Alexander Tsolkas I Klaus Schmidt. Rollen und Berechtigungskonzepte

Transkript

1 Alexander Tsolkas I Klaus Schmidt Rollen und Berechtigungskonzepte

2 herausgegeben von Peter Hohl Mit der allgegenwärtigen Computertechnik ist auch die Bedeutung der Sicherheit von Informationen und IT-Systemen immens gestiegen. Angesichts der komplexen Materie und des schnellen Fortschritts der Informationstechnik benötigen IT-Profis dazu fundiertes und gut aufbereitetes Wissen. Die Buchreihe Edition <kes> liefert das notwendige Know-how, fördert das Risikobewusstsein und hilft bei der Entwicklung und Umsetzung von Lösungen zur Sicherheit von IT-Systemen und ihrer Umgebung. Herausgeber der Reihe ist Peter Hohl. Er ist darüber hinaus Herausgeber der <kes> Die Zeitschrift für Informations-Sicherheit (s.a. die seit 1985 im Secu Media Verlag erscheint. Die <kes> behandelt alle sicherheitsrelevanten Themen von Audits über Sicherheits-Policies bis hin zu Verschlüsselung und Zugangskontrolle. Außerdem liefert sie Informationen über neue Sicherheits-Hard- und -Software sowie die einschlägige Gesetzgebung zu Multimedia und Datenschutz. Konfliktmanagement für Sicherheitsprofis Von Sebastian Klipper Security Awareness Von Michael Helisch und Dietmar Pokoyski Mehr IT-Sicherheit durch Pen-Tests Von Enno Rey, Michael Thumann und Dominick Baier Der IT Security Manager Von Heinrich Kersten und Gerhard Klett ITIL Security Management realisieren Von Jochen Brunnstein IT-Sicherheit kompakt und verständlich Von Bernhard C. Witt IT-Risiko-Management mit System Von Hans-Peter Königs Praxis des IT-Rechts Von Horst Speichert IT-Sicherheitsmanagement nach ISO und Grundschutz Von Heinrich Kersten, Jürgen Reuter und Klaus-Werner Schröder Datenschutz kompakt und verständlich Von Bernhard C. Witt Profikurs Sicherheit von Web-Servern Von Volker Hockmann und Heinz-Dieter Knöll '

3 Alexander Tsolkas I Klaus Schmidt Rollen und Bereehtigungskonzepte Ansätze für das Identity- und Access Management im Unternehmen Mit 121 Abbildungen PRAXIS 11 VIEWEG+ TELIBNER

4 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über < abrufbar. Das in diesem Werk enthaltene Programm-Material ist mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Der Autor übernimmt infolgedessen keine Verantwortung und wird keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieses Programm-Materials oder Teilen davon entsteht. Höchste inhaltliche und technische Qualität unserer Produkte ist unser Ziel. Bei der Produktion und Auslieferung unserer Bücher wollen wir die Umwelt schonen: Dieses Buch ist auf säurefreiem und chlorfrei gebleichtem Papier gedruckt. Die Einschweißfolie besteht aus Polyäthylen und damit aus organischen Grundstoffen, die weder bei der Herstellung noch bei der Verbrennung Schadstoffe freisetzen. 1. Auflage 2010 Alle Rechte vorbehalten Vieweg+Teubner Verlag I Springer Fachmedien Wiesbaden GmbH 2010 Lektorat: Christel Roß I Maren Mithöfer Vieweg+Teubner Verlag ist eine Marke von Springer Fachmedien. Springer Fachmedien ist Teil der Fachverlagsgruppe Springer Science+Business Media. Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Umschlaggestaltung: KünkelLopka Medienentwicklung, Heidelberg Druck und buchbinderische Verarbeitung: MercedesDruck, Berlin Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier. Printed in Germany ISBN

5 Dieses Buch widme ich Susanne Slater, die eine große Bedeutungin meinem Leben hat. Dieses Buchwidme ich meiner lieben Familie, Franzi, Helenund Olivia. Es tut mir sehr leid, dass ihrinder Zeit der Erstellung dieses Buches weniger vonmirhattet, und ich weniger voneuchhatte. Dies sei nun wieder anders.

