SSO: ANFORDERUNGEN UND EINSATZSZENARIEN...

Transkript

1 Inhalt 1 SUMMARY BI-CUBE SSO: ANFORDERUNGEN UND EINSATZSZENARIEN Eigensicherheit Verfügbarkeit Gina Integration bi-cube SSO in der Terminalumgebung BI-CUBE SSO BRINGT EIN NEUES SECURITY-PROBLEM Duale Authentifikation Aktive Authentifikation Vier-Augen-Prinzip mit Biometrie Logon Manager VORTEILE VON BI-CUBE SSO Erhöhter Komfort für den Nutzer Kostenreduzierung (vor allem im UHD) Deutlicher Gewinn an Sicherheit WICHTIGE FUNKTIONEN VON BI-CUBE SSO Schneller Benutzerwechsel Registrierung einer bestehenden Systemberechtigung in bi-cube Definition eigener Anwendungen Freie Konfiguration des bi-cube SSO Clients Verwendung spezieller Hotkeys Verdecktes SSO Anmelde-Technologien Identifikation über Teams Logon Manager Service Zentraler Nutzerverwaltung durch Administrationstools Automatische Aktualisierung des Anwendungsprofils (SSOUPD) Weitere optionale Funktionen von bi-cube SSO Spezielle Dokumentationen Softwareverteilung Reaktion auf LAN-Verfügbarkeit und Netzwerkgeschwindigkeit Erweiterte Log Möglichkeiten durch das bi-cube SSO Event-Management PASSWORD MANAGEMENT Methoden des Password Managements Kennwortsynchronisation und bi-cube SSO Cluster bi-cube SSO Versions Cluster BI-CUBE SSO VERSUS FEDERATED IDENTITY info@secu-sys.de Web:

2 1 Summary Das Dokument fasst Erfahrungen aus Single Sign-On (SSO) Projekten zusammen und stellt vor allem die Anforderungen heraus, die in komplexen IT-Strukturen (und nur diese sind auf SSO-Lösungen angewiesen) unbedingt zu beachten sind, wenn ein SSO-Projekt erfolgreich sein soll. Diese Anforderungen münden in einer neuen Kategorie von SSO-Lösungen, die hier als bi-cube SSO bezeichnet wird. 2 bi-cube SSO: Anforderungen und Einsatzszenarien Die Notwendigkeit, sich mit dem Thema Single Sign-On zu beschäftigen, ergibt sich einerseits aus dem Aspekt der Sicherheitsanforderungen und der Benutzbarkeit der verschiedensten Systeme und Anwendungen mit jeweils eigener Berechtigungsveraltung. In einer solchen Systemvielfalt, die sich in den meisten Unternehmen sehr schnell ermitteln lässt, muss ein Nutzer in der Regel 3-6 verschiedene Anmeldungsprozeduren mit differenzierten Parametern (User-ID und Kennwort) den Vorschriften entsprechend im Kopf haben. Da dies sehr schnell unhandlich wird, greift der User zu Hilfsmitteln, die in der Regel gegen die Security-Richtlinien verstoßen. bi-cube SSO kombiniert bzw. optimiert die verschiedenen Möglichkeiten der übergreifenden Accountverwaltung mit dem Ziel, dem Nutzer eine komfortable Anmeldung zu ermöglichen und gleichzeitig die Sicherheit des gesamten IT-Systems zu erhöhen. Dabei übernimmt bi-cube SSO auf der obersten Ebene die Anmeldung für den User an die Teilsysteme, für die es keine systemübergreifenden Kennwort-Synchronisationen bzw. Identitätsübergaben gibt. Abbildung 1: Position des bi-cube SSO in Kombination mit anderen Identity Management Möglichkeiten Ein weiteres negatives Ergebnis dieser Systemlandschaft lässt sich jeden Montag oder nach längerer Abwesenheit (Urlaub, Krankheit) im UHD (User Help Desk) verfolgen, wenn nämlich die Zahl der Kennwort-Rücksetz-Anforderungen merklich ansteigt. info@secu-sys.de Web:

