Was ist eine Verbundidentität?

Verbundidentität und Authentifizierung

Ihre digitale Identität (Identity) besteht aus Attributen, die Sie in der digitalen Umgebung eindeutig definieren. Beim Identitätsverbund-Ansatz sprechen sich mehrere Entitäten über die Definition und Verwendung dieser Attribute ab. Durch diese Vereinbarungen können Sie sich an einer Stelle anmelden und dann zu einer anderen Ressource wechseln, ohne sich erneut anmelden zu müssen.

Der Begriff Identitätsverbund ist ein generischer Begriff und kann auf mehrere Arten von Unternehmen, Plattformen und Protokollen angewendet werden. Unternehmen, die Identitätsverbund-Produkte anbieten, nutzen Technologien, die andere verstehen und nutzen können. Dadurch können Plattformen kommunizieren und Identities gemeinsam nutzen, ohne eine weitere Anmeldung zu verlangen.

Identitätsverbund-Systeme müssen sieben sogenannte Laws of Identity einhalten:

1. Benutzerkontrolle und Consent: Benutzer gewähren die Berechtigung, Daten weiterzugeben und haben zumindest teilweise Einfluss darauf, wie diese Weitergabe erfolgen darf.

2. Minimale Offenlegung: Die kleinstmögliche Menge an personenbezogenen Informationen wird weitergegeben. Diese Daten werden sicher gespeichert und schnell gelöscht.

3. Rechtfertigung: Nur Parteien, die einen Bedarf nachweisen können, dürfen darauf zugreifen.

4. Ausgerichtete Identity: Der Schutz der Identity steht an erster Stelle, daher sollten Benutzern zur Datenweitergabe private Identifikatoren zugewiesen werden. Dadurch können Unternehmen nicht zusammenarbeiten, um einen permanenten Blick auf Personen zu erhalten, die mehrere Plattformen nutzen.

5. Wettbewerb: Es sollten viele Identity-Anbieter unterstützt werden, da Wettbewerb zu besserer Leistung führt.

6. Menschliche Integration: Eine echte Person ist in den Prozess involviert, um das Risiko von Hacks zwischen Computern zu reduzieren.

7. Konsistenz: Der Benutzer profitiert von einer einfachen, konsistenten User Experience auf allen Plattformen.

Machen Sie sich mit diesen Konzepten vertraut, um das Prinzip der Verbundidentität besser zu verstehen. Praktisch jeder Benutzer hat diesen Prozess inzwischen schon mindestens einmal verwendet. Wenn Sie sich bei Google angemeldet haben und anschließend zu einer Website mit geschützten Informationen gewechselt sind, ohne sich erneut anmelden zu müssen, sind Sie dem Prinzip der Verbundidentität begegnet.

Wie funktioniert die Authentifizierung im Identitätsverbund?

Verbundidentitäts-Management ist von starken Vereinbarungen abhängig. Identity-Anbieter und Service Provider definieren genau, welche Attribute (z.B. Ihr Standort oder Ihre Telefonnummer) Ihre digitale Identität ausmachen. Sobald diese Eigenschaften (die Anmeldedaten) verifiziert wurden, sind Sie für mehrere Plattform authentifiziert.

Zu den gängigen Technologien beim Verbundidentitäts-Management gehören:

Security Assertion Markup Language (SAML)
OAuth
OpenID

Unternehmen können auch Sicherheitstoken wie JWT (JSON Web Token) und SAML-Assertions verwenden, um Berechtigungen von einer Plattform auf eine andere weiterzugeben.

Ein Beispiel hierfür ist der Verbundidentitätsprozess von Google mit OAuth. Um dieses System zu verwenden, müssen Entwickler wie folgt vorgehen:

1. OAuth-Anmeldedaten von der Google-API abrufen. Wählen Sie Daten (z.B. eine Kunden-ID und ein Kundengeheimnis), das Google und Ihr Unternehmen kennen.

2. Einen Zugriffstoken vom Google Authorization Server abrufen. Benutzer benötigen einen Token von Google, um ihre Web-Abfrage abzuschließen und Zugriff zu erhalten.

3. Die Zugriffsrechte vergleichen. Benutzer gewähren Zugriff auf Daten. Sie müssen dabei sicherstellen, dass Ihre Abfrage deren Bereitschaft zur Datenweitergabe entspricht.

