Wir orientieren uns seit Anbeginn an den Regeln des Zero Trust Architektur-Konzepts.
Seit Anfang 2022 empfielt auch die US-Regierung dieses Sicherheitskonzept.
Einfach gesagt bedeutet Zero Trust, dass man lokale Netzwerke behandeln muss als seien sie öffentlich im Internet exponiert. In der Folge müssen Authentifzierungsmassnahmen zwingend auf Applikationsebene erfolgen und Daten dürfen grundsätzlich nicht unverschlüsselt über Netzwerke übermittelt werden.
Passwörter sind nicht nur gehasht, sondern auch sogenannt individuell gesalzen. Daraus irgendwas Brauchbares rekonstrieren zu können, ist praktisch nicht möglich.
Die Applikation wird durch ein integrales Intrusion Detection System geschützt.
Das System zählt und klassifziert Angriffsversuche anhand verschiedenster Erkennungsmerkmale und bremst solche Angriffe stufenweise immer stärker aus. Das macht die Lösung für Angreifer unattraktiv ohne dass es evtl. betroffene Accounts permanent sperren muss.
Selbst sogenannte Reverse-Dictionary Angriffe auf das Passwort 123456 sind praktisch aussichtslos. Wir raten natürlich trotzdem davon ab ein solches Passwort zu verwenden.
Sie können beliebig viele zweite Faktoren erfassen.
Zur Verfügung stehen derzeit folgende Verfahren: E-Mail, SMS, Fingerprint und Hardware-Token.
Für Fingerprint und Hardware-Token verwenden wir WebAuthn, ein Standard des W3C-Consortiums. Dieses Verfahren ist unverschlüsselten E-Mail und SMS vorzuziehen um höchstmögliche Sicherheit zu erlangen.
Wir empfehlen mindestens zwei Faktoren zu erfassen, so dass Ihnen nicht der Systemzugang verwehrt bleibt wenn Sie z.B. mal ein Hardware-Token vergessen/verloren haben oder das Handy gerade keine SMS empfangen kann.
Auf Mobile-Devices gibts es nichts, was die Convenience übertrifft mit einem simplen Fingerabdruck das Login bestätigen zu können.
Hardware-Tokens mit integriertem Fingerprintsensor sind auch sehr empfehlenswert. Mit folgenden Produkten haben wir bisher gute Erfahrungen gemacht: Trustkey G320, Feitian K26. Grundsätzlich können Sie aber jeden handelsüblichen Key verwenden, der FIDO2 unterstützt.
Best Practices
Fingerprint auf dem Handy, ein Fido-Key mit Fingerprint-Sensor für den Desktop im Büro und ein weiterer Fido-Key für unterwegs am Schlüsselbund.
Kann man z.B. im Büro gar keine Hardware-Tokens nutzen, dann kann man natürlich in diesem Fall auch E-Mail und/oder SMS nutzen. Der zweite Faktor erhöht die Sicherheit in jedem Fall.
Schreibzugriffe sind durch ein Public-/Private-Key Verfahren abgesichert.
Der Private Key muss dabei durch den Benutzer mit Hilfe eines Keypass (einmalig gültiges Token), selber generiert werden, so dass man diese Information nicht in E-Mails oder SMSen findet.
Menu