3 Vielfach vertrösten die IT-Verantwortlichen auf die geplanten Portal-Entwicklungen, die alles auf einen Schlag regeln sollen. Doch selbst unter diesem Aspekt (wenn er denn in endlicher Zeit realisiert wird) verbleiben noch mehrere Anmeldungen bzw. Authentifikationen (LAN, Mail, nicht portalfähige Anwendungen, das Portal selbst, usw.). Selbst wenn ein Portal die Ziel-Architektur ist, bleibt bi-cube SSO eine sinnvolle Ergänzung. Die hier vorgestellten Anforderungen beziehen sich auf das bi-cube SSO, das plattformübergreifend mit diversen Zusatzfunktionen sowohl die Security als auch die Benutzbarkeit der IT-Ressourcen erhöhen soll. Die konkrete Lösung geht dabei über diverse andere Ansätze deutlich hinaus, die unter diesem Kürzel Zusatzfunktionen von Standardsystemen (SAP, Microsoft, Novell, ) anbieten, die aber oft nur eine Synchronisation der Accounts innerhalb einer Plattform realisieren. Des Weiteren erfüllt bi-cube SSO diverse Nebenbedingungen und Zusatzfunktionen. bi-cube SSO stellt in einer bestehenden heterogenen Umgebung vom LAN auf Basis w2k / XP / AS über Unix und Host einen bi-cube SSO Client zur Verfügung, der alle wesentlichen Applikationen zusammenfasst. Mit wesentlich sind hier die Applikationen gemeint, die einer hinreichenden Anzahl von Usern (die 80% Grenze) bereitgestellt werden. bi-cube SSO ist in der verstärkt auftretenden Terminal Server Umgebung (Citrix, Microsoft) nutzbar. Mit Hilfe eines speziellen Dienstes (Logon Manager) ist es möglich, Biometrie in der Terminal Server Umgebung zu verwenden und dadurch bei dieser Art der Nutzung ein Höchstmaß an Sicherheit zu garantieren. bi-cube SSO besitzt Funktionen eines Application Launchers, IKS (Internes Kontrollsystem)- Funktionen wie das Vier-Augen-Prinzip und diverse Zusatzfunktionen wie schnellen Benutzerwechsel oder die User Selbst Registrierung (USR). bi-cube SSO bietet neben dem primären (zentralen) Profil dem Nutzer die Möglichkeit, sich ein eigenes personifiziertes SSO Profil anzulegen. Damit können nebengelagerte Systeme, die aus der Gesamtsicht des Unternehmens nicht SSO-relevant sind, durch den Nutzer individuell aufgenommen werden. Eine bi-cube SSO Funktionalität ist die offline Fähigkeit des bi-cube SSO Clients. Dies ist immer dann erforderlich, wenn der bi-cube Server oder Dienste (ismzamserver) auf dem bi-cube Server nicht zur Verfügung stehen. Außerdem ist es wichtig, dass auch Außendienstmitarbeiter unterwegs die Funktionen und Komfortabilität des bi-cube SSO Clients nutzen können. Der bi- Cube SSO Client erkennt die jeweiligen Systemumgebungen und stellt diese separat dar. Selbstverständlich besitzt bi-cube SSO eine hohe Eigensicherheit und Verfügbarkeit. 2.1 Eigensicherheit Das gesamte bi-cube SSO, beginnend bei der Rechteverwaltung der Administration, über die Datenspeicherung, den Transport der Anmeldedaten zum Client bis hin zur Speicherung auf dem Client ist in einem lückenlosen Security- Konzept untergebracht. info@secu-sys.de Web:

4 2.2 Verfügbarkeit Unter dem Aspekt, dass ein Nutzer sein Kennwort nicht mehr kennen kann, wenn es automatisch generiert wurde bzw. er es durch die Nutzung des bi-cube SSO Clients ganz einfach vergessen hat, ist die Verfügbarkeit der bi-cube SSO Funktionalität von hoher Bedeutung. Dies wird durch eine Clusterung der bi-cube Server mit Load Balancing, Applikations-Cluster, einer lokalen Speicherung des bi-cube SSO Profils und einer äußerst stabilen Client Software (bi-cube SSO Client) in hinreichendem Maße erreicht. User Abbildung 2: SSO-Architektur mit Hochverfügbarkeit Web:

5 2.3 Gina Integration Das bi-cube SSO bietet die Möglichkeit, mit einer eigenen GINA Komponente (ism GINA Stub) die Anmeldung an das System vorzunehmen. Die Funktionen der GINA (Graphical Identification and Authentication) und des bi-cube SSO Clients sind im bi-cube SSO miteinander optimal abgestimmt. Deshalb kommt ein bi-cube SSO in der Regel mit einer Integration der ism GINA Stub zur Anwendung. Dies ist insbesondere zur Eliminierung der im Folgenden beschriebenen Sicherheitsproblematik von Bedeutung. Diese GINA-Integration ist dann nicht erforderlich, wenn der Arbeitsplatz von mehreren Usern benutzt wird. Dann ist allerdings eine duale Authentifikation gegen den bi-cube SSO Client erforderlich. Abbildung 3: ism GINA mit Biometrie Web:

