Identität, Authentifizierung, Zugriffskontrolle

Wer jemand ist

Authentisierung: Voralge eines Nachweises zur Identifikation

Authentifizierung: Überprüfung eines Nachweises zur Identifikation

Autorisierung: Überprüfung, ob ein Person für die Nutzung / den Zugang zu einer IT-Komponente oder Anwendung zur Durchführung einer bestimmten Aktion berechtigt ist

Zutritt: Betreten von abgegrenzten Bereichen wie z.B. Räumen oder geschützten Arealen in einem Gelände

Zugang: Nutzung von IT-Systemen, System-Komponenten und Netzen

Zugriff: Nutzung von Informationen bzw. Daten

• Nachweis der Identität

• Voraussetzung für Kontrolle des Zutritts, Zugangs und Zugriffs

• Nachweis Zurechenbarkeit/ Verantwortlichkeit

=> Herstellung von Vertrauen zwischen 2 Kommunikationspartnern

■ Valider Zutritt/Zugang soll einfach möglich sein

■ Unberechtigte sollen zuverlässig vom Zugang abgehalten werden

■ → Angreifer:innen reicht u.U. ein einzelner Account

• Wissen (Pins, textuelle Passwörter, etc.)

• Besitz (Tokens, Chipkarten, etc.)

• Biometrische Merkmale (Gesicht, Fingerabdruch, Stimme, etc.)

• Familie

• Stars

• Username = Passwort

• Raten, Default-Passwörter

• Brute Force

• Wörterbuch-Attacken

• Rainbow Tables

• Social Engineerin

• Sniffing

• Sichere (verschlüsselte) Speicherung von Passwörter vom System

• User-Training

• Passwort Wechsel bei Verdacht auf Security Incidents

• Fehlanmeldungen/ letzte Anmeldung anzeigen

Kombination von Methoden (2 oder mehr(

Fast IDentity Online 2

Bei einem Passkey handelt es sich um ein kryptografisches Element, dass für dich unsichtbar ist und anstelle von Passwörtern verwendet wird.

Regelwerk, das besagt was erlaubt oder nicht erlaubt ist.

Formalismus, um eine Zugriffskontrollstragie zu beschreiben

Objekt: Passiver, zu schützender Informationsträger

Subjekt: Aktive Elemente, die im Auftrag von Anwendern Zugriffe auf Informationen erfüllt

Zugriffsoperation: Art, um auf ein Objekt zuzugreifen (read, write, execute, …)

Zugriffsrecht: Rechte für Zugriffe auf Dateien, Datenträge, Prozesse, etc.

Schutzdomäne: Gruppierung von identischen Zugriffsrechten

Zugriffsmonitor: Setzt Zugriffskontrollstrategie durch

f(s;o;a)

s - Menge aller Subjekte

o - Menge aller Objekte

a - Menge aller möglichen Zugriffsarten

Eigentümer: Hat uneingeschränkten Zugriff

Gruppe: Aller innerhalb einer speziellen Gruppe haben dieselben Zugriffsrechte

Jeder: Alle user in einem System können bestimmte Zugriffsrechte gewährt werden

Discretionary Access Control (DAC):

-> Besitzer/ Eigentümer legt Berechtigungen auf Objekte selbst fest

-> Zugriff auf Objekte alle von der Identität abhängig

Role-based Access Control (RBAC):

• Zugriff auf Objekt wird durch Rolle festgelegt

• Benutzer haben Rollen, von denen die Zugriffsrechte abhängen

• Rolle = Sammlung von Funktionen, die für eine Arbeit gebraucht wird

• Benutzer können mehrere Rollen haben

• Hierarchisches Rollenkonzept

Mandatory Access Control (MAC):

• Zentrale Festlegung der maximalen Zugriffsrecht von Benutzer

  • Objekte und Benutzer haben Einstufungen (öffentlich, vertraulich, etc.)

    -> Benutz könner ein Objekt nur lesen, wenn ihre Einstufun mindestens der des Objektes entspricht

• Weitergabe von Rechten nur eingeschränkt möglich

• Concept of Least Privilege

• Single Sign On

• Technische Umsetzung

Wer jemand ist