Afterwork Event Harvey Nash vom 27.01.2015

Afterwork Event Harvey Nash vom 27.01.2015
... WE SECURE YOUR IDENTITY
Swiss SafeLab M.ID Suite
Zwei Faktor Authentifizierung
Swiss SafeLab GmbH | Neuengasse 20 | 3011 Bern | Switzerland
Tel: +41 (0)31 932 31 86 | [email protected] | www.swiss-safelab.com
Richard Roth
Dipl. Wirtschaftsinformatiker, CISA, CISM
Managing Partner Swiss SafeLab GmbH, Bern
2
Swiss SafeLab GmbH
Ein paar Eckdaten
2002
Idee und Start der Softwareentwicklung an der
Fachhochschule Rapperswil
2004
M.ID Version 2.0 veröffentlicht – erste Kunden
2005
Gründung der Swiss SafeLab GmbH und Spin-off der Zwei
Faktoren Authentifizierungslösung in die Firma
2007
M.ID Version 2.6 - Integration in das Citrix Webinterface 4.x
2009
Universelle Appliance Unterstützung durch RADIUS
Swiss SafeLab SMS Providing
2011
Swiss SafeLab GSM Modem Observer
M.ID Benutzer in 5 Kontinenten
2012
Neue Lizenzmodelle (Kauf, Miete, Pool-Lizenzen)
2013
Weltweites SMS Providing
2014
Neue Inhaber
App-, Token-, Schnittstellen-Erweiterung
Kunden (Auswahl)
Agenda
SIGS Afterwork Event

IT Trends 2015

Risiken und Bedürfnisse

Zwei Faktoren Authentifizierung als Teil der PeripherieSecurity

2 Faktoren Authentifizierungs-Ausprägungen

Wie funktioniert unsere Lösung aus technischer Sicht

Wie wird diese ins Datacenter und in die ITIL Prozesse
eingebunden

Fragen und Diskussion
Gartner:
Das sind die 10 Top-Tech-Trends für 2015
1.
Computing Everywhere
2.
Das Internet der Dinge
3.
3D-Druck
4.
Neue Formen der Datenanalyse
5.
Kontextbasierte Systeme
6.
Intelligente Maschinen
7.
Cloud Computing
8.
Software-Defined Applications and Infrastructure
9.
Web-Scale IT
10.
Risikobasierte Sicherheits- und Schutzmassnahmen
Phishing
Identitätsdiebstahl
Unter Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails
oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu
gelangen und damit Identitätsdiebstahl zu begehen.
Phishing
Identitätsdiebstahl

Enterprise with an online presence can be a phishing target
- if a site takes in personal data, ...

The targets included more large and small banks in Latin
America, India, and the Middle East.

The list included diverse sites such as Century21, Coinbase,
Eircom, Regus, Norton, Box, Gucci, FIFA, ...

Direct credit card theft is always a driver ...

Phishers also steal credential from one site to harvest
usernames and passwords for attacking other sites.
Quelle: Global Phishing Survey 1H2014
Anforderungen an die 2FA
Verhinderung des Identitätsdiebstahls

Benutzer will nicht, dass sich jemand für
ihn ausgibt und in seinem Namen
Transaktionen ausführt

Firmen wollen wissen, wer sich anmeldet

Keine Umgehung


Anwender-Nachlässigkeit
Fake

Nutzung eines weiteren Gerätes (Handy /
out of bound) erhöht die Sicherheit
(Awareness)

Robustheit und Einfachheit der Lösung

Trennung der Authentisierung; sie erfolgt
durch zwei Instanzen (Domain Access,
2FA Server)
Privat
Security Perimeter heute !?!
Dropbox, ...
(Storage)
MS / Apple /
Google (Sync)
On the Road
(Notebook, Tab, Mobile)
Services
Developement
Branches
Remote
Support
Internet
P1
In/Outbound
(eBiz, Mail, Phone, Access)
P3
Intranet (Client, Printer, ..)
Management
Datacenter
(Server, Data, Backup, Net)
Business
P2
P = Perimeter (Zone gleicher Sicherheitsanforderungen)
(Cloud)
Customer
Who are you
Wo ist die heutige 2FA positioniert?
Browser
Remote
DeskTop
Browser
Citrix
PC
Perimeter
Indiv. SW
(eBiz)
Terminal
Server
OWA
Citrix
FW /
VPN
Server
WHO ARE YOU
2FA / One Time Password (OTP)
Ausprägungen
1.
Streichliste (Papierliste)
2.
Challenge and Response (SSL)
3.
X.509 based Token (mit entsprechenden Credentials auf
einer Smart Card)
4.
OTP Token, OTP Generator
5.
OTP Zustellung via Mail
6.
OOB Authentication (out of bound – SMS/OTP mit Eingabe
am PC) *)
7.
Biologische Methoden (Fingerprint / Faceerkennung)
8.
Weitere ...
*) Swiss SafeLab Lösungen
*)
*)
Authentifizierung
Beispiel Citrix
Login
Benutzername
Kennwort
One Time Passcode (SMS)
SMS
Citrix Netscaler
LDAP Server
(Active Directory)
Cloud
SMS Gateway
Radius
M.ID Server
Web Console
M.ID Suite
Einsatzmöglichkeiten Agenten
Vielfältige Agenten
• Schnittstelle für
Webshop /
Zahlungsverkehr, etc.
• RADIUS
• Citrix Web Interface
• Microsoft IIS
• Microsoft TMG
• RD Web Access
• Outlook Web Access
• Passwort Reset
Swiss SafeLab M.ID Suite - SIGS Afterwork BS
Integration ins Service Management
ITIL Prozesse

Incident Management
Aufgebot externer Support
 OTP Bereitstellung durch Helpdesk

Externer Support kann nur on demand zugreifen
 Eintrag im Ticketing System, wann der Zugriff erfolgte (OLA
Kennzahl)


Access Management

Passwort Reset
Verletzlichkeit der Internet-Schnittstelle bez. « access lock out »
 Benutzer kann sein Passwort selber zurück setzen (Kein AnmeldeModus; Benutzer baucht eine Erkennung (Secret Answer))

M.ID Suite
Benefits

Universell einsetzbar dank verschiedensten Schnittstellen

Tiefe Anschaffungs- und Betriebskosten

Hohe Ausfallsicherheit durch Mehrfachredundanz und
Virtualisierung (Kein single Point of failure)

Einfache und schnelle Integration in die bestehende
Infrastruktur

Benutzer kann Zustellung des Passcodes via SMS / Mail
steuern

Effiziente Benutzer und Passwortverwaltung

In sich sichere Lösung (Risk Assessment Value von 97.7%)
Links
Phishing
http://www.welivesecurity.com/deutsch/2014/10/07/globalphishing-report-wie-sieht-bedrohungslage-aus/
http://docs.apwg.org/reports/APWG_Global_Phishing_Report_1H
_2014.pdf
Gartner Trends
http://t3n.de/news/gartner-tech-trends-fuer-2015571407/gartner_top_10_tech_trends_2015/
Swiss SafeLab – M.ID Suite
http://www.swiss-safelab.com