6 2.4 bi-cube SSO in der Terminalumgebung In der heutigen Zeit arbeiten immer mehr Unternehmen im Terminalbetrieb. bi-cube SSO kann sowohl im Citrix- als auch im Microsoft (RDP) Umfeld eingesetzt werden. Dabei spielt es keine Rolle, ob ausschließlich im Terminalumfeld gearbeitet wird oder aber in einem sogenannten gemischten Betrieb. Im gemischten Betrieb wird auf dem Windows Client und im Terminalumfeld jeweils ein bi- Cube SSO Client bereit gestellt. Für beide Umgebungen wird nur ein Profil zur Verfügung gestellt. Der Client kann selbstständig erkennen, in welcher Umgebung er sich befindet und ob die Applikationen auch verfügbar sind, die im bi-cube SSO bereitgestellt werden. Es kann frei definiert werden, ob nicht verfügbare Applikationen dargestellt werden sollen oder nicht. DB Server SSO Server bi- Cube DB ismzam Server Admin Tools bi-cube Services FP Archive User Client ID-Sensor winlogon + ism GINA User BioID Transfer SSO Client Terminal Server ADS AD Server Abbildung 4: bi-cube SSO im Terminalumfeld info@secu-sys.de Web:

7 3 bi-cube SSO bringt ein neues Security-Problem Vielfach wird der Einsatz einer SSO-Lösung abgelehnt, da dadurch ein neues Security-Problem generiert wird. Die Argumentation geht dahin, dass bei verschiedenen Accounts (User-ID und Kennwort) das Risiko eines geknackten Zugangs sich immer nur auf das konkrete System beschränkt und nicht auf alle Systeme gleichzeitig, die durch den bi-cube SSO Client erfasst werden. Hierfür bietet das bi-cube SSO eine entsprechende Lösung! Diese Lösung besteht aus den folgenden Komponenten: 3.1 Duale Authentifikation bi-cube SSO schafft einen gesicherten Zugang zum bi-cube SSO-Client. Hierzu gibt es verschiedene Ansätze, die unter dem Begriff Hochsicherheits-Authentifikation zusammengefasst werden. Dazu gehören alle Arten der dualen Authentifikation, vor allem in Verbindung mit Biometrie. 3.2 Aktive Authentifikation Die Biometrie hat außerdem den Vorteil der aktiven Authentifikation. Dies bedeutet, dass sie zu jedem Zeitpunkt abgefordert werden kann und immer die direkte Anwesenheit des Benutzers erfordert, was bei einigen anderen dualen Verfahren nicht immer gegeben ist. Ein duales Verfahren nützt wenig, wenn es auch in Abwesenheit des Benutzers (z.b. durch das Abfragen einer Chipcard) aktiviert werden kann. Die aktive Authentifikation ist in einem gesicherten bi-cube SSO durch die Modellierung vor jede besonders zu sichernde Anwendung vorzuschalten. Dies bedeutet, dass der Start einer solchen Anwendung im bi-cube SSO Client vorher die aktive Authentifikation des Benutzers erfordert. Er muss also im Moment des Startens persönlich anwesend sein und entweder eine biometrische Authentifikation vornehmen oder zumindest sein LAN Kennwort noch einmal aktiv eingeben, bevor die eigentliche Anmeldung startet. 3.3 Vier-Augen-Prinzip mit Biometrie Unter Anwendung der Biometrie- und bi-cube SSO Technologien können Anforderungen nach einer Zusatzfreigabe innerhalb eines Geschäftsprozesses (z.b. Freigabe von höheren Auszahlungen) eingefügt werden, ohne dass in die Anwendung eingegriffen werden muss. Der Freigebende nutzt ein Biometrie-Device, womit dann in bi-cube das Kennwort für die Freigabe ermittelt wird. Dieses wird dann mit der Anmeldetechnologie von bi-cube SSO in das Kennwort Eingabefeld automatisch eingefügt, ohne dass der Freigebende dieses Kennwort wissen muss. Abbildung 5: Vier Augen Prinzip mit Biometrie Web:

8 3.4 Logon Manager Der Logon Manager kann z.b. für die Authentifikation der Benutzer am bi-cube SSO benutzt werden, wenn der Windows Client im System Kontext gestartet wird. Mit Hilfe des Logon Managers besteht die Möglichkeit, der Authentifikation über Chipkarte für die Anmeldung an Windows und SSO und bei der Zusatzauthentisierung. Zusätzlich ist es möglich, den Fingerabdruck mit der Chipkarte zu kombinieren, um ein Höchstmaß an Sicherheit zu gewährleisten. Für die aktive Authentifizierung besteht die Möglichkeit, jede Applikation über ein Flag unterschiedlich abzusichern z.b. Chipkarte und Biometrie, nur Biometrie, etc. Abbildung 6: Logon Manager Web:

