Absicherung von Versicherungsgeschäftsprozessen in die interne IT am Einfallstor

Transkript

1 Absicherung von Versicherungsgeschäftsprozessen in die interne IT am Einfallstor Präsentator: Friedrich Oesch Head of Professional Service Web Application Security Ergon Informatik AG

2 Facts & Figures Ergon Informatik AG Founded in employees, 7 apprentices 90% with university degree 32.5 Mio CHF turnover (2012) Privately held Breakdown of turnover by sector Finance Public Sector Industry Telecommunica=ons Located in Zurich Vortragsort XXX, <Datum>

3

4 Key Criteria for Applica=on Security Whom are we dealing with? Access Control What are we dealing with? Filtering

5 Ausgangslage Versicherung 1 Versicherung 2 Versicherung 3 Versicherung 4 Versicherung X Broker 1 Broker 2 Broker 3 Broker 4 Broker 5 Broker X Makler und Versicherer müssen die Benutzer individuell verwalten

6 Identity Plattform Versicherer1 Versicherer 2 Versicherer 3 Versicherer 4 Versicherer X Broker 1 Broker 2 Broker 3 Broker 4 Broker 5 Broker X Zentrale Benutzerverwaltung bedeutet reduzierten Aufwand!

7

8

9 Self- Services: ein paar Beispiele

10

11 Mo=va=on: Skalierung und Kostenersparnisse Beispiel 1: Self- Migra=on Token A à B Beispiel 2: Self- Registra=on Beispiel 3: Accounts verknüpfen Beispiel 4: Self- Unlock Fazit: WAF- und Auth- Infrastruktur kann dank zentraler Lage für weitere sicherheitskri=sche Workflows genutzt werden.

12 Beispiel: Migra=on Token1 zu Token2 Änderung der Handynummer? Handynummer? Authentisch? Briefversand? Neuregistrierung? Köln,im Comet,

13 Beispiel: Accounts verknüpfen mbutikof

14

15 IG B2B BrokerGate Gesamtsystem Th. Kessler / Broker MaklerSW Enrollment WS Client Filetransfer WS Client Benutzer Broker- Admin Internet 1ld Firewall (first level of defense) IG-Admin IDP-Admin Shared DMZ Web Application Firewall (WAF) 2ld Firewall VU-Admin Broker Registration WS Client Comm. GW Login Application Jumping Page DXP WebGUI Broker- Admin Admintool VU- Admin IG- Admin SAML SP (Service Provider) SAML SP (Service Provider) User Provisioning Webservice IKP IG B2B VU Brokerportal ACE- Server Shared Infra Zone Systems Mgmt. Backup Mgmt. IDP Mgmt. Firewall Strong Auth. SMS SecurID SuisseID SSO-Srv. SAML IdP SAML Single SignOn SAML Single Logout IDP Database Zone TechUser Enrollment Webservice Filetransfer Proxy WS Server vis-a-vis MSW DXP-Srv. IDP DB DB-Server Client vis-a-vis VU IDP Audit Trail Task Server User Mgmt. Roles Mgmt. Web Services User Provisioning Broker Registration IMI-Srv. 2ld Firewall IDP- Betreiber User Provisioning Webservice Filetransfer Webservice (inkl. Filebox) Versicherer

16 Strategic Web Entry Solu=on

17 Key Criteria for Applica=on Security Whom are we dealing with? Access Control What are we dealing with? Filtering

18 SSO für Brokerportale Benutzerinforma=onen SAML Asser=on oder Ar=fact Authen=sierung und SSO (SAML) Interak=ve Anmeldung Medusa Airlock WAF Benutzer - informa=onen (SAML Ar=fact) VU VU VU VU VU SMS Secure ID PKI Jumping Page Admin- tool DXP WebGUI Broker Portale Versicherungen BrokerGate BrokerGate Benutzerinforma=onen abholen (SAML Ar=fact Resolu=on)

19 Herausforderungen SSO bei der Anbindung von VU SAML- Know- how SAML- Integra=on SAML- Logout Die SSO- Anbindung war mit Produkten unterschiedlicher Hersteller dank SAML- Standard kein großes Problem.

20 SAML, OAUTH, Cloud SAML 2.0 OAUTH 2.0 Cross Domain SSO with SAML Airlock WAF Medusa SCIM Kerberos/ Smart Card Radius Client A B C D Mobile TAN Mobile OTP Database/ Directory PKI Applika=onen Firmennetzwerk Externe Applika=on

21 IDP Webservices (SOAP) Broker Broker Broker Dokument Austausch Airlock WAF IKP Web- Portal Medusa Authen=sierung Dokument Austausch Broker Registra=on Webservice (Client) IGB2B IKP Broker Reg. WS DXP IMI WS WS (Client) VU VU VU BrokerGate Benutzerinforma=onen

22 Herausforderungen SSO bei der Anbindung von VU SAML- Know- how SAML- Integra=on SAML- Logout Die SSO- Anbindung war mit Produkten unterschiedlicher Hersteller dank SAML- Standard kein großes Problem.

23 Gibt es noch Fragen? Ansprechpartner in Deutschland: Arne Böttcher/ Vertriebsdirektor Tel.: Mobil: Unternehmen: Ergon Informatik AG? Web: Vielen Dank für Ihre Aufmerksamkeit!