Personen und Zugriff

Zusammenfassung. TrustBridge verwaltet die Personen, die eine Organisation bedienen: Mitarbeiter an der Verwaltungsanwendung, Verantwortliche eines Partners im Partnerportal, Freigeber und Prüfer. Eine Person wird eingeladen, richtet bei der Registrierung ihren persönlichen Schlüssel und ihren zweiten Faktor ein und erhält Rollen, die ihre Rechte bestimmen. Wer ausscheidet, wird an einer Stelle deaktiviert; alle Sitzungen enden sofort. Ereignisse, die eine Handlung verlangen – eine wartende Freigabe, ein ablaufendes Zertifikat, eine Häufung fehlgeschlagener Anmeldungen –, erreichen die zuständigen Personen als Benachrichtigung, mit Erinnerung und Eskalation. Jeder Schritt steht im Sicherheitsaudit. TrustBridge verwaltet damit den Zugang zu sich selbst; Identitätsanbieter für andere Anwendungen ist es nicht.

• Person – ein Mensch, der TrustBridge bedient; sie bleibt mit ihrer Geschichte erhalten, auch wenn ihr Zugang endet.
• Konto – der Zugang einer Person zu einer Organisation, mit persönlichem Schlüssel, zweitem Faktor und Rollen.
• Persönlicher Schlüssel – Inhabergeheimnis, mit dem sich eine Person anmeldet; Einzelheiten unter Schnittstellen und Integration.
• Zweiter Faktor – Einmalcode aus einer Authenticator-App nach RFC 6238 (TOTP).
• Rolle – benanntes Bündel von Rechten innerhalb einer Organisation.
• Unverträgliche Rollen – zwei Rollen, die dieselbe Person nicht zugleich haben darf.
• Benachrichtigung – Nachricht an Personen über ein Ereignis, über einen konfigurierten Kanal.
• Eskalationsstufe – Benachrichtigung an einen erweiterten Empfängerkreis, wenn ein Vorgang nach einer festgelegten Zeit noch offen ist.

stateDiagram
  [*] --> Eingeladen : Einladung erstellt
  Eingeladen --> Verfallen : 72 Stunden ohne Einlösung
  Eingeladen --> Aktiv : Registrierung mit Schlüssel und zweitem Faktor
  Aktiv --> Gesperrt : fünf Fehlversuche
  Gesperrt --> Aktiv : nach 15 Minuten oder Entsperrung
  Aktiv --> Deaktiviert : Austritt
  Gesperrt --> Deaktiviert : Austritt
  Deaktiviert --> Eingeladen : erneute Einladung
  Verfallen --> [*]

Die Person selbst bleibt nach der Deaktivierung mit Namen und Ereignissen erhalten, damit das Sicherheitsaudit auch Jahre später beantwortet, wer wann welche Rechte hatte. Zertifikate von Systemen sind von einer Deaktivierung nicht betroffen: Sie gehören Systemen, nicht Personen.

Personen melden sich mit persönlichem Schlüssel und zweitem Faktor an, in Windows-Domänen alternativ über Kerberos; Ablauf und Sicherheitsanalyse stehen unter Schnittstellen und Integration. Gegen das Erraten von Codes und gegen gestohlene Schlüssel wirken zusätzlich:

Programme melden sich nicht mit einem Konto an, sondern mit einem Client-Zertifikat der eigenen Zertifizierungsstelle. Ihre Rechte hängen am Zertifikat; keine Person steht dazwischen.

Rollen gelten je Organisation. Eine Person kann mehrere Rollen haben, auch in mehreren Organisationen, etwa als Mitarbeiter eines Betriebspartners.

Unverträgliche Rollen. Wer prüft, verwaltet nicht, was er prüft: Die Rolle Prüfer ist unverträglich mit Personenverwaltung und mit Sicherheitsverwaltung. Der Versuch, einer Person eine unverträgliche Rolle zuzuweisen, wird mit 409 abgelehnt und im Sicherheitsaudit vermerkt. Das Vier-Augen-Prinzip bei Ausstellungen setzt nicht die Rollenverwaltung durch, sondern der CA-Worker über die Freigaberegel der Profilklasse; siehe PKI und Zertifikatslebenszyklus.

Jede Zuweisung, jeder Entzug und jeder abgelehnte Versuch steht im Sicherheitsaudit. Rechte werden bei jeder Anfrage geprüft; ein Entzug wirkt ab der nächsten Anfrage.

Beides öffnet einem Angreifer den Zugang, wenn die Identität der anfragenden Person nicht feststeht. TrustBridge verlangt deshalb zu jeder dieser Handlungen die Angabe, wie die Identität geprüft wurde, und schreibt sie ins Sicherheitsaudit. Die Sperre hebt die Personenverwaltung nach plausibler Prüfung auf; den zweiten Faktor setzt die Sicherheitsverwaltung nach strenger Prüfung zurück, und alle Sitzungen der Person enden. Ohne Angaben zur Prüfung wird der Aufruf abgewiesen.

Die Schritte beschreiben So heben Sie die Sperre einer Person auf und So setzen Sie den zweiten Faktor einer Person zurück.

TrustBridge benachrichtigt die zuständigen Personen, sobald ein Ereignis eine Handlung verlangt. Inhalt und Weg stehen in Vorlagen und Kanälen, nicht im Programm: Neue Empfänger oder geänderte Texte brauchen keine neue Version.

Vor dem Einsatz lässt sich jede Vorlage mit Beispieldaten darstellen, ohne zu senden, und an eine Testadresse schicken.

Die Sitzungen und Anmeldungen jeder Person sind Teil des verketteten Sicherheitsaudits; siehe Audit und Nachweis. Prüfer werten sie ohne Datenbankzugang aus: Sitzungen je Person und Zeitraum, offene Sitzungen, Fehlversuche je Herkunft, Auffälligkeiten und die Vollständigkeit der Kette. Jede Prüfung hinterlässt selbst einen Eintrag. Mehr als 50 Fehlanmeldungen in einer Stunde von derselben Herkunft sperren diese Herkunft und benachrichtigen die Sicherheitsverwaltung; eine unterbrochene Kette wird sofort der Betriebsleitung gemeldet.

Welche Auswertung welche Frage beantwortet, zeigt So prüfen Sie die Anmeldungen.

• Kein Identitätsanbieter für andere Anwendungen. Die Anmeldung an ERP, Database Gateway oder anderen Anwendungen bleibt dort; TrustBridge liefert für Systeme die geprüfte Partneridentität, nicht für Personen eine Anmeldung.
• Keine Kennwörter und keine Bearer-Tokens. Personen melden sich mit persönlichem Schlüssel und zweitem Faktor oder über Kerberos an; warum, steht unter Schnittstellen und Integration.
• Keine Personenzertifikate. Zertifikate gehören Systemen und Diensten; siehe Einsatzszenarien.
• Keine Pflege von Personaldaten. Vorgesetzte und Abteilungen kommen aus dem Verzeichnis der Organisation; TrustBridge liest sie nur für Benachrichtigungen.