Cryptography Reference
In-Depth Information
eigenes Süppchen kochen. Stattdessen ist eine geeignete Abstimmung sinnvoll.
Welche Möglichkeiten es hierfür gibt, wollen wir uns im Folgenden anschauen.
22.1
Credential-Synchronisation
Um das genannte Problem zu lösen, kann Krypt & Co. dafür sorgen, dass die
Authentifizierung an allen drei Server-Anwendungen gleich abläuft. Dies ist der
Fall, wenn Alice an allen drei Servern dasselbe Passwort verwenden oder dieselbe
Smartcard einsetzen kann. Da in der Praxis noch immer Passwörter die gängigste
Authentifizierungtechnik sind, wird eine solche Maßnahme meist als
Passwort-
Synchronisation
bezeichnet. Sachgemäßer ist allerdings der Begriff
Credential-
Synchronisation
, da dieser auch Smartcards, Smart Tokens, Biometrie und andere
Techniken einschließt.
Die Credential-Synchronisation ist ein Teilgebiet des Identity Management
(siehe Abschnitt 28.1.1). Der IT-Administrator von Krypt & Co. kann eine solche
manuell vornehmen, indem er für Alice auf jedem Server dieselbe Authentifizie-
rungsmethode und gegebenenfalls dasselbe Passwort konfiguriert. Es gibt auch
spezielle Software für die Credential-Synchronisation. Zudem gibt es die Möglich-
keit, Credential-Synchronisation an einen zentralen Server auszulagern. Diesem
Ansatz folgen Standards wie RADIUS und DIAMETER (siehe Abschnitt 22.4).
Es versteht sich von selbst, dass die Credential-Synchronisation ein zwei-
schneidiges Schwert ist. Wenn Alice für mehrere Server die gleiche Art der
Authentifzierung einsetzen kann, dann muss auch Mallory nur eine Hürde über-
winden, um die Sicherheit mehrerer Server auszuhebeln. Andererseits ist ein drei-
fach ausgeführter Authentifizierungsvorgang, der sicher und benutzerfreundlich
abläuft, allemal besser als drei unterschiedliche Vorgänge, die Alice nerven und
sie beispielsweise zum Aufschreiben ihrer Passwörter verleiten.
22.2
Single Sign-On
Während sich Alice bei der Credential-Synchronisation gegenüber jedem Server
einzeln authentifizieren muss (wenn auch auf gleiche Weise), geht das
Single Sign-
On
(
SSO
) einen Schritt weiter. Single Sign-on sieht vor, dass sich Alice nur einmal
authentifiziert und danach ohne weitere Aktion auf alle Server zugreifen kann.
Single Sign-On macht Alice die Arbeit also noch etwas leichter als die Credential-
Synchronisation.
Beim Single Sign-On gelten ähnliche Sicherheitsüberlegungen wie bei der
Credential-Synchronisation: Einerseits profitiert Mallory davon, wenn er mit
einer falschen Authentifizierung gleich mehrere Server angreifen kann; anderer-
seits sind mehrere unterschiedliche Authentifizierungen unpraktisch und schon
allein deshalb ein Sicherheitsrisiko. Single Sign-On und Credential-Synchronisa-
tion sind daher Zugeständnisse an die Erfahrung, dass Benutzerfreundlichkeit in