9 4 Vorteile von bi-cube SSO 4.1 Erhöhter Komfort für den Nutzer Dieser Effekt ist unbestritten und bei einem sicher funktionierenden SSO durch eine hohe Akzeptanz der Benutzer belegt. 4.2 Kostenreduzierung (vor allem im UHD) Dieser Faktor wird von allen Anbietern als ein primärer Effekt angegeben. Die Angaben zu den Einsparungen im UHD schwanken hier je nach Mut des Anbieters zwischen 30% und 60%. Auf alle Fälle wird durch bi-cube SSO eine wesentliche Reduzierung der UHD-Calls erreicht. Merklich wird dieser Effekt allerdings dadurch gesteigert, wenn bi-cube SSO mit bi-cube IPM zum Einsatz kommt (IPM = Identity & Provisioning Management). Hierzu zählen vor allem: Verfahren des Password Self Service Server-getriggerte Aktualisierung des lokalen Profils Keine Information des Users bei Zuteilung neuer Software (Start-Account) Zusätzlich ist zu berücksichtigen, dass durch bi-cube SSO Arbeits-Ausfälle des Nutzers, die durch verhinderte Systemzugänge bedingt sind, wegfallen und somit die Verfügbarkeit der IT-Infrastruktur insgesamt verbessert wird. bi-cube SSO kann außerdem wesentlich zur Reduzierung der Lizenzkosten beitragen. 4.3 Deutlicher Gewinn an Sicherheit bi-cube SSO (das u.a. obige Aspekte der Eigensicherheit usw. berücksichtigt) führt zu einer deutlichen Erhöhung des Security-Niveaus. Der Benutzer muss nicht mehr gegen Richtlinien der Handhabung von Kennwörtern verstoßen. Die Kennwort Regeln der einzelnen Systeme können sehr hoch angesetzt werden, da der Benutzer sich die Kennwörter nicht mehr merken muss. Die allgemein bekannte Sicherheitslücke der Übermittlung von Start Kennwörtern (per Mail oder Telefon) entfällt völlig. info@secu-sys.de Web:

10 5 Wichtige Funktionen von bi-cube SSO Neben den oben bereits genannten funktionellen Anforderungen, wie z.b. gemischter Betrieb unter Citrix, gehören folgende Funktionen zum bi-cube SSO: 5.1 Schneller Benutzerwechsel Durch den schnellen Benutzerwechsel kann die Wartezeit beim Ummelden (An- und Abmeldung) des Benutzers am Betriebssystem vermieden werden. Dazu meldet sich am Betriebssystem ein nicht personifizierter Nutzer und am bi-cube SSO Client eine konkrete Person an. Voraussetzung ist, dass die Anwendungen keine persönlichen Verzeichnisse benötigen. Diese Anforderung ergibt sich z.b. beim Einsatz in Krankernhäusern und im operativen Bankbetrieb. Abbildung 7: bi-cube SSO Client im schnellen Benutzerwechsel 5.2 Registrierung einer bestehenden Systemberechtigung in bi-cube Die Registrierung einer bestehenden Systemberechtigung in bi-cube ermöglicht dem Nutzer, sich selbst Applikationen zuzuweisen, zu denen er Zugang hat, die ihm aber im SSO nicht explizit zugewiesen wurden. Dieses Verfahren kann zur sanften Migration der Accounts in das bi-cube SSO genutzt werden. Dies ist oft die einzige Lösung, erstmalig das Kennwort eines Benutzers für eine Applikation dem bi-cube SSO bekannt zu geben. Dabei wählt der User ein durch das bi-cube SSO verwaltete System aus, zu dem er meint, einen Zugang zu besitzen. Durch Eingabe von User-ID und Kennwort ist bi-cube SSO in der Lage, eine automatisierte Anmeldung (im Namen dieses Benutzers) vorzunehmen. Wenn diese Anmeldung erfolgreich ist, werden die Anmeldedaten im bi-cube Server auf gültig gesetzt und stehen damit zur Verwendung bereit. Abbildung 8: bi-cube SSO Client und Registrierung einer bestehenden Systemberechtigung Web:

