Sicherer Zugriff auf eine Gremienplattform

Transkript

1 Sicherer Zugriff auf eine Gremienplattform Thomas Braatz, Universität Leipzig SicherheitTrotz(t) IT 12. Tagung DFN Nutzergruppe Hochschulverwaltung

2 Sicherer Zugriff auf eine Gremienplattform Gliederung Aufgabenstellung Bisherige Verfahrensweise (Auszug) Fast papierlose Verfahrensweise (Auszug) Forderung des Datenschutzes und der IT-Sicherheit Lösung Probleme Weiterentwicklung

3 Aufgabenstellung Ersetzen der bisherigen Verfahrensweise Plattform zum Austausch von Dokumenten einfach zu bedienen Zugriff zu jederzeit, von überall Sicher! Archivierung aller Unterlagen einfache Suche mit jedem Gerät zu bedienen automatische Benachrichtigungen Papier sparen kostengünstig

4 Bisherige Verfahrensweise (Auszug) Senatoren Einreichen der Papierunterlagen für die Abstimmung im Senat bis Tag X 1 Prüfen der Unterlagen 2 Akademische Angelegenheiten Rücksprache mit der Rektorin 3 Rektorin 6 Korrigierte Fassung verschicken 5 Einarbeiten der Korrekturen ja Korrekturen? 4 6 Papierdokumente per Post verschicken Akademische Angelegenheiten nein 5 Dokumente drucken

5 fast papierlose Verfahrensweise (Auszug) Hochladen der Unterlagen für die Abstimmung im Senat und Metadaten hinzufügen Prüfen der Unterlagen 2 Rücksprache mit der Rektorin Senatoren 1 Akademische Angelegenheiten 3 Rektorin 6 Korrigierte Fassung bereitstellen 5 Einarbeiten der Korrekturen ja Korrekturen? 4 5 Akademische Angelegenheiten nein Dokumente in das Verzeichnis für alle Senatoren verschieben 6 Dokumente zur Aufbewahrung drucken

6 Forderung des Datenschutzes und der IT-Sicherheit An der Uni haben die Nutzer in der Regel für mehrere Dienste ein Passwort (statisch) WLAN, VPN, , AlmaWeb, Arbeitsverzeichnisse (AD-Basis) Die in der AD gespeicherten Passwörter werden für viele der oben genannten Dienste genutzt Problem: Ist das Passwort bekannt, dann kann man auf viele Dienste des Nutzers zugreifen

7 Forderung des Datenschutzes und der IT-Sicherheit Passwortprobleme Open SSL Bug (Load Balancer) Microsoft Office 365 Goole Weitergabe des Passwortes (z.b. Prof.->Sekr. )

8 Das geht aus einer Fehlermitteilung in Googles offiziellem Google kopiert Passwörter unverschlüsselt auf eigene Server Das Passwort zum eigenen Drahtlos-Netzwerk sollte man nie mit Fremden teilen, rät Google. Der Konzern warnt in einer Anleitung, man würde ja auch nie einem Fremden "den Schlüssel zum eigenen Haus geben". Bei der eigenen Backup-Funktion des Android-Systems missachtet Google diesen Hinweis: Der Dienst kopiert die W-Lan-Passwörter standardmäßig unverschlüsselt auf Google-Server. Betroffen sind alle Netzwerke, mit denen das jeweilige Android- Smartphone oder Tablet je verbunden war.

9 Microsoft warnt vor Passwort-Klau bei Windows Phones :56 Mit einem Security-Advisory weist Microsoft darauf hin, dass die Anmeldung in Firmen-WLANs mit Windows Smartphones das verwendete Passwort kompromittieren könnte. Ursache ist einmal mehr Microsofts längst geknacktes Authentifizierungsverfahren MS-CHAPv2. Eine Patch wird es nicht geben; statt dessen erklärt der Konzern, wie man Netze und Phones einrichten muss, um das Risiko zu vermeiden. Die Anmeldung in Firmen-WLANs erfolgt häufig über PEAP-MS-CHAPv2. Dabei sichert ein SSL-Tunnel die Anmeldung via MS-CHAPv2. Letzteres lässt sich durch Cloud- Dienste einfach und schnell knacken, wie der Selbstversuch Der Todesstoß für PPTP von heise Security eindrucksvoll bestätigte. Deshalb soll eine SSL-Verbindung die kaputte MS-CHAP-Authentifizierung absichern. Das funktioniert aber nur dann, wenn das Smartphone auch tatsächlich das präsentierte Server-Zertifikat überprüft. Sonst kann sich ein Angreifer mit einem gefälschten Hotspot als Man-in-the-Middle in Stellung bringen und den Anmeldevorgang belauschen. Mit dem via Cloud-Cracking ermittelten Kennwort kann sicher der Anwender dann selbst

10 im Netz anmelden. Microsoft will allerdings bislang keine deartigen Angriffe beobachtet haben. Das Problem ist hausgemacht und prinzipbedingt; einen Patch wird es demnach nicht geben. Microsofts Vorschläge zur Risikovermeidung bestehen folglich aus einer Anleitung wie man ein Firmen-CA-Zertifikat auf die betroffenen Smartphones mit Windows Phone 8 und Windows Phone 7.8 bekommt und dort die Überprüfung von Zertifikaten aktiviert. (ju)

