SIM crypt. SIMcrypt. SmartCard Token. Man fragt sich, warum das jemals anders gemacht wurde.

Transkript

1 SIM crypt SIMcrypt Man fragt sich, warum das jemals anders gemacht wurde. SmartCard Token

2 SIMcrypt - speicherstarker SmartCard Token für jedermann Der Einstieg in die IT-Sicherheit ist kaum noch eine Geldfrage. Zahlreiche anerkannt gute und zugleich preisgünstige oder sogar kostenlose Programme helfen erfolgreich bei dieser Aufgabe. Das Maß der Sicherheit ist allerdings stets abhängig von der Qualität der verwendeten Passwörter. Und da hapert es oft. Denn wer kann schon komplizierte Zeichenfolgen fehlerfrei eingeben oder sich gar merken? Also werden die Schlüssel direkt auf ein handhabbares Maß vereinfacht. Dienen die Passwörter zugleich auch als Zugangsschutz zu Datenbanken wie z.b. KeePass, die parallel auf PCs wie auch auf mobilen Geräten verwendet werden, so gibt das am schlechtesten zu bedienende Gerät (meist Handy oder Tablet) den Grad der Passwort-Banalisierung vor. Abhilfe für dieses Problem versprechen zumindest für stationäre Systeme sogenannte Token. Solche Token gibt es zumeist in der Bauform eines USB- Sticks oder eines Chipkartenlesers. Herzstück ist dabei eine SmartCard, mal fest verbaut, mal austauschbar. Zum Aktivieren einer solchen SmartCard ist die Eingabe einer PIN erforderlich, wobei die Zahl der Versuche meist auf drei begrenzt ist. Nach einer erfolgreichen Authentifizierung sorgt ein Token dafür, dass ein kompliziertes Passwort von der Chipkarte in eine vordefinierte Anwendung Seite 2 von 5

3 übertragen wird. Man muss sich also nicht mehr das komplizierte Passwort sondern lediglich die SmartCard-PIN merken. Moderne Varianten dieser Token beziehen oft zusätzlich biometrische Informationen (Fingerprint) oder Berechnungswege für sogenannte One-Time-Passwörter mit in die Authentifizierung ein. Grundsätzlich sind Token aber jeweils nur zur Nutzung mit einer vorbestimmten Anwendung vorgesehen. Diese Begrenzung wird selten schlüssig begründet und wird vermutlich hauptsächlich durch wirtschaftliche Überlegungen geleitet. Auf Kundenseite ist somit für jede Anwendung einzeln abzuwägen, ob sie wertvoll genug für die Absicherung mit einem Token ist. Über diese künstliche Beschränkung setzt sich SIMcrypt, das neueste Produkt des Mobilfunk-Spezialisten Becker & Partner aus Aachen, elegant hinweg. SIMcrypt verwendet - der Name ist dabei Programm - als Token eine Mobilfunk SIM-Karte. Die Sicherheitsmerkmale (3 PIN, 10 PUK) sind vertraut und milliardenfach bewährt. Nebenbei verfügt die SIM-Karte über genügend Speicher, um etliche Schlüssel für verschiedenste Anwendungen zu speichern. Man erinnere sich nur an die Telefonbücher und SMS-Archive die vor dem Siegeszug der Smartphones auf diesen Karten abgespeichert wurden. SIMcrypt ist kein Passwortmanager. Die Aufgabe von SIMcrypt ist vielmehr die Absicherung besonders gefährdeter Objekte wie verschlüsselte Laufwerke, sensible Internet- oder Intranet-Zugänge oder eben Passwortmanager. SIMcrypt dient da gewissermaßen als Meta-Key. Mit SIMcrypt können Einträge von der SIM-Karte per drag-and-drop in die Zielanwendung übertragen werden ohne dabei die Zwischenablage oder den Tastaturspeicher zu verwenden. Dieses Bedienkonzept ermöglicht deshalb die Nutzung auch kompliziertester Passwörter und bietet zugleich durch die Ende-zu-Ende-Verschlüsselung einen hohen Schutz gegen Angreifer. Das Anzeigen von Zugangsdaten im Klartext ist nur zu Kontrollzwecken und hinter entsprechenden Bedienhürden vorgesehen. SIMcrypt ist wie alle SmartCard Token für die Verwendung in einer Desktop- Umgebung optimiert, kann aber selbstverständlich auch mit Notebooks Seite 3 von 5

4 verwendet werden. Tatsächlich werden aber Zusatzgeräte unterwegs regelmäßig als störend empfunden; dies gilt natürlich erst recht für Handys oder Tablets (ios oder Android). Für Mobilgeräte wird daher oft ein deutlich weniger sicheres Parallelsystem installiert, das sich nur auf Passworteingaben stützt. Der SIMcrypt -Blog liefert zu diesem Problem eine erstaunlich einfache Lösung auf der Basis von QR-Codes, die stationäre wie mobile Sicherungskonzepte effizient miteinander verbindet. Anwender die Bedenken hinsichtlich der Vertraulichkeit des PUKs haben, können bei SIMcrypt auch SIM-Karten nutzen, die keinerlei Netzzuweisung besitzen. Solche SIM-Karten haben den Vorteil, dass die Kartennummer ICCID/IMSI gelöscht oder geändert werden kann und damit die Ermittlung des PUKs verhindert wird. Alternativ bietet SIMcrypt auch die Möglichkeit, den Inhalt einer SIM-Karte zusätzlich sehr effizient zu verschlüsseln, was den hervorragenden Bedienkomfort allerdings etwas einschränken würde. SIMcrypt ist ein erstaunliches Produkt. An manchen Stellen vermisst man zunächst gewohnte Funktionen wie z. B. copy/paste, umfangreiche Tabellen oder Masken. Je intensiver man jedoch das Produkt im Alltag nutzt, desto deutlicher wird jeweils der Zweck, der mit dem Programmablauf verfolgt wird. Greift man dann noch die Anregungen zur Strukturierung der vertraulichen Daten auf, wird man ganz nebenher zu einem wahren Spezialisten der IT- Sicherheit. Seite 4 von 5

5 Becker & Partner Becker & Partner Aachen ist ein Spezial-Dienstleister für technische Kundendienste. Ein eigenständiger Geschäftsbereich ist seit den Anfängen der digitalen Mobiltelefonie mit SIM-Karten-Technologien und der SIM-Forensik befasst. Zahlreiche Netzbetreiber im Europa und den USA statten Ihre Kundendienste und Verkaufsstellen mit den SIM-Karten-Terminals von Becker & Partner aus und bieten ihren Kunden damit bestmöglichen technischen Service. Vergleichbares gilt hinsichtlich der SIM-Forensik für Ermittlungsbehörden und gerichtlich akkreditierte Sachverständige. Die Entwicklung von SIMcrypt beruht auf einer vieljährigen Erfahrung in den Bereichen Datensicherung und Chipkartentechnik. Kontaktdaten: Becker & Partner GmbH Neuenhofstraße 110 D Aachen Geschäftsführer Martin Becker, Johannes Müllmann, Jürgen Breuer Telefon: +49 (0)241/ Telefax: +49 (0)241/ SIMcrypt@becker-partner.de UStID-Nummer: DE WEEE-Reg.-Nr. DE Registergericht Amtsgericht Aachen HRB 4396 Seite 5 von 5