Produktinformation. Zusatzkomponente Useraktives Password-Reset für Windows. T e c h n o l o g i e n L ö s u n g e n T r e n d s E r f a h r u n g

Transkript

1 Useraktives Password-Reset für Windows T e c h n o l o g i e n L ö s u n g e n T r e n d s E r f a h r u n g

2 Inhalt 1 EINLEITUNG PASSWORD RESET IN DER WINDOWS-ANMELDUNG Neues Kennwort über bi-cube Anmeldung Eingabe der Sicherheitsfrage im bi-cube Web Password Reset über bi-cube Web Ändern des Windows Kennwort durch den User selbst Ändern des Windows Kennwort durch eine Drittperson Kennwort im bi-cube Web ZUSAMMENFASSUNG info@secu-sys.de Web: Seite 2 von 8

3 1 Einleitung Jedes vergessene Windows Kennwort stellt eine wesentliche Belastung der Mitarbeiter in den UHD dar. Zusätzlich ist bei einer Betrachtung der Wirtschaftlichkeit der aktuell genutzten Verfahren der Verlust von Arbeitszeit bei den betroffenen Mitarbeitern ins Kalkül zu ziehen. Um dieses Problem schnell und weitgehend automatisch zu beheben wird im Rahmen der bi-cube Suite ein Password-Self-Service auf verschiedenen Ebenen und mit differenzierten Sicherheitsstufen angeboten. Ist ein Kennwort noch zeitgemäß? Hier gilt sicher die alte Aussage: Totgesagte leben länger. Dass Kennwörter kein besonders komfortables und vor allem ein wenig sicheres Verfahren der Authentifizierung sind, ist eine allgemein anerkannte Erkenntnis. Trotzdem hält sich dieses Verfahren in den IT-Anwendungen mit bewundernswerter Hartnäckigkeit. Von verschiedensten Anbietern und auch von bi-cube werden bessere Verfahren bereit gestellt. Neben der Biometrie, die eigentlich die Methode der Wahl in Bezug auf Komfort und Sicherheit sein sollte, sind verschiedene Tokenverfahren verfügbar. Im bi-cube kann ein Secu-Token userbezogen generiert und in verschiedenen Applikationsebenen (PC, Citrix, Web) genutzt werden. In Verbindung mit einer PIN oder dem klassischen Kennwort stellt es als duale Authentifizierung ein bequemes und gleichzeitig sicheres Verfahren dar. Auf alle Fälle ist dieses Verfahren eher zu nutzen, als dass die Kennwortregeln so weit verschärft werden, dass sie für den normalen Nutzer nicht mehr zumutbar sind. Dieses Token ist einfach zu handhaben, gilt ca. 5 min. und enthält verschiedene Sicherheitsmerkmale. Trotzdem unterstützt bi-cube ein Password-Self-Service info@secu-sys.de Web: Seite 3 von 8

4 2 Password Reset in der Windows-Anmeldung Da das Kennwort offensichtlich noch lange leben wird, unterstützt bi-cube die dafür erforderlichen Managementaktionen. Als günstige Vorraussetzung ist zu sehen, dass in bi-cube diverse Informationen zum User und zu seinen Systemen und eventuellen Info-Kanälen bereits vorhanden sind und deshalb optimal zur Steuerung der Prozesse genutzt werden können. Damit ergeben sich erweiterte Sicherheitsmerkmale, die nur bei einer integrierten Lösung möglich sind. In der Steuerung sind diverse Fälle zu unterscheiden, die unterschiedliche Abläufe bedingen. Dies betrifft insbesondere folgende Aspekte: Administriert der User sein eigenes Kennwort oder nimmt dies ein Berechtigter für ihn wahr? Kann der User eventuell neue Kennwörter technisch auf einem definierten Kommunikationspfad noch empfangen oder nicht? Am besten ist natürlich, wenn ein User jede Kennwort- Aktion selbst vornimmt und bei Bedarf auch selbst die Information über ein neues Kennwort erhält. Im Folgenden werden die verschiedenen Varianten beschrieben. 2.1 Neues Kennwort über bi-cube Anmeldung Wenn dem User der Zugang zu seinem PC verwehrt wird, da er sein Kennwort vergessen hat, kann er z.b. keine Mails empfangen und erhält somit über diesen Weg auch kein neues Kennwort. Er kann dann aber den Link Kennwort vergessen? aktivieren und gelangt anschließend in ein zweites Fenster. In diesem Fenster werden ihm verschiedene Fragen gestellt. Art und Umfang der Fragen sind dabei konfigurierbar. Web: Seite 4 von 8