11 5.3 Definition eigener Anwendungen Mit Hilfe des bi-cube SSO Wizard kann sich der Benutzer selbstständig eigene Anwendungen, die nicht zentral vergeben, definieren. Diese erscheinen nach erfolgreichem Einscannen der Anwendung im bi-cube SSO Client und stehen dem Benutzer von dort aus sofort zur Verfügung. Selbst definierte Anwendungen werden in einem eigenen lokalen Profil gespeichert und stehen in keiner Beziehung mit dem zentralen Profil. Abbildung 9: bi-cube SSO Wizard Anmelden und scannen von Anwendungen Mit Hilfe des bi-cube SSO Wizard ist es möglich, Web (HTML, Java, ), Windows (Java, ) sowie Host Anwendungen zu scannen. Mit dem bi-cube SSO Wizard können Anwendungen mit variablem Fenstertitel und mehrstufigen Anmeldeprozeduren problemlos gescannt und verwaltet werden. Das Starten von Applikationen durch den Benutzer kann auf unterschiedlichem Wege geschehen. Der Benutzer hat die Möglichkeit, die Applikationen direkt aus dem bi-cube SSO Client, vom Desktop oder aus dem Start Menü zu starten. Das Anmelden durch den Benutzer wird mit Hilfe des bi-cube SSO Clients durchgeführt, welcher die Anmeldedaten direkt in die nötigen Eingabefelder einträgt und die Anmeldung durchführt. Intelligente Funktionen wie das Erkennen von gleichen wiederkehrenden URL s oder gleichnamiger Anmeldefenster sind Bestandteil von bi-cube SSO. 5.4 Freie Konfiguration des bi-cube SSO Clients Der Administration ist es möglich, mit Hilfe eines adm Files (administrative template) den Client vor zukonfigurieren und somit bestimmte Funktionalitäten zu deaktivieren bzw. zu ändern, die im Standard eingestellt sind. Einige Beispiele dazu sind die Verwendung des bi-cube SSO Wizard, die Definition von Hotkeys, das Sperren der Arbeitstation nach Inaktivität oder das Schließen des bi-cube SSO Clients. info@secu-sys.de Web:

12 5.5 Verwendung spezieller Hotkeys Hotkeys können auf unterschiedliche Weise konfiguriert werden. Erstens kann die Administration für eine bestimmte Definition der zu verwendenden Hotkeys durch die Registry sorgen. Und zweitens hat der Benutzer die Möglichkeit, eigene Hotkeys im bi-cube SSO Client zu definieren. Der Vorteil solcher Hotkeys ist, dass der Benutzer ihrer Hilfe schnell und unkompliziert bestimmte Aktionen auslösen kann, die sonst mehrere Arbeitsschritte erfordern würden. Aber auch schwer bedienbare Applikationen lassen sich mit der Definition von Hotkeys (z.b. Logon) aus SSO heraus bedienen. 5.6 Verdecktes SSO Mit dem verdeckten SSO können irgendwann im Verlauf der Nutzung einer Applikation erforderliche Authentifikationen realisiert werden. Es also geht nicht darum, den Start der Anmeldung durch ein automatisches Logon zu unterstützen, sondern innerhalb einer Anwendung erforderliche Authentifizierungen vorzunehmen. Diese können in einer Anwendung mehrfach und unterschiedlich erforderlich sein. Bei Notes kann der Benutzer z.b. mit F5 seinen Desktop sperren und muss diesen bei Weiterarbeit durch Eingabe des Kennwortes wieder entsperren. Da ihm im Regelfall das Kennwort aber nicht mehr bekannt ist, wird dies durch den bi-cube SSO Client erledigt. 5.7 Anmelde-Technologien Das bi-cube SSO stellt dem Administrator folgende Anmeldetechnologien zur Verfügung: Windows Capturing Durch das Windows Capturing ist es möglich, Windows (Java) Applikationen mit dem bi-cube SSO Client zu befüllen. Tastatur Simulation Die Tastatur Simulation ist eine Funktion des Windows Capturing, welche Tastaturanschläge simulieren und dadurch die Programmfenster bedienen kann. Security-Token Die bequemste and sichere Methode der automatisierten Anmeldung eines Users an ein System mit eigener Berechtigungsveraltung erfolgt mittels eines Security-Tokens (von manchen Herstellern auch als Zertifikat bezeichnet). Dabei generiert der SSO-Client ein Einmal-Passwort, das noch einige weitere Parameter (User-ID, Timestamp, System-ID des aufrufenden Systems) verschlüsselt enthält. Dieses Token hat eine begrenzte Lebensdauer (Standard =5 min) und wird vom Zielsystem wieder in seine einzelnen Parameter zerlegt und geprüft. Wenn die Laufzeit (5 min) überschritten oder das aufrufende System dem Zielsystem nicht bekannt ist, wird das Token abgewiesen. Anmeldung über eine API Diese Technologie der automatischen Useranmeldung ist die sichere Methode und wenn möglich die Methode der Wahl. Dabei bietet die Applikation ein Programm-Interface, das sowohl die Nutzeranmeldung als auch die Verwaltung der Logon-Daten im Zielsystem ermöglicht. Typische Beispiele hierfür sind SAP und Identifikation über Teams bi-cube SSO bietet verschiedenen Möglichkeiten, um sich am System oder an einer Applikation anzumelden. Eine dieser Möglichkeiten ist die Identifikation über Teams. Bei diesem Verfahren wird zentral ein Teamfile mit einer definierten Anzahl von Benutzern gebildet, die in diesem Teamfile enthalten sein sollen. Die Teammitglieder können sich nun an allen für sie definierten Arbeitsstationen ohne Angabe eines Benutzernamens oder Kennwortes anmelden. Der Benutzer wird durch das Teamfile eindeutig identifiziert und meldet sich mit seinem Profil an. Web:

