Die SkIDentity-Referenzarchitektur für die starke Authentisierung in der Cloud Dr. Detlef Hühnlein (ecsec GmbH)

Präsentation zum Thema: "Die SkIDentity-Referenzarchitektur für die starke Authentisierung in der Cloud Dr. Detlef Hühnlein (ecsec GmbH)"—  Präsentation transkript:

1 Die SkIDentity-Referenzarchitektur für die starke Authentisierung in der Cloud
Dr. Detlef Hühnlein (ecsec GmbH)

2 Agenda Motivation Das SkIDentity-Projekt
Die SkIDentity-Referenzarchitektur Zusammenfassung © 2013 SkIDentity-Team >> 2

3 Cloud Computing Bedarfsorientierung Selbstbedienung Netzwerkzugriff
Ressourcenbündelung Elastische Leistung Messbare Dienste Quelle: /nistpubs/ /SP pdf Quelle:

4 Marktprognosen für Cloud Computing
Quelle:

5 Wie sicher ist denn die Cloud?
Quellen: [isc.sans.edu, nakedsecurity.sophos.com,

6 Identitätsdiebstahl in der Cloud
Cross-Site-Scripting Signature-Wrapping siehe J. Somorovsky, M. Heiderich, M. Jensen, J. Schwenk, N. Gruschka, L. Lo Iacono: Breaking the Clouds – Security Analysis of Cloud Management Interfaces, in ACM Cloud Computing Security Workshop (CCSW), 2011

7 Cross-Site-Scripting (XSS) - Attack
( )

8 XSS-Angriff auf die Browser-basierte Schnittstelle
Downloadlink für X.509-Zertifikate enthält Parameter, der an verwundbares Serverskript übergeben wird. Parameter wird mit bösartigem Javascript gefüllt. Javascript wird im Kontext des Browser-basierten Management-Interfaces ausgeführt und hat Zugriff auf Nutzername/Passwort oder andere Berechtigungstoken des Administrators

9 XML-Signature-Wrapping-Attack

10 Diebstahl von Bitcoins im Wert von US $ 228.000

11 Sicherheitsempfehlungen des BSI für Cloud Computing Anbieter

12 Agenda Motivation Das SkIDentity-Projekt
Die SkIDentity-Referenzarchitektur Zusammenfassung © 2013 SkIDentity-Team >> 12

13 Ziel ? Cloud

14 Problemstellung eID-Services … nicht unklare nur für nPA KMU-tauglich
Sicherheit Cloud fehlende Standards unklare Geschäfts- modelle ungeklärte Rechtsfragen

15 Das SkIDentity-Projekt
…

16 Agenda Motivation Das SkIDentity-Projekt
Die SkIDentity-Referenzarchitektur Zusammenfassung © 2013 SkIDentity-Team >> 16

17 Authentisierung Riesige Anzahl an verschiedenen
Authentisierungsprotokollen Symmetric Key Credentials Public Key Credentials "Bearer Tokens" andere Formate Infrastrukturen Vertrauensmodelle Besitz Biometrie Wissen

18 Die Europäische eID-Landkarte
>> 18

19 Authentisierung in der Cloud
EAC (BSI-TR-03110) C2C (EN 14890) TLS (RFC 5246) HOTP (RFC 4226) … Starke Authentisierung in der Cloud …  IdP      SP  Client 

20 SkIDentity – Lösungsansatz
IdP Policy App eID eID-Broker SP Client

21 SkIDentity – Referenzarchitektur

22 SAML Web Browser SSO Profile
 Authentication Context Identity Provider <ArtifactResolve/> <ArtifactResponse/>   <AuthnRequest/>  <Response/>  GET IS IdP Disc. Profile (_saml_idp)  <AuthnRequest/>  <Response/>  Quelle:

23 OpenID  OpenID Provider       Relying Party  Authentication
checkid   id_res    GET IS ID Resolution & Security Association Relying Party  Quelle:

24 Microsoft CardSpace  Identity Provider (IP)       Relying 
Authentisierung durch Prüfung des WS Security Token <STIP/> Identity Provider (IP)  <RST <STIP/>/> Ermittle <PolicyIP/>  <RSTR <STRP/>/>  Prüfung des <STRP/> IS  GET  <Object/>  POST <STRP/> Relying Party (RP)  Quelle:

25 OAuth 2.0  Authorization Server Ressource Server User        
authz_code,code=xyz  access_token  code  code=xyz Ressource Server  access_token  User  GET  Client Quelle:

26 SkIDentity – Ablauf Policy App eID eID-Broker …

27 SkIDentity – Client

28 Open eCard App (www.openecard.org)

29 Erweiterbare Open eCard Plattform
>> 29

30 SkIDentity – Service Provider

31 SkIDentity – Service Provider
Cloud Application (CA) Web-Anwendung Cloud Connector (CC) Kommunikation mit SkIDentity-Infrastruktur

32 Cloud Connector Cloud Connector «interface» IConnector <Config>
+ Authenticate ( inout : Session : String [0..1], in : Policy : String [0..1], inout : Attribute : AttributeType [0..*] ) : Result IConnector BrokerURL DefaultReturnURL DefaultPolicy TLSClientKeyFile

33 Zusammenfassung Dem Cloud Computing wird eine große Zukunft vorausgesagt Starke Authentisierung ist eine essentielle Grundlage für Sicherheit in der Cloud Sowohl für Endkunden als auch im B2B-Bereich eID-Nutzung in der Cloud ist sehr vielversprechend SkIDentity – vertrauenswürdige Identitäten für die Cloud

34 Herzlichen Dank für Ihre Aufmerksamkeit!
Titelmasterformat durch Klicken bearbeiten Kontakt: Formatvorlage des Untertitelmasters durch Klicken bearbeiten © 2013 SkIDentity-Team © Copyright 2010 ecsec GmbH, All Rights Reserved.