6 Vorwort Berechti.gungen begegnen uns täglich in unserem Leben und jeder von uns besitzt eine Menge davon. Es sind Berecht:i.gungen. Türen zu öffnen, Fahrzeuge zu führen oder in ein Land einzureisen. Auch im. Untemehmen 1 und am Arbeitsplatz finden sich viele Berechtigungen für Dinge, die nur bestimmte Mitar~tun oder sehen dürfen. In diesem Buch konzentrieren wir uns auf IT-gestützte Berechtigungen im. Unternehmen und deren unternehmensweiteorganisation, Verwaltungund Steuerung. Es wirdzusehen sein, dass das Thema Rollen- und Berechtigungskonzeptekein vorwiegend technisches Thema ist obwohl es um IT-Berechti.gungen geht und die Verwaltung und Steuerung natürlich mit Hilfe der IT erfolgt Es sind vor allem die organisatorischen und konzeptionellen Teile, die über Erfolg und Misserfolg der Berechtigungsverwaltung entscheiden. Daher kommt der Planung der Berechtigungsorganisation eine besondere Bedeutungzu. In Kapitell stellen wir zunächst die Grundelemente der Berechtigungsthematik vor, beginnend mit der Klärung, was eine Berechtigung ist und aus was sie besteht Auch das Wesen von Rollen, Attributen oder Groppen wird hier erläutert. Einsteiger lernen hier die Elemente kennen, mit denen später gearbeitet wird, aber auchfür Profis ist vielleicht der eine oderandere interessanteaspekt dabei. Kapitel 2 widmet sich dem Management von Identitä1en und es wird erklärt, warum man nicht von Benutzern, sondern von Identitäten spricht Dort wird auch klar, dass der Begriff ldentitymanagementnichteindeutigverwendetwird. Ein wichtiges Element in der Berechti.gungsthematik ist die Rolle. Aus diesem Grund behandelt Kapitel 3 das Thema Rollenkonzept, darin geht es um die Fragen, warum Rollen sinnvoll sind und wie Rollen gefunden, organisiertund eingesetzt werden können. Für Fortgeschrittene werden auch komplexere Dinge wie Rollenhierarchien, Rollenebenen und Vererbungangesprochen. Kapitel 4 stellt mit dem Standard der rollenbasierten Zugriffskontrolle (Role Based Acress ControL RBAq den eher theoretischen Überbau der Berechti.gungssteuenmg vor. Zugriffsbedmgungenund -elemente lassen sich mathematischbeschreiben, und über Regeln können aufdiese WeisevollständigeZugriffspolici.es definiertwerden. 1 Werm in diesem Buch von Untem.ehmen die Rede ist, sind damit gleichermaßen auch andere Organisationen, Behörden usw. gemeint 2 Werm in diesem Buch die männliche Form der Bezeichnung einer Person gewählt wurde, so sind damit ingleicher Weise FrauenundMärmergemeint VIl

