„sign" ist eine Suite von Produkten, die als eine SAP^® Authentifizierungs-Middleware startete, sie integriert multiple, Single- und Multi-Faktor Authentifizierungsquellen.

Inzwischen ist „sign" eine umfassende IA (Integrierte Authentifizierung) Lösung die heute den Windows^® Logon, eine Vielzahl an Online-Applikationen, verschiedenste Netzwerke und VPN-Systeme, Terminaldienste sowie andere spezifische Applikationen unterstützt. Eine weitere beachtenswerte Funktion ist die Unterstützung einer virtuell unbegrenzten Anzahl verschiedenster Authentifizierungsquellen / -methoden, unabhängig davon, ob sie Standardlösungen, Detack-Lösungen oder die von Dritten sind.

Die Detack verfügt über eine eigene starke Authentifizierungslösung zur Verifizierung der Anmeldedaten in der „sign IA"-Umgebung. Beispielsweise kann der Anwender neben den Standard Authentifizierungsquellen wie RADIUS, LDAP, etc. den Detack Authenticator einsetzen. Diese Lösung basiert auf dem Industriestandard PIN / iTAN (indizierte TAN), eine Methode die Multi-Faktor Authentifizierung und Transaktions-Autorisierung zur Verfügung stellt.

Bereits mehrere tausend internationale Anwender haben täglich Zugriff zu sensiblen und geschützten Applikationen, die durch das Authentifizierungs-system der „sign IA" gesichert sind.

Externe Zugriffssicherheit

Externe, nicht autorisierte Zugriffe auf sensible Unternehmensdaten sind an der Tagesordnung – sei es um Informationen auszuspähen oder sogar Datenmanipulation vorzunehmen. Die Frage die sich hierbei stellt ist, wie denn ein geeigneter Schutz aussehen müsste, um Angreifern den Zugriff auf sensible Firmendaten zu verwehren. Die erste Hürde die ein Angreifer überwinden muss ist häufig der Logon und exakt hier setzt Single Sign-On an.

Die Detack „sign IA" Produktsuite sperrt Angreifer von Anfang an aus, Zugriff auf die angebundenen Systeme kann nur über die „sign IA" realisiert werden. Anonyme Angreifer haben hierdurch keine Möglichkeit auf sensible Systeme zu gelangen, wodurch das Angriffsrisiko von unzähligen auf einige wenige Angreifer - die sich im Besitz gültiger Anmeldedaten befinden - verringert wird. Im Falle eines Angriffs unterstützt die „sign IA" die Angreifer-Identifizierung durch umfassende Logging-Mechanismen, die auf Compliance gerechte Art durchgeführt werden. Der zentrale Zugriffspunkt wird aufgrund des umfassenden Anwendungszugriffs registrierter Anwender durch Multi-Faktor-Authentifizierung besonders geschützt, wahlweise mit Tokens (z.B. RSA®), Smartcards (z.B. ActivCard®) oder die eigene Detack PIN / iTAN-Lösung. Durch die „sign IA" Trust-Zonen kann hierbei zwischen verschiedenen Anwendergruppen und deren Herkunft unterschieden werden – z.B. für interne Anmeldungen ist lediglich der Benutzername und das zugehörige Passwort / für externe Anmeldungen der Detack PIN / iTAN Authenticator erforderlich. Der Anwender selbst muss für den Zugriff auf die jeweiligen Anwendungen jedoch erst autorisiert sein, denn die granulare Differenzierung erlaubt eine spezifische Anwendungsfreigabe je Anwender oder Gruppe. Entsprechend der hohen Sicherheitsanforderungen existiert für jeden realen Anwender nur noch eine einzige digitale Identität die während der gesamten Session besteht, hierdurch werden anonyme, technische User vollständig unterbunden und es besteht jederzeit Transparenz darüber wer sich zu welchem Zeitpunkt im System aufgehalten hat.

Um höchste Sicherheitsstandards zu erreichen verwendet die „sign IA" zeitlich begrenzte sowie PKI-signierte Tickets. Hierdurch wird das bei dem Logon eingegebene Passwort nur einmalig übertragen, diese Übertragung findet nur für die Gültigkeitsprüfung der Anmeldedaten statt - das Passwort selbst ist innerhalb des Tickets nicht gespeichert. Anschließend wird der Anwender mit diesem Ticket an allen Anwendungen, für die er autorisiert ist, automatisch authentifiziert.