11 Mac & i > News > 2015 > KW 6 > Outlook: EU-Parlament blockiert Microsofts neue App wegen Sicherheitsbedenken :26 Outlook: EU-Parlament blockiert Microsofts neue App wegen Sicherheitsbedenken Outlook läuft auf iphone, ipad und einer Vorab-Version auch auf Android-Geräten (Bild: Hersteller) Bedienstete des Europäischen Parlaments können ihre Mail-Konten nicht mehr über die Outlook-App abrufen. Die IT-Abteilung hat Microsofts mobilem - Client den Zugriff abgedreht wegen "schwerwiegender Sicherheitsmängel". Im EU-Parlament stößt Microsofts neue Outlook-App auf wenig Gegenliebe: Die IT- Abteilung hat Mitarbeiter darüber informiert, dass der Zugriff auf -Konten Quelle: Mac & i,

12 mit der ios- und Android-App ab sofort blockiert wird [ wie ein von Netzpolitik.org veröffentlichtes Schreiben zeigt. Dieser Schritt sei erfolgt, um den "Datenschutz und die Vertraulichkeit der Anwender zu gewährleisten", schreibt das Directorate-General for Innovation and Technological Support (ITEC). Abgeordnete und Mitarbeiter, die die App bereits installiert haben, sollen diese von ihrem Mobilgerät löschen und das Passwort ändern. Details zu den angeführten "schwerwiegenden Sicherheitsmängeln" nennt das Schreiben nicht. Der Grund für die Maßnahme dürfte aber darin liegen, dass die Outlook-App keinen direkten Kontakt zum -Server aufnimmt, sondern die s über Dritt-Server schleust [ um bestimmte Funktionen für Mobilgeräte bereitzustellen, wie beispielsweise Push-Benachrichtigungen. Darüber hinaus speichert die Outlook-App im Zusammenspiel mit bestimmten - Diensten, darunter Exchange, auch Benutzernamen sowie Passwort auf den Servern des Anbieters in den USA. Die Outlook-App basiert auf der Mobil- Software Accompli, die Microsoft im vergangenen Dezember aufgekauft hatte [ Android html]. (lbe ) Kommentare lesen (195 Beiträge) [ Outlook-EU-Parlament-blockiert-Microsofts-neue- App-wegen-Sicherheitsbedenken/forum /list/] Quelle: Mac & i,

13 Forderung des Datenschutzes und der IT-Sicherheit Speicherung von Dokumenten unterschiedlicher Art personenbezogne Daten (u.a. nichtöffentliche behandelte Vorlagen) -> Verschlüsselung der Dokumente auf der Plattform und beim Transport -> sicherer Zugriff keine personenbezogene Daten (unkritische) -> Transportverschlüsselung -> sicherer Zugriff

14 Forderung des Datenschutzes und der IT-Sicherheit Abgabe Verfahrensverzeichnis Festlegung des Fachverantwortlichen (Dezernat Akademische Angelegenheiten) Festlegung der technischen Betreuung (URZ-Mitarbeiter) Beschreibung Verpflichtung der Senatsmitglieder (Problem: Studierende)?

15 Lösung: Zwei-Faktor Authentifizierung Idee Neben dem Passwort (Wissen) wird ein weiteres Gerät (Besitz) benötigt Geplant ist ein Programm (App), das sowohl auf einem Laptop, Tablet oder Smartphone läuft (mind.: Android, ios, Windows und OS X)

16 Lösung: Zwei-Faktor Authentifizierung Umsetzung Sharepoint-Plattform (für die Dokumente und die Rechtevergabe mit AD-Anbindung) Test der Plattform ohne Zwei-Faktor- Authentifizierung mit ausgewählten Senatsmitgliedern wurde vom DSB abgelehnt Test der Zwei-Faktor-Authentifizierung

17 Lösung: Zwei-Faktor Authentifizierung Idee Für den sicheren Austausch des PINs wird ein weiterer Kommunikationskanal benötigt Nutzer Telefon mit SMS- Empfang Smartphone mit spezieller App verschicken einer mtan 2 Starten des Browsers und Anmelden per an der Gremienplattform, Eingabe des Namens und der vierstelligen PIN Laptop mit Browser 1 3 Gremienplattform LinOTP (One Type Passwort) Eingabe der sechsstelligen PIN

18 Lösung: Zwei-Faktor Authentifizierung Realität Nutzer sind nicht bereit, ihre privaten Geräte dafür zu nutzen (Preisgabe der Telefonnummer) Anschaffung von Smartphones für das Starten einer App (ohne Internetzugang!) zu teuer und Bedienung zu aufwändig jetzige Lösung: Verwendung von Token

19 Lösung: Zwei-Faktor Authentifizierung Realität Nutzer 2 PIN-Ablesen Token 1 Laptop mit Browser Starten des Browsers Anmelden per an der Gremienplattform, Eingabe des Namens Eingabe der vierstelligen und sechsstelligen PIN Gremienplattform 3

20 Probleme Änderung der Geschäftsordnung nicht nur Senatsmitglieder wollen/sollen zugreifen Sekretärinnen der Senatsmitglieder, Dekanatsräte, Stellvertreter vom Fachverantwortlichen Protokollierung Löschung

21 Senatsplattform Sitzungsdokumente

22 Weiterentwicklung Signierung von Dokumenten Kennzeichnung des rechtsgültigen Dokumentes Verschlüsselung von sensiblen Dokumenten Klassifizierung der Dokumente (vertraulich, offen )