7 Vorwort In KapitelS geht es zur Sache, und der Weg von der Identität zu den Ressourcen wird mit Hilfe der in Kapitel 1 vorgestellten El.emente gestaltet. Sclmell wird hier klar, dass es dazu ganz verschiedene Möglichkeiten gibt und dass es auf die Situation und die Strategie im jeweiligen Unternehmen ankommt, welche der bestehenden Möglichkeiten als passend zu betrachtenist Den Prozess des Berechtigens, also die Frage, wie kommt eine Identität zu den Berechtigungen, wirdinkapitel 6 betrachtet, indem sich alles umdas Thema Provisioning dreht Die einzelnen Arten von Provisioning, sei es das User-, Resource-, Server- oder Service Provisioning werden besprochen und die Anwendung von Regeln und Policies im Provisioning gezeigt. Vor der Nutzung eines Systems bzw. einer Anwendung tritt ofunals mit dem Login eine erste, relativ globale Berechtigung auf, nämlich das Systembzw. die Anwendung überhaupt "betreten" zu dürfen. Kapitel 7 zeigt, welche Möglichkeiten für diese Authentifizierung zu finden sind, bevor in Kapitel 8 die Autorisierung thematisiert wird, d.h. die Zugriffskontrolle imsystembzw. deranwendung. Eine für viele Unternehmen spannende Sache ist das Thema Single Sign On, bei dem eine Identität mit dem Login Zugang zu allen Ressourcen bekommt, für die sie berechtigt ist Kapitel 9 beleuchtetdieansätzezu diesemkonzept Mit Kapitel 10 wird ein systemnahes Berechtigungskonzept mittels des Großrechnersicherheitssystem CA-ACF2 unter die Lupe genommen. Es wird beschrieben, wie man die Sicherheit mittels des von ACF2 bereitgestellten User Identification Strings -UID einer ganzen Organisationeinfach abbildenkann. Eine weitere, spannende Teclmologie im Bezug auf Berechtigungssysteme sind Meta Directories, denen Kapitel 11 gewidmet ist Dazu wird das Konzept von Verz.eichnisdiensten erklärt und gezeigt, wie ein Meta Directory für die Berechtigungsverwaltung eingesetzt werdenkann. Den Trend, Berechtigungennicht nur innerhalb des Unternehmens, sondernunternehmensübergreifend zu verwalten, greift Kapitel 12 auf, in dem das Thema Identity Federation besprochenwird. Neben dem allgemeinenkonzept finden sichauchdie technischenprotokolle wie SAML, SPML oder DSML, so dass verständlich wird, wie mit Hilfe von XML-basierter Kommunikation Berechtigungen systemunabhängig formuliert und verwaltet werden können. Kapitel 13 schließt das Buch mit Betrachhmgen zu den rechtlichen Rahmenbedingungen ab. Dabei werden wichtige rechtliche Grundlagen aufgezeigt, die nicht nur im Hinblick auf die BerechtigungsthematikRelevanz besitzen. VIII

8 Vorwort Neben den Autoren haben noch viele andere Personen Anteil an der Entstehung eines Buches, und so ist es auch bei diesem Buch. Das Seminar "Rollen- und Berechtigungskonzepte" des Management Circle, geleitet vom Autor Klaus Schmidt, gab ihm den Anstoß zu diesem Bu.c1l. daher seien an dieser Stelle auch die Referenten Wolfgang Scholz von der FinanzIT und Christian Himmervon der Bayerischen Landesbank erwähnt Alexander Tsolkas hatte den Antrieb, dieses Buch zu veröffentlichen aus der betrieblichen Praxis, da er in vielen Firmen, die er beraten hat und berät, zum Teil unstrukturierte Zustände im Identitätsmanagement vorfand. Erwähnt sei Michael Louis Smith, ehemals EDS Xerox Acrount in Rochester, N.Y., USA, mit dem der Autor 1994 in 2 Monaten vor Ort ein Rollen- und Autorisierungskonzept für ganz Xerox USA/Mexiko für die Mainframes unter ACF2 erstellen durfte. Hilfreich für dieses Buch war auch die Planung des Rollen- und Berechtigungskonzepts im Rahmen des Sicherheits- und Betriebskonzeptes für das Outsourcing der Bürokommunikationssysteme Land Baden-Württemberg, erwähnt sei Herr Grell von der StaabssteI1e für Verwa1tungsreform BaWü, von dem ich viel gelernt habe. Weiterhin möchte ich gerne erinnern an Otto Schell von General Motors Europe und Dr. alias Doc. Hildebrandt, damals Opel Revision, mit denen der Autor das Berechtigungskonzept der damals größten SAP-Installation in Europa für GME mit korrigieren durfte. Auch der Job meiner letzten Festanste11ung als CSO der Schenker AG, der es mirdamals möglich machte, 5 ganzejahre weltweit einen Einblick indie Sicherheit von Unternehmenzu gewinnen, trogzu diesem Buchbei. Die Autoren möchten sich bei allen bedanken. die in Gesprächen und Diskussionen einen Beitrag zu diesem Buch geleistet haben. Allen, die Ratschläge erteilt, konstruktive Kritik geübt und Hinweise gegeben haben: Ein herzliches Dankeschön dafür. Lieber Johannes, ein spezielles Dankeschön an den"rechtsgelehrten" für denreview vonkapitel 15. Unser Dank geht herzlichst an Fr. Dr. Roß vom Vieweg+Teubner Verlag für die Betreuung dieses Buchprojekts. Neuhofund Riedstadt, imfrühjahr 2010 Klaus Schmidt Alexander Tsolkas IX