Einsatzgebiete der „sign IA" sind z.B. jegliche SAP-Anwendungen, verschiedenste Webapplikationen, VPN-Systeme und Terminaldienste. Alle gängigen Authentifizierungsquellen - soft- oder hardwareseitig - werden Plug and Play unterstützt. Dies umfasst auch alle Standard-Tokens oder Smartcards. Diese für viele Anwender zu implementieren ist jedoch mit enormen Kosten verbunden, die Lösung hierfür ist der Detack Authenticator der auf dem Industriestandard PIN / iTAN basiert. Diese Lösung bietet eine kundengerechte und kosteneffektive Umsetzung durch die Verwendung einer gedruckten Liste die ca. 400, fünf- bis sechsstellige, indizierte Einmalpassworte (iTANs – bekannt aus dem Online-Banking) enthält.

Interne Zugriffssicherheit

Nach außen geöffnete Systeme werden durch zahlreiche Angriffspunkte bedroht, jedoch auch die internen Risiken sind ein sicherheitskritischer Faktor, der häufig vernachlässigt wird. Diese internen IT-Gefahren können durch eigene Mitarbeiter, Dienstleister und Angreifer mit physischem Zugang zu den Unternehmensgebäuden verursacht werden. Doch auch systembedingte Bedrohungen wie z.B. durch RFC-Verbindungen zwischen Produktiv- und Testsystemen, können einem Angreifer nützliche Hilfen sein, um das System zu kompromittieren. Aus diesem Grund greifen die bewährten Schutzmechanismen der „sign IA" auch für die internen Systeme und steigern hierdurch die IT-Sicherheit signifikant, jedoch ohne die Benutzerfreundlichkeit außer Acht zu lassen. Innerhalb des Intranets befinden sich in der Regel die meisten Anwender die auf permanenten und stabilen Systemzugriff angewiesen sind. Schnelle Reaktionszeiten sind hierbei ein Grundbedürfnis, um die Effizienz und Wettbewerbsfähigkeit zu steigern und dadurch eine Verringerung der Kosten zu erreichen. Dem Anwender werden keine unzähligen Passworte mehr abverlangt, es reicht ein Benutzername und Passwort sowie - bei Bedarf - ein weiterer Authentifizierungsfaktor, um sich an allen angebundenen Systemen zu anzumelden. Vergessene und versteckte Passworte am Arbeitsplatz werden signifikant reduziert, die modernen Eigenwartungsfunktionen stellen die Produktivität sicher, dadurch lassen sich Kostenvorteile bezüglich minimierten Helpdesk-Anrufen und Ausfallzeiten realisieren.

Um jedoch den Anmeldevorgang so komfortabel wie möglich zu gestalten ist eine Integration des Microsoft Windows^® Logons erforderlich:

Die „sign IA" bietet echtes Single Sign-On, die integrierten Applikationen erfordern nur eine einzige Anmeldung – diese Vorgehensweise erlaubt höchste Passwortkomplexität und steigert dadurch nachhaltig die IT-Sicherheit. Nachfolgend eine Beschreibung des Anmeldeprozesses:

Der Anwender meldet sich, wie gewohnt, an seinem Arbeitsplatz über den Windows® Logon an. Nach erfolgreicher Prüfung der Anmeldedaten wird ein Kerberos Ticket erstellt. Bei Gültigkeit dieses Tickets – dies wird gegen den Domain Controller geprüft – erhält der Anwender automatisch ein „sign IA" SSO2 Logon-Ticket, ohne die Erfordernis eines weiteren Anmeldevorgangs bei den angebundenen Anwendungen.

Die „sign IA" bietet jedoch auch eine einfache Administrierbarkeit - ein individuell gestaltbares Interface stellt Transparenz und Verständlichkeit sicher. Die Verwendung bestehender Verzeichnisse reduziert den Aufwand seitens der Administration auf ein Minimum, denn die „sign IA" verfügt über eine direkte Anbindung an Active Directory / LDAP sowie weitere Datenbanken und kann somit ohne großen Aufwand in die vorhandene Systemlandschaft integriert werden.

Eine vollständige Beschreibung der Module die in der „sign IA" enthalten sind finden Sie hier.