Wege zur "Identity Federation" - Firmenübergreifend den IT-Zugriff sichern und vereinfachen

BACKGROUNDER Firmenübergreifend den IT-Zugriff sichern und vereinfachen Wege zur "Identity Federation" Überall wird intensiv am Aufbau firmenübergreifender Wertschöpfungsketten gearbeitet. Dabei kommt es auf Koordination, Integration und den sicheren Betrieb aller unterstützenden IT-Systeme an, seien sie nun als altbewährte Legacy-Applikationen oder als moderne Webservices realisiert. Möglich ist das nur dann, wenn die Rechte der diversen Benutzergruppen aller beteiligten Firmen und ihre Zugriffe auf die IT-Systeme exakt definiert und kontrolliert werden. Dabei hilft das Konzept der Identity Federation. Es beruht auf der Erkenntnis, dass ein durchgängiges Security-Konzept über alle beteiligten Firmen, Personen und Plattformen nur selten realisierbar sein dürfte. Eine aktuelle IT-Sicherheitsstudie, die CA Ende vergangenen Jahres gemeinsam mit dem Analystenunternehmen Kuppinger Cole + Partner (KCP) erstellt hat, belegt die zentrale Rolle des Identitäts- und Zugriffsmanagements. Rund vier Fünftel der Befragten betrachten unsichere Kennwörter (90%), mangelnde Nachvollziehbarkeit von Zugriffsberechtigungen (85%), nicht gelöschte Benutzerkonten ehemaliger Mitarbeiter (80%) sowie nicht konsistente Zugriffsbedingungen (80%) als wichtige Sicherheitsproblematiken im Unternehmen. Um so mehr gilt das, wenn nicht nur Mitarbeiter des Unternehmens, sondern auch Externe Zugriff auf die IT-Systeme haben, wie es im Zuge von Supply Chain Automation und eCommerce-Anwendungen längst die Regel ist. Technologien des „Single-Sign-On“ (SSO), der „starken“ Authentifizierung und des Benutzer- und Berechtigungsmanagements (User Provisioning) mitgerechnet, ist vor diesem Hintergrund das Identitätsmanagement zum Kernthema der IT-Sicherheit geworden – auch weil das Identitätsmanagement, so die Studie, in den wenigsten © CA Communications Central EMEA, Mai 2007 Seite 1 Unternehmen schon gelöst ist – geschweige denn für unternehmensübergreifende Anwendungen. Doch es ist keineswegs ein aussichtsloses Projekt, die zuverlässige Authentifizierung der Benutzer sowie die Vergabe und Kontrolle ihrer Zugriffsrechte zwischen heterogenen IT-Systemen mehrerer Firmen zu koordinieren. Das kann sogar dann gelingen, wenn diese Systeme nur sporadisch oder erstmalig zusammenarbeiten. Wobei dank SSO der Wechsel zwischen den Applikationen ohne Mehrarbeit für den Benutzer erfolgt. Ein Kunde nutzt dann z. B. Webservices, bei denen Geschäftsprozesse, IT- Anwendungen und Ressourcen zielorientiert zusammenwirken (siehe Bild 1). Bild1: Zukünftiges Web-Sicherheitsmodell © CA Communications Central EMEA, Mai 2007 Seite 2 Das Konzept der Identity Federation Möglich wird dieses Szenario durch das innovative Konzept der Identity Federation, wie es CA mit Produkten wie CA SiteMinder oder CA TransactionMinder unterstützt, um das Security Management weiter zu vereinheitlichen und zu vereinfachen. Denn die Identity Federation bildet eine standardbasierte Plattform, über die Sicherheitsadministratoren vertrauensvoll zusammenarbeiten können, die in ihrem Verantwortungsbereich jeweils für die Verwaltung digitaler Identitäten, der zugeordneten Berechtigungen sowie für den notwendigen Datenschutz- und -sicherheitsmaßnahmen verantwortlich zeichnen. Solche unabhängigen Föderationen können innerhalb eines Unternehmens aufgebaut werden, aber auch innerhalb eines Kreises befreundeter oder geschäftlich verbundener Unternehmen. Sogar Verbünde von Identity Federations sind denkbar, in denen zuvor nicht direkt miteinander in Geschäftsbeziehung stehende Firmen Identitätsinformationen über die Benutzer ihrer IT-Systeme austauschen. Von Identity Federations profitieren sowohl die User als auch die Unternehmen. Die User können sich per SSO innerhalb des Verbundes frei im Extranet bewegen, während die Unternehmen ihre IT-Systeme einem größeren Nutzerkreis zugänglich machen, ohne dass der Administrationsaufwand für das Identitäts- und Access-Management (IAM) wächst. Ergebnis ist ein vereinfachtes, anwenderfreundliches E-Business – sowohl im klassischen B2B- und B2C-Bereich als auch im Dialog zwischen Bürgern und Behörden. Webservices intelligent verknüpfen Beim Aufbau einer Identity Federation können verschiedene Technologien zum Einsatz kommen. Man spricht von Browser-basierter Föderation, wenn ein beim Unternehmen A registrierter Benutzer über einen