melfi – Sicherheitslösungen
Aufgabe
Stellen wir uns eine verteilte Institution oder ein Unternehmen mit vielen Standorten vor: Mit anderen Institutionen (Lieferanten, Kunden) wird eine Vielzahl von Geschäftsprozessen abgewickelt. Dabei werden auf beiden Seiten ganz unterschiedliche Systeme benutzt. Sowohl interne Mitarbeiter als auch externe Nutzer oder Anwendungen benötigen hierzu dedizierte Zugriffsrechte und eine universell verwendbare Identifizierung.
Eine einheitliche und lückenlos sichere Verwaltung der Benutzer und ihrer Zugriffsrechte ist hinsichtlich Effektivität, Verhältnis von Kosten und Nutzen sowie dem Schutz sensibler Unternehmensdaten von grundlegender Bedeutung.
Maßgebend für eine solide Benutzerverwaltung ist nicht nur eine verlässliche Technologie, etwa durch Einsatz starker Kryptographie zur Absicherung der einzelnen Verwaltungsprozesse, sondern auch die Berücksichtigung der menschlichen Komponente: Die persönliche Vertrauensbeziehung zwischen einem Administrator und dem Systembenutzer bei der Vergabe von Zugriffsrechten bildet ein wesentliches Grundelement der Sicherheit. In einer weitverzweigten Organisation muss demnach eine lückenlose Kette von Vertrauensbeziehungen über die gesamte Unternehmensstruktur aufgebaut werden. Gerade dieser Aspekt wird durch die Struktur und Funktionsweise von melfi wesentlich unterstützt.
Alle administrativen Prozesse müssen dabei auch effektiv nachvollziehbar sein, was insbesondere für Prozesse in großen, börsennotierten Unternehmen gefordert wird (IFRS, Sarbanes-Oxley Act).
Daraus ergeben sich folgende Anforderungen:
- Verteilte Verwaltung von Benutzern und Rechten
- Maximale Sicherheit durch Einsatz von Kryptographie
- Unterstützung persönlicher Vertrauensbeziehungen zwischen einem Benutzer und seinem jeweiligen lokalen Administrator
- Lückenloser Nachweis für Erteilung oder Entzug von Zugriffsrechten
- Leicht integrierbar in jede Anwendung
- Globaler Einsatz
- über Standorte oder gar Unternehmensgrenzen hinweg
- für einzelne oder auch mehrere Anwendungen gemeinsam
Lösung
melfi bietet sowohl für komplexe, aber auch für ganz einfach gelagerte Fälle die ideale Sicherheitslösung: Personen und Systeme/Programme werden gleichermaßen mittels digitaler Zertifikate einer Public-Key-Infrastruktur (siehe RFC 5280) identifiziert.
Zugriffs- und insbesondere auch Administrationsrechte werden durch Attributzertifikate (siehe RFC 5755) abgebildet.
melfi wirkt wie ein elektronischer Notar: Für eine oder mehrere im Verbund betriebene Anwendungen wird ein Regelwerk definiert und von melfi überwacht. Dieses Regelwerk legt fest, unter welchen Bedingungen eine Person einer anderen Person Rechte erteilen bzw. entziehen darf. Die Sicherheitspolitik wird damit exakt mit einem einheitlichen Regelwerk abgebildet.
Repräsentation von Identitäten, Rechten und Regeln
- Das Regelwerk wird selbst mit einem für die betreffende Anwendung spezifischen Public-Key-Zertifikat (PKC) signiert und in ein zentrales Register geladen, das von melfi verwaltet wird.
- Zusätzlich werden Personen – jeweils repräsentiert durch ein PKC – mit administrativen Rechten ausgestattet und damit zum lokalen Administrator: Im Rahmen des registrierten Regelwerks werden diesen Personen weitere Administrationsprozesse erlaubt.
- Anwendungen werden – wie jeder Administrator oder Nutzer – jeweils als eine Ressource durch ein Public-Key-Zertifikat repräsentiert. Das spezielle Regelwerk einer Anwendung wird im System als Attributszertifikat (AC) abgelegt.
Regelwerk für Zugriffsrechte
Vergabe und Überwachung von Rechten
- Das Regelwerk und die ersten Administratoren der zugehörigen Anwendung werden während der Installation von melfi automatisch registriert.
- Ein potentieller Nutzer einer bei melfi registrierten Anwendung erhält durch einen Administrator ein Recht in Form eines AC. Ein Recht wird wieder weggenommen durch Aufnahme des betreffenden AC in eine AC-Sperrliste.
- Die lokale Administration vor-Ort erfolgt mit dem herunterladbaren Signierwerkzeug von melfi. In der Regel wird diese Administration durch die eindeutige Identifikation einer Person z.B. durch persönliches Treffen/Kennen mit dem lokalen Administrator untermauert.
- Die betreffende Zielanwendung – durch ein Public-Key-Zertifikat repräsentiert – erhält das Recht, Benutzerrechte einer anfragenden Person von melfi zu erfragen.
- Der elektronische Notar melfi beantwortet derartige Anfragen einer registrierten Anwendung, in dem das zugehörige Public-Key-Zertifikat des Nutzers prüft. Als Ergebnis werden die zusammengefassten Benutzerrechte in Form eines von melfi unterschriebenen und jeweils nur für kurze Dauer gültigen Attributzertifikats zurückgeliefert.
Die Zuteilung und Wegnahme von Rechten wird so mit starker Kryptographie abgesichert, und die Vergabeprozesse sind lückenlos und dank elektronischer Signatur mit hoher Beweiskraft nachvollziehbar.
Je nach Bedarf und Sicherheitsanforderungen können sowohl Software- als auch auf Hardware-basierte, d.h. auf Kryptographiekarte oder HSM gespeicherte, Zertifikate eingesetzt werden.
Technik
melfi besteht aus mehreren Java-basierten Komponenten, die ohne Programmieraufwand mit bestehenden Anwendungen verbunden werden können. Zusätzlich können diese Module auch durch eigene Erweiterungsbaussteine an die speziellen Bedürfnisse einer Organisation oder an die zu schützenden Zielanwendungen angepasst werden.
Vorteile
Wo eine zentrale, sichere und einheitliche Verwaltung von Benutzern – meist aus organisatorischen Gründen – nicht möglich oder sinnvoll ist, dort wird melfi gebraucht!
Die wichtigsten Merkmale von melfi:
- universelle Benutzer- und Rechteverwaltung
- ermöglicht delegierende Verwaltung komplexer Organisationen
- netzweit über Anwendungen hinweg einsetzbar
- sichere Prozesse und Benutzerdaten durch Einsatz digitaler Signatur
- nachweisbare Prozesse mit lückenlosem Audit-Trail
- mandantenfähig
- leicht in jede Anwendung integrierbar
Haben wir Sie neugierig gemacht?
Für Fragen und Informationen zu melfi stehen wir Ihnen sehr gerne zur Verfügung.
Thomas Kopp
Leiter Security
E-Mail: thomas.kopp@dialogika.de
Telefon: +49 (6897) 935-124
Telefax: +49 (6897) 935-100
Ich freue mich auf Ihre Kontaktaufnahme!