4. Den Token an die API senden. Benutzer sind bereit, Zugriff zu erhalten, sofern der Token in der Kopfzeile Ihrer HTTP-Autorisierungsanfrage enthalten ist.

Die Benutzer merken von diesem Prozess fast nichts. Sie rufen eine Website auf, die sie besuchen möchten, und sehen einen Bildschirm, auf dem sie zur Anmeldung mit Anmeldedaten aufgefordert werden. Sie klicken auf ein oder zwei Buttons und gelangen auf magische Weise auf die gewünschte Website.

Die Rolle von US-Behörden beim Identitätsverbund

Computer-Entwickler sind der Meinung, dass sie autonom und von politischen sowie externen Einflüssen unabhängig sind. Fakt ist jedoch, dass US-Behörden sich stark für die Funktionsweise von Verbundidentitäten und dafür interessieren, wer die Verantwortung dafür übernimmt.

Dieses Interesse basiert auf der Homeland Security Presidential Directive12 von 2004. Laut dieser Regierungsdirektive fordern Experten sichere Anmeldedaten für den Zugriff auf Behördenressourcen. Teams wird nahegelegt, ein System aufzubauen, das schnelle Wechsel zwischen Plattformen und Programmen ermöglicht. Geschwindigkeit ist wichtig, aber Sicherheit ist unverzichtbar.

Seit 2004 haben unzählige Unternehmen Vereinbarungen, Protokolle und Programme für Verbundidentitäten entwickelt. Es ist jedoch noch mehr erforderlich.

Derzeit arbeiten das National Cybersecurity Center of Excellence und das National Strategy for Trusted Identities in Cyberspace National Program Office gemeinsam an einem Privacy-Enhanced Identity Federation-Projekt. Nach Abschluss dieses Projekts wird das Team eine Reihe von Standards veröffentlichen, die Unternehmen für Verbundidentitäten verwenden können. Bisher wurde noch kein Veröffentlichungsdatum bekanntgegeben.

Vorteile von Verbundzugriffen

Einige Unternehmen erlauben sichere Anmeldungen, ohne dazu das Verbundidentitätskonzept zu nutzen, während andere noch nicht einmal daran denken, ihre Produkte auf diese Weise zu betreiben. Wer hat Recht?

Zu den Vorteilen von Verbundidentitäten gehören:

Geringere Kosten. Wenn Sie Verbundprodukte verwenden, müssen Sie keine eigenen SSO-Lösungen aufbauen.
Verbesserte Effizienz. Mitarbeiter müssen keine Zeit damit verschwenden, sich immer wieder bei Systemen anzumelden.
Geschützte Daten. Bei Verbundlösungen wird erwartet, dass sie verbesserten Datenschutz und Sicherheit gewährleisten, da jeder Anmeldeprozess eine Schwachstelle für Unternehmen darstellt. Durch die Vereinfachung des Anmeldeprozesses wird das Angriffsrisiko reduziert.

Missverständnisse in Bezug auf Verbundzugriffe

Die Verwendung von Verbundzugriffen ist mit keinen großen Nachteilen verbunden. Es gibt jedoch einige häufige Missverständnisse, zum Beispiel:

Weniger Kontrolle. Verbundidentitäts-Management-Lösungen wenden konkrete Regeln und Vereinbarungen an. Einige Menschen befürchten, dass sie dadurch Kontrollmöglichkeiten verlieren, doch das ist nicht der Fall. SSO-Anbieter bieten meist verschiedene Konfigurationsoptionen, damit sich Systeme wie erforderlich verhalten können.
Potenzielle Sicherheitsrisiken. Kein Authentifizierungsprotokoll ist vollständig sicher und einige Verbundprogramme enthalten bekannte Schwachstellen. In den meisten Fällen ist ein Verbundprogramm, das auf etablierten Standards aufbaut, sicherer als fast alle anderen Programme.

Zahlreiche bekannte und vertrauenswürdige Unternehmen, einschließlich Google, Microsoft, Facebook und Yahoo, verwenden Verbundidentitätskonzepte. Wenn diese Unternehmen auf diese Konzepte setzen, kann man davon ausgehen, dass sie sicher und zuverlässig sind. Jedes Unternehmen muss jedoch eigene Bewertungen der Risiken und Vorteile durchführen.

Erfahren Sie, wie Sie mit Unterstützung von Okta feststellen können, ob für Ihr Unternehmen Authentifizierung im Identitätsverbund oder SSO-Authentifizierung die sicherste Lösung ist.