischen Voraussetzungen, zum Beispiel der Zustimmung durch den Betriebsrat, die Anonymität der Daten aufgehoben werden kann. Die Aufhebung der Anonymität erfordert dann eine Mehr-Personen-Authentifizierung (4-Augen-Prinzip). Dieses läßt sich auch asynchron durch die Verwendung der public key Technologie implementieren. 3.2 Datenmodellierung Mit dem Vertraulichkeitsschutz und der Anonymität geht allerdings einher, daß die Daten nicht mehr mit normalen Suchfiltern behandelt werden können. Deshalb ist besondere Sorgfalt bei der Erstellung des Datenmodells geboten. Die allgemeine Relevanz dieses Schutzes in beliebigen Datenbankanwendungen ist nicht gegeben. Das hierarchische Datenmodell des X.500 Dienstes erlaubt es jedoch, unerwünschte Suchfilter auszuschließen. Die Relevanz des Ausschlusses von Suchfiltern auf sicherheitskritischen Daten zeigt auch die öffentliche Diskussion, um die Zulässigkeit von frei verfügbaren nationalen Telefonbüchern mit nicht restriktiven Suchkriterien. Diese Diskussion ist nicht zuletzt durch die nationalen Datenschutzbeauftragten initiiert, die verstärkt Bedenken gegen eine solche Praxis anmelden. 4 Integritätsgeschützte Attribute Die Qualität Integritätsgeschützt wird als Grundlage für den rollenbasierten Zugriffsschutz verwendet. Der Intergitätsschutz wird durch eine digitale Signatur realisiert. Durch die Anpassung der Metadaten des X.500 Dienstes (data-dictionary) ist es möglich, daß der X.500 Server (DSA) die Integrität des Attributes prüft und damit eine nicht autorisierte Modifikation erkennt (sicherheitsbewußte Datenbank). Die Integrität wird zusätzlich auf der Client Seite durch die identischen Algorithmen überprüfbar. So kann z.b. jede Applikation die Integrität ihrer Konfigurationsdaten überprüfen bevor diese akzeptiert werden. Von besonders hohem Wert wird dieser Ansatz, wenn die organisatorischen Randbedingungen bei der Vergabe von Rollen mehrere Autoritäten in verschiedenen Organisationen involvieren. Dies sei an einem Beispiel dokumentiert. In einem Organigramm definiert eine Firma die hierarchische Struktur, die eine Personalverantwortung für Mitarbeiter mit sich bringt. Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -5-

6 Vorstand Kaufmä nnischer Bereichsleiter Technischer Bereichsleiter Stabsstelle Abteilungsleiter des Bereichs Gruppen der Abteilung Mit ar bei ter Neben dieser Organisationsstruktur gibt es Arbeitsgruppen, welche übergreifend über die Organisationseinheiten definiert sind. Diese können über Standorte hinweg durch Mitarbeiter von Joint-Ventures oder durch Mitarbeiter externer Firmen die nötigen Ressourcen decken. Eine fachliche Weisungsbefugnis zusammen mit der Zuordnung von kommerziellen Mitteln ist hier ohne eine Führungsverantwortung gegeben. Die Vergabe von fachlichen Rollen liegt deshalb in Verantwortungsbereichen, die von den organisatorischen Führungsverantwortungen getrennt sind. Jeder Verantwortungsbereich dokumentiert durch eine digitale Signatur, daß eine konkrete Person über einen definierten Zeitraum mit einer Rolle in diesem Verantwortungsbereich beauftragt wurde. So entstehen in natürlicher Weise Vertrauensketten, welche die reale Situation, die durch Absprachen und Vereinbarungen entsteht, exakt nachbilden. Das Datenmodell stellt Vertrauen zwischen Organisationseinheiten her, die keine gemeinsame Ver-waltung haben Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -6-

7 Die Zertifizierungsautorität stellt die Infrastruktur für die Vertrauenskette zur Verfügung Die Übertragung von Vertrauen wird durch eine digitale Signatur dokumentiert und erhält damit Beweiskraft Die Vorgehensweise ist intuitiv und schützt deshalb vor Bedienungsfehlern In diesem Modell kann der Einzelne für die Dauer seines Urlaubs oder reisebedingter Abwesenheit seine verschiedenen Rollen vorab an andere Personen delegieren. Bei einer zentralen Planung kann ein Vertretungskonzept auch automatisiert werden und auf unvorhersehbare Ereignisse z.b. Krankheit erweitert werden. Damit wird die Verfügbarkeit der Dienste im System deutlich erhöht. Technisch wird dieses Verfahren realisiert, indem im Datenmodell einem Attribut die Qualität integritätsgeschützt zugeordnet wird. Zusätzlich wird der Verantwortungsbereich definiert, der die Befugnis hat diese Daten zu erstellen und zu verändern. Name Typ: Octet-String Verantwortlich: Persabt. Rolle Benutzerverwaltung Verantwortlich: Leiter RZ Rolle Koordination AG Sicherheit Verantwortlich: Datenschutzbeauftragter Faxnummer Verantwortlich: TK-Vergabe -Adresse Verantwortlich: X.400 Admin Gehalt Vertraulich Verantwortlich: Persabt. Den einzelnen Applikationen oder Kommunikationspartnern ist es nun in einfacher Weise möglich nach einer positiven Authentifizierung des Benutzers die Rollen des Benutzers in einer integritätsgeschützten Weise abzufragen. Bedeutet dies eine zusätzliche Belastung für die Services, die nicht in Kauf genommen werden kann, wird der Benutzer bzw. die Applikation, die für den Benutzer tätig ist, die signierten Rollen mit einer Anfrage zusammen an den Server schicken. Der Server verifiziert dann die korrekte Signatur der Benutzerrollen. Dies ist ein Konzept wie es im SESAME Projekt bereits durch das PAC Modell erarbeitet wurde. Die Signaturdaten werden getrennt von den Nutzdaten aufbewahrt, so daß alle Filterfunktionen und Vergleichoperationen auf den Datensätzen unberührt bleiben. Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -7-

8 Die Implementierungen von rollenorientierten Zugriffsschutzmechanismen in vergangenen Projekten haben gezeigt, daß ein rollenbasierter Zugriffsschutz durch seine einfache Administration signifikant Kosten spart und durch die Übersichtlichkeit eine höhere Sicherheit gegen menschliche Fehler bietet. Dieses Referat kann Ihnen aufgrund des limitierten Umfangs nur einen Ausschnitt der komplexen, realisierten Gesamtsituation präsentieren. Für weitere Fragen stehen wir Ihnen gerne im Rahmen dieser Fachkonferenz, bei unseren Seminaren zum Thema IT-Sicherheit oder im persönlichen Kontakt zur Verfügung. 5 Entscheidungsfaktoren (siehe Vortragsfolien) Chipkarten - Infrastruktur für eine Sicherheitsarchitektur Seite -8-