Ratgeber Security-Assertion-Markup-Language-Protokoll

Single-Sign-On statt Login-Marathon

Datum:02.04.2014
Autor(en):Oliver Schonschek

Wenn Online-Dienste nicht genutzt werden können, liegt es oftmals an vergessenen Passwörtern, Benutzernamen oder Verifizierungsfragen. Das zeigt auch die aktuelle Ponemon-Studie "Moving Beyond Passwords: Consumer Attitudes on Online Authentication¹" wieder einmal aufs Neue.

Probleme mit der Vielzahl an digitalen Identitäten und Zugangsdaten haben nicht nur Verbraucher. Laut einer weiteren Ponemon-Studie "Security of Cloud Computing Users Study 2013²" wünschen sich 64 Prozent der IT-Verantwortlichen ein Identitätsmanagement, das über die eigenen Netzwerkgrenzen hinausgeht und auch Cloud-Dienste berücksichtigt. Dafür gibt es gute Gründe.

Mit Mobile, Social und Cloud steigt der SSO-Bedarf

Die Mehrzahl der Unternehmen steckt inzwischen in der SoMoClo-Phase. SoMoClo steht für Social Media, Mobile Computing und Cloud Computing. Die Aberdeen Group zum Beispiel stellte in der Studie "The SoMoClo Edge³" fest, dass 77 Prozent der befragten Unternehmen Mobile Computing verwenden, 68 Prozent Social Media betrieblich nutzen und 65 Prozent Cloud-Dienste.

Die Vielzahl an digitalen Identitäten und Passwörtern, die ein Nutzer bewältigen muss, lässt sich durch Single-Sign-On (SSO) reduzieren.
Foto: BioID AG

Mit jeder geschäftlichen App, jedem sozialen Netzwerk und jeder Cloud sind aber weitere Identitäten und Passwörter verbunden.

Eine Vereinheitlichung