5 Für diese Lösung sind generell eine oder mehrere Sicherheitsabfragen definierbar, die der User vorher in der Webseite eingeben muss (siehe 2.2) Mehr als eine Abfrage sind in der Prüfung mit UND verknüpft. Zur Erhöhung des Sicherheitsniveaus können weitere in bi-cube enthaltene Attribute am User (mit der Eigenschaft Zwangsattribut) zur Abfrage hinzugezogen werden, deren Eingaben dann ergänzend geprüft werden. Der User kann dann, wenn im System seine Handy-Nummer hinterlegt ist, sich das neue Kennwort auf zwei Wegen zukommen lassen. Zu bevorzugen ist die Übermittlung per SMS, da auf diese Weise eine dritte Person ausgeschaltet ist. Im anderen Fall ermittelt bi-cube den Leiter und sendet diesem eine mit den neuen Kennwortangaben zu. Eine vom Wettbewerb bevorzugte Variante, dass der User im obigen Fenster gleich ein neues Kennwort eingibt, wurde aus Sicherheitsgründen verworfen. Im Falle eines Angriffs auf dieses Fensters kann der Angreifer für sich ein neues Kennwort einrichten. In der in bi-cube realisierten Variante wird das Kennwort erst vom System nach den Regeln der Password-Policy ver- und dann dem richtigen User übergeben. Dies wird dem User nach erfolgter positiver Prüfung in einem Fenster unter Angabe des genutzten Info-Kanals mitgeteilt: Web: Seite 5 von 8

6 Bei einer Falscheingabe erscheint hingegen dieses Fenster: 2.2 Eingabe der Sicherheitsfrage im bi-cube Web 2.3 Password Reset über bi-cube Web Im bi-cube Web werden verschiedene Möglichkeiten des Kennwort- Managements angeboten. Wenn ein User sein Kennwort für bi-cube noch kennt, kann er über das bi-cube IPM Web selbst sein Windows-Kennwort ändern. In diesem Fall kann die zusätzliche Übermittlung eines vom System generierten Kennworts entfallen, da der User sich ja bereits im IPM Web authentifiziert hat. Wenn er sich durch mehrfach falsches Eingeben des Kennworts selbst ausgesperrt hat und ihm aber das Kennwort wieder eingefallen ist (oder er hat den berühmten gelben Zettel gefunden), kann er auf diesem Wege die Sperre selbst wieder aufheben. Web: Seite 6 von 8

7 2.3.1 Ändern des Windows Kennwort durch den User selbst Ändern des Windows Kennwort durch eine Drittperson Wenn der User keinen eigenen Zugang zum bi-cube Web mehr hat, kann in seinem Bereich ein Berechtigter für ihn im bi-cube IPM Web das Kennwort neu setzen. In Ergänzung dazu muss der Haken gesetzt werden, dass der User bei der ersten Anmeldung sein Kennwort sofort ändern muss. Wenn diese Drittperson nicht das Wissen des Kennworts haben soll, kann die Option des Generierens im System und die Zusendung (wie oben beschrieben) erfolgen. Web: Seite 7 von 8

8 2.4 Kennwort im bi-cube Web Für das bi-cube IPM Web kann der Nutzer natürlich sein Kennwort selbst ändern. Wichtig ist hierbei, dass alle anderen bi-cube Komponenten, die eine Authentifizierung erfordern, mit geändert werden. 3 Zusammenfassung Mit den in bi-cube bereitgestellten Funktionen kann der jeweilige Login-Prozess den Erfordernissen im Unternehmen in weiten Bereichen angepasst werden. Damit wird einerseits das Security-Niveau deutlich angehoben und gleichzeitig der Aufwand im UHD merklich reduziert. Die Sicherheit wird durch das besondere Augenmerk auf sichere Prozesse (keine nicht berechtigte dritte Person im Ablauf) und das separate Zusenden des Kennworts durchgehend auf hohem Niveau gehalten. Ergänzender Einsatz des Secu-Tokens insbesondere beim Remote-Zugang und das SSO sind dabei wichtige weitere Bausteine in der Security Suite des ism. info@secu-sys.de Web: Seite 8 von 8