9 Inhaltsverzeichnis Vorwort.vn 1 Elemente zurberechtigungssteuemng l 1.1 Berechtigung Rolle Business-Rolle Technische Rolle Attribut Gruppe Arbeitsplatzprofil Workset Profil Sammelprofil 19 2 Identitätsmanagetnent.. _ Der Identitätsbegriff Identitätsarten Identitätsträger Identifizierung einer Identität Identifizierung über Namen Identifizierung mitabstraktenbezeichnem Fazit Schutz derprivatheit Identitätsgefahren Identitätsmanagernent 35 XI

10 3 Rollenkonzept Motivation für die Verwendung von Rollen Rollenfindung und. Rollenbildung Auswertung vondokumentationen Aufnahme der Tätigkeiten Rollenhierarchie Rollenbeziehungen Vererbung vonrollen Anwendungsbeispiel derrollenhierarchie Rollenmodelle Multiple Role Model Single Ro1e Model 68 4 Role Based Access Control Core RBAC Referenztnodell Funktionale Spezifikation I-lierarchical RBAC Referenztnodell Funktionale Spezifikation für das GeneralI-lierarchical RBAC Constrained RBAC 77 5 Berechtigungssteuemng DiezweiSeitenderBerechtigungsthernatik Seite deridentitäten Seite der Ressourcen Quelldaten Personaldaten Organisationsdaten Systerndaten Applikationsdaten 88 Xß

11 Inhaltsverzeichnis 5.3 Rollenbasierte Berechtigungssteuerung Attributsbasierte Berechtigungssteuerung GmppenbasierteBerechtigungssteuerun KOIIlbinierte Berechtigungssteuerung % 5.7 Granularität derberechtigungssteuerung BerechtigungsIIuxielle Provisioning."""""""""""""""""""""""""""""""""""""""""""""""""""""""""""" " "" Userund Ressource Provisioning UserProvisioning Ressource-Provisioning UD 6.2 Server Provisioning Servire Provisioning Mobile Subscriber Provisioning Mobile ContentProvisioning U6 7 Zugrlffskontrolle über Authentifizierun~"""""""""""""""""""""" "".."""""""" UserID und Passwort Splitted Password Challenge Response Ticket-Systeme Authentifizi.enrng nachneedhamund Schroeder Kerberos SESAME OCE- Distributed COIIlputer Environment Authentifizi.enrng übertoken Synchrone Token-Erstellung Asynchrone Token-Erstellung Duale Authentifizierung 143

12 7.7 Digitale Zertifikate und Signaturen Digitale Zertifikate Digitale Signatur Biometrie Biometrie inder praktischenanwendung P.KI - Public Key Infrastructure Anforderungen anauthentifizierungsdienste Zugriffskontrolle über Autorisierung" """""""""""""""""" """""""""""""" Identitätsbezogene Zugriffskontrolle Ressourcenorientierte Zugriffskontrol1e Klassifizienmgsorientiert am Objekt und Subjekt (Macintosh) - Sensitivity Labels Rollenbasierte Zugriffskontrolle Zugriffskontrolltechnologien Rollenbasierte Zugriffskontrolle Regelbasierte Zugriffskontrol1e Schnittstellen miteingeschränkten Rechten Zugriffskontrollmatrix Autorisierungstabellen Zugriffskontrolllisten- ACL - Access Control List Inhaltsabhängige Zugriffskontrolle Verwa1tungder Zugriffskontrolle Zentralisierte Verwaltung RADIUS TACACS IJezentralisierte Verwaltung Hybride Verwaltung Methoden derzugriffskontrolle 173 XIV

13 Inhaltsverzeichnis 8.8 Zugriffskontrollstufen Physische Kontrolle Technische Kontrolle Adminstrative Kontrollen Single Sign On Problematik multipler Zugänge Erhöhter Helpdesk-Aufwand Produktivitäfsverlust durchmehrfachanwendungen Steigende Kompromittierungsgefahren. I Sinkende Anwenderakzeptanz undsinkende Transparenz Entwicklung vonssc) Passwortsynchronisierung durch denbenutzer Passwort:zentralisierung über die Plattfonn-Anmeldung Passwortsynchronisierung imbackend Erste echte SSC>-Ansätze I Grenzenvon SSC) bei Legacy-5ysternen Aufbau eines Single Sign On-Systerns Reposi.tory der Zugangsdaten Verwaltungssystemfür die Zugangsdaten I Schnittstellen (APIs, Logon-Gients, Scripting Engines) 1% Strenge Authentifizierung der zentralen Anmeldung Verwaltung der strengen Authentifizi.erung Sing1e-Sign-ün- Die ReaIisierungsvarianten Multifunktionale Smartcards SSC) über Kerberos SSC) über Portallösungen SSC)überTicketsysterne SSC) überlokale Systeme SSC)mitteIsPKI SSC) über Firewall-Erweiterungen 205

14 9.4.8 SS()überIdM-SysteJ:ne SS()überRAS-Zugänge ss()fürwebanwendungen.mitauthenticationtokens 2W 95 TechnologieundHerste11eransätze für die RealisierungvonSS() 2W 95.1 Microsoft Passport 2W 952 DasLiberty Alliance Pruject Slubboleth penID Der Cen.tral AuthenticationServer (CAS) Realisierung von SS()imUnternehmen Vor- und Nachteile SS() Kostenund Nutzen SS() Auswahl eines SS()Systerns Wiekannmanschnell SS()einführen SysteInnahesBerechti.gungskonzept Der AufbauvonACF BenutzerID-Recnrd DerUID- User Identi.fication String DieDataSet Rule DieResource Rule Resume Meta DirecloIy Die neuezentralität Zentrales Repository Aufbaueines Berechtigungssysterns Datenab1age (Repository) Zugangsschnittstelle für die Administration RuleEngine Provisioning-Komponente 24O XVI

15 Inhaltsverzeichnis VerwaltungssysteJ:n Kornmunikationskomponente GrundkonzeptVerzeichnisdienst Verzeichnisstandards Meta-Funktionalität Meta Directo:ry im Berecht:igungsmanagert Förderierte Identitäten- Identity Federation.HHHHHHHHHHHHHHHHHHHHH HH HHHHHHH Problem der Identitätsgrenze Untemehmensübergreifende Kommunikation Klassische Kornmunikationsrnittel Übertragung e1ektronischer Jnforrnationen Übertragung strukturierter elektronischer Infonnationen Konzept des Serviee-Netzes Webservices Anwendungsszenarien Zugriff auf externe Anwendungen Aufbau des Protokollstacks Hypertext Transfer Protrocol und Extensible Markup Language SOAP - Simple Object Access Protoo:>l WSDL - Web Services Description Services SAML - Security Assertion Markup Language SPML - Service Provisioning Markup Language DSML - Directory Service Markup Languge XACML - extensible Access Control Markup Language W5-Security ID-FF - Identity Federation Framework ADFS - Active Directo:ry Federation Services FIDIS- Future of Identity inthe Infonnation Society Zukunftsausblick Quantenverschlüsse1ung 278

16 13 Rechtliche Rahmenbedingungert SC>X KonTraG GoBS Datenschutzrechtliche EinfLüsse Weitere Vorschriften und Richtlinien Das h1.ternet und die GEZ NeueGesetze Informations- undrisikomanagement Basel MaRisk Die Rechtsfolgen von Non-CornpIiance 2% Strafverfolgung der Emittlungsbehörden Vorratsdatenspeicherung I-Iaftungsfragen Identitätsdiebstahl Archivierungspflichtenund digitale Betriebsprüfung Elektronische Rechnungen Mitarbei.terkontrolle Einsafz rechtssicherer Spam und Contentfilter Gestaltung von Betriebsvereinbarungen AbwesenfheitvonMitarbeitern 305 XVIII