Link ohne erneute Authentifizierung direkt auf den geschützten Bereich des Partnerunternehmens B gelangt. Benutzer können hier dank Cross Domain SSO nach einmal erfolgter Authentifizierung auf mehrere Sites zugreifen. © CA Communications Central EMEA, Mai 2007 Seite 3 Die Authentifizierung kann dabei auf Basis von Accounts oder von Rollen erfolgen. In einer dokumenten-basierten Föderation dagegen schickt der User eines Webservices ein XML-Dokument in einem SOAP-Umschlag an den Webservice. Das Unternehmen authentifiziert anhand dessen die Anfrage des Kunden A und leitet diese entsprechend seiner Berechtigungen an andere Webservices innerhalb der Föderation weiter. Die Ergebnisse der Applikation werden dann letztendlich an den Kunden A gesendet. Doch nicht nur Mitarbeiter, auch IT-Applikationen oder Webservices lassen sich auf diese Weise innerhalb von Identity Federations intelligent verknüpfen, so dass auch sie innerhalb des Netzwerkes vertrauenswürdiger Geschäftspartner auf IT-Ressourcen zugreifen können. Das ist nicht zuletzt eine der entscheidenden Voraussetzungen beim Aufbau Service-Orientierter Architekturen (SOA). Zudem können Rechte in föderativen Umgebungen delegiert werden, so dass z. B. auch Geschäftsprozesse, die über einen Zwischenhändler (intermediär) abgewickelt werden, effizient und sicher realisiert werden können. Dieser Schutz von Webservices ist deshalb entscheidend für den Aufbau von SOA-Infrastrukturen, weil die von dem Einbezug diverser Zwischenstationen (Intermediaries) gekennzeichnet sind. Auch die mehrstufige Webservices- Bearbeitung wirft die sicherheitsrelevanten Fragen der Autorisierung, Authentifizierung, Integrität und Vertraulichkeit auf, die durch eine Identity Federation beantwortet werden. Der SOA-Idee folgend lassen sich Sicherheitsservices dabei zum Teil durch zentrale Server-Plattformen betreiben und können ihrerseits als Dienst angefordert werden. Die notwendige Koordination lässt sich über den Enterprise Service Bus (ESB) vornehmen, der ohnehin die Orchestrierung und das Routing der Services einer SOA verantwortet. CA SiteMinder als Basis CA als eines der weltgrößten Unternehmen für IT-Management-Software liefert mit CA SiteMinder eine technische Grundlage, um wie skizziert mehrere Sicherheitsdomänen zusammenzuschließen und standardbasiert © CA Communications Central EMEA, Mai 2007 Seite 4 Benutzeridentitäten und Zugriffsberechtigungen gemeinsam zu nutzen. Der Austausch erfolgt immer so, dass der User nichts davon mitbekommt. Er erhält von einem der Geschäftspartner nach erfolgreicher Anmeldung einen elektronischen Ausweis, den er während der Transaktion unbemerkt mit sich führt und der von allen anderen Beteiligten akzeptiert wird. Das Produkt CA SiteMinder Federation liefert dazu: - ein Framework auf Basis von Industriestandards wie SAML (Security Assertion Markup Language) in der aktuellen Version 2.0 zum Austausch von Identitätsinformationen, den die Organization for the Advancement of Structured Information Standards (OASIS) definiert hat. - die Fähigkeit aller an einer Identity Federation beteiligten Partner, Informationen über ihre User auf sichere Art und Weise auszutauschen. - den Schutz der Privatsphäre von Nutzern innerhalb einer Identity Federation, also die Wahrung der Vertraulichkeit von Identitätsinformationen und die Einhaltung internationaler Datenschutzbestimmungen. - die Möglichkeit für jede Partei einer Identity Federation, die Identitäten ihrer eigenen User ohne Rücksicht auf eine zentrale Instanz zu managen. - standardkonforme Vorlagen zur Definition von sicherheitsrelevanten Informationen bzw. die Verwendung existierender Standards für Security- Tokens. - ein Standardprotokoll für den Austausch von Security-Tokens zwischen den Teilnehmern an einer Identity Federation. - die Vereinbarung von Vertraulichkeitsregelungen. Weil personenbezogene Daten gemeinsam genutzt werden, ist zu klären, ob das gesetzlich überhaupt zulässig ist, ob es mit den Policies aller Beteiligten in Einklang gebracht werden kann und ob schließlich auch die Zustimmung des Users erforderlich ist. Außerdem werden sämtliche relevanten Protokolle unterstützt, die den Austausch von Informationen betreffen in Bezug auf die Ressourcen © CA Communications Central EMEA, Mai 2007 Seite 5 ("Assets") und Personen, aber auch der Organisationsstrukturen und der Sicherheitsbestimmungen ("Policies") in den beteiligten Unternehmen. www. CompanyB.