13 5.9 Logon Manager Service Der Logon Manager ist eine Zusatzkomponente von bi-cube SSO. Diese Komponente ermöglicht es, Anmeldedaten zwischen dem Terminal Server und dem Client auszutauschen. Die Anmeldung am Terminal Server kann somit z.b. mit Hilfe des Fingerabdrucks oder einer Smartcard erfolgen. Auch eine zusätzliche Absicherung einzelner Applikationen innerhalb des bi-cube SSO Clients können so einfach und sicher geschützt werden Zentraler Nutzerverwaltung durch Administrationstools Das bi-cube SSO bietet neben dem bi-cube SSO Client eine ganze Reihe anderer wichtiger und vor allem nützlicher Tools. Eines der wichtigsten Administrationstools für die tägliche Arbeit ist der bi- Cube User Manager und der bi-cube Object Manager. Mit diesen beiden Tools ist es möglich, den gesamten Verwaltungsaufwand zu erledigen. Im bi-cube User Manager werden die Benutzer und deren Rechte verwaltet. Im bi-cube Object Manager werden Systeme definiert und mit speziellen Eigenschaften versehen wie z.b. Kennwortregeln. Aber auch Rollen und Teams können im bi-cube Object Manager definiert werden. Abbildung 10: bi-cube User Manager 5.11 Automatische Aktualisierung des Anwendungsprofils (SSOUPD) Bei Änderung des Profils in der bi-cube Datenbank wird eine Benachrichtigung an den bi-cube SSO Client gesendet, damit dieser das Anwendungsprofil des Benutzers aktualisiert. Hat der entsprechende Nutzer aktuell keinen bi-cube SSO Client gestartet, so wird die Benachrichtigung vorgemerkt. Damit erübrigt sich die Security-lastige Übermittlung von Start-Accounts an den User. Web:

14 5.12 Weitere optionale Funktionen von bi-cube SSO a) im bi-cube SSO kann eine maximale Sessiondauer definiert werden b) unterschiedliche Gültigkeitsdauer des Kennwortes für jedes System c) systemspezifische Gültigkeitsdauer der lokalen Anmeldung ohne Verbindung zum Server (wichtig für Außendienst) d) systemspezifische Angabe, ob ein System im bi-cube SSO Client gleich per Autostart genutzt werden soll e) Es kann für jedes System angegeben werden, von welchem System das Kennwort vererbt wird. f) Trennung der Systeme nach Systemumgebung (Application Launcher) 5.13 Spezielle Dokumentationen Das bi-cube SSO bietet neben den Nutzerdokumentationen, Systemdokumentationen und Onlinehilfen auch eine spezielle Dokumentation für die Administratoren. Diese spezielle Dokumentation ist ein Leitfaden, wie das bi-cube SSO konfiguriert und eingestellt werden kann. Alle Dokumentationen sind immer auf dem aktuellsten Stand und sowohl in deutsch als auch in englisch vorhanden. Eine Ausnahme bildet die Hilfe des bi-cube SSO Clients. Diese Dokumentation ist auch in spanisch verfügbar. Alle Dokumentationen werden im dem Windows chm Standard erstellt. Mit dieser Art von Hilfe ist es möglich, schnell und leicht das gewünschte Ergebnis zu finden. Es stehen unter anderem die Indexsuche, Suche nach Schlüsselworten und das Ablegen von Favoriten zur Verfügung Softwareverteilung Abbildung 11: bi-cube SSO Dokumentation Eine Möglichkeit, bi-cube SSO im Unternehmen auszurollen, ist die Softwareverteilung. Dabei spielt es keine Rolle, mit welcher Software bi-cube SSO verteilt wird. bi-cube SSO ist vollständig softwareverteilungsfähig Reaktion auf LAN-Verfügbarkeit und Netzwerkgeschwindigkeit Beim Start des bi-cube SSO Clients wird die Verfügbarkeit des bi-cube Servers getestet. Ist er nicht verfügbar, erfolgt eine Abfrage, welche Anwendungsprofile (persönlich und/oder lokal) weiter benutzt werden sollen. Bei manueller Aktualisierung wird erneut getestet und ggf. der Online-Zustand wiederhergestellt. Auf verminderte Netzgeschwindigkeit (z.b. bei VPN) wird mit dem Übergehen von zeitaufwendigen, aber nicht unbedingt notwendigen Aktionen (Test der Existenz von Dateien, Lesen der Icons) reagiert. Web:

15 5.16 Erweiterte Log Möglichkeiten durch das bi-cube SSO Event-Management Mit dem erweiterten Log ist es möglich, den Start des bi-cube SSO Clients und den Start von Anwendungen aus dem bi-cube SSO Client heraus in der Datenbank mitzuloggen. Diese Datensätze können später über den Report aufgelistet und ausgewertet werden und dann z.b. zur Lizenzoptimierung genutzt werden. Der bi-cube SSO Client des bi-cube SSO bietet für das Event-Management folgende Funktionen: 1. Logging der Anmelde- und Abmeldezeiten an den bi-cube SSO Client 2. Logging der Anmeldezeiten an ein System (zur Lizenzoptimierung) Abbildung 12: bi-cube SSO Log Datei Die Events lassen sich abhängig von den Auswertezielen aktivieren: Starten des bi-cube SSO Clients Beenden des bi-cube SSO Clients Aktualisieren des bi-cube SSO Clients Starten einer Applikation durch den bi-cube SSO Client Abbildung 13: Einstellmöglichkeiten für das Event Logging Standard-Auswertungen können nach folgenden Punkten erfolgen: Analyse nach Useranzahlen / Usern die ein ausgewähltes System länger als x Tage nicht genutzt haben Durchschnittliche Nutzungsrate (x mal in 30 Tagen) eines Systems und der Rollen, die dieses System zugeordnet haben info@secu-sys.de Web:

16 6 Password Management Wesentliches Qualitätsmerkmal eines Q-SSO ist die Leistungsfähigkeit des Password Managements, das sich zwangsläufig dadurch ergibt, dass der User sein Kennwort nicht mehr kennt. Password Management ist dann erforderlich, wenn das Kennwort im SSO und im Zielsystem nicht mehr synchron ist. Dies kann nicht völlig ausgeschlossen werden, wenn im Zielsystem der Kennwort- Wechsel durch den Benutzer selbst vorgenommen werden kann. In diesem Fall muss dem Benutzer die Synchronisation zwischen Zielsystem und SSO ermöglicht werden. Die SSO-Synchronisation gestattet es, dem Benutzer ein durch ihn evtl. verändertes Kennwort dem bi-cube SSO wieder bekannt zu geben. Als letzte Lösung bleibt immer noch das Rücksetzen des Kennwortes durch die bi-cube SSO-Funktionalität. Weiterhin ist Password Management für Systeme erforderlich, die einen Kennwort Wechsel erzwingen und bei denen es nicht möglich oder vertretbar ist, diesen abzustellen. Das Password Management soll von bi-cube SSO so weit als irgend möglich unterstützt werden. Das bedeutet, dass das bi- Cube SSO es dem Nutzer abnimmt, in definierten Zeitabständen sein Kennwort zu wechseln. Das Password Management ist vor allem durch die Spezifität jedes einzelnen Systems gekennzeichnet und dadurch auch recht komplex in Hinblick auf eine umfassende Realisierung. bi- Cube SSO ist dadurch gekennzeichnet, dass es eine breite Palette von technischen Möglichkeiten für das Password Management anbietet. 6.1 Methoden des Password Managements Manueller Wechsel (Methode 0) Der Benutzer wechselt selbständig im Anwendungsclient des Zielsystems das Kennwort. War der Wechsel erfolgreich, muss er das neue Kennwort über den bi-cube SSO Client im bi-cube eintragen. Diese Methode ist nicht sehr praktikabel, aber mit jeder Anwendung möglich. Manueller Kennwortwechsel mit automatischem Eintrag im bi-cube (Methode 1) In dieser Variante des manuellen Kennwortwechsels erkennt der bi-cube SSO Client das Auftreten des Kennwortwechselfensters und schneidet die Eingaben des Benutzers mit. Der bi-cube SSO Client trägt dann das neue Kennwort automatisch im bi-cube ein. Dezentraler Kennwortwechsel (Methode 2) Der bi-cube SSO Client überwacht die Kennwortgültigkeit. Droht ein Kennwort abzulaufen, löst der bi-cube SSO Client den Kennwortwechsel aus. Dazu wird ein neues Kennwort erzeugt und dann die Nutzeraktionen im Anwendungsclient des Zielsystems simuliert. Dezentraler Kennwortwechsel über API (Methode 3) Diese Methode entspricht der Methode 2. Nur wird hier die Eintragung des neuen Kennworts über die API der Anwendung vorgenommen. Die Nutzung der API des Anwendungsprogramms ist jeder anderen Methode vorzuziehen, da sie die höchste Sicherheit in der Funktionalität bietet. Herausforderungen ergeben sich mitunter dadurch, dass der Client mit der Anwendung in einem System-Kontext kommunizieren muss, um die Funktion des Kennwortwechsels ausführen zu dürfen. Web:

17 Zentraler Kennwortwechsel (Methode 4) Das Kennwort wird vom zentralen Password Manager gewechselt. Über den bi-cube Nachrichtenraum und einen entsprechenden Output-Connector erfolgt der Wechsel in der Zielanwendung. Nach Bestätigung durch die Anwendung wird das neue Kennwort auch im bi-cube eingetragen bzw. gültig gesetzt und ist damit für den bi-cube SSO Client nutzbar. Der Benutzer wird im Normalfall nicht vom Wechsel in Kenntnis gesetzt. Voraussetzung ist ein Output-Connector für die Zielanwendung, der in der Lage ist, eine Kennwortänderung durchzuführen. Die Gültigkeitsdauer im bi-cube IPM muss so eingestellt werden, dass der Password Manager dem Ablauf des Kennwortes in der Anwendung zuvorkommt oder der Verfall der Kennworte kann in der Anwendung abgeschaltet werden. Diese Methode zeichnet bi-cube SSO besonders aus, da sie sicher und für den Benutzer nicht transparent ist. Sie wird unabhängig davon ausgeführt, ob der Nutzer irgendwann angemeldet ist oder nicht. Allerdings ist diese Möglichkeit nur in solchen Systemen gegeben, die einen integrierten IPM- SSO-Architekturansatz verfolgen. Derzeit bietet dies nur die bi-cube Lösung des ism. 6.2 Kennwortsynchronisation und bi-cube SSO Cluster Eine generelle Kennwort-Synchronisation anstelle der bi-cube SSO-Lösung ist aus Security- Gründen prinzipiell ungeeignet. Innerhalb der bi-cube SSO-Lösung jedoch können System-Cluster gebildet werden, zwischen denen eine Kennwort-Synchronisation vorgenommen werden kann und sinnvoll ist. Beispielsweise zwischen allen Komponenten einer Produktfamilie, die sowieso gleichen Kennwort-Regeln unterliegen. Wobei die IPM-Philosophie eine Sternlösung realisiert. Das heißt, ein System im Cluster ist das führende System, in dem das Kennwort durch bi-cube SSO geändert wird. Diese Änderung wird dann an alle anderen Clustermitglieder weitergereicht. Dieses Prinzip bewährt sich auch bei Clustern, die sich aus gleichen Anwendungen unter verschiedenen Accounts ergeben. Eine Besonderheit dieser Kategorie ergibt sich dann, wenn mehrere Anwendungen den Benutzer an einem System (z.b. UNIX) authentifizieren. Aus Sicht des bi- Cube SSO hat jede Anwendung jedoch ein eigenes Kennwort. Das bi-cube SSO realisiert dann intern die Vererbung des Kennworts von dem führenden System. 6.3 bi-cube SSO Versions Cluster Eine spezielle Variante des bi-cube SSO Cluster ergibt sich dann, wenn eine Applikation in verschiedensten Versionen verwaltet und zugeteilt werden kann. Ein Beispiel ist Notes, das in unterschiedlichen Releases und Sprachversionen existiert und den Benutzern zugeteilt werden kann. Dieser Fall kann nur in einer realistischen Weise durch die enge Integration des bi-cube SSO mit der bi-cube IPM Lösung beherrscht werden. In diesem Fall wird Notes einmal als System und die Versionen / Varianten als Applikationen im IPM definiert, wobei der Account nur an das System gebunden ist; die Kennwortverteilung sich allerdings nach der Applikation richtet. Die Modellierung als Cluster sichert immer die richtige Anmeldung und erlaubt vor allem den Versionswechsel ohne Änderung der Accountdaten. info@secu-sys.de Web:

18 7 bi-cube SSO versus Federated Identity Eine SSO-Lösung ist grundsätzlich eine Notlösung für fehlende einheitliche Architekturkonzepte, die eine einmalige und einheitliche Authentifizierung über ALLE Anwendungen ermöglichen. (vgl. auch Bild 1) Für bestimmte Bereiche und Applikationsgruppen (z.b. eines Herstellers wie SAP) wird intern eine zentralisierte Identität bereitgestellt und von allen Anwendungen, die diese kennen, auch nutzbar gemacht. In der Ebene darüber bleibt aber immer (d.h. zumindest für absehbare Zeiten) ein Bereich von Anwendungen übrig, die nur durch ein SSO in Richtung einer Anmeldung konsolidierbar sind. Aus dieser Sicht bleiben SSO und Federated Identity zwei Möglichkeiten und teilweise auch zwei Ziele. Abbildung 14: Gegenüberstellung der Funktion von SSO und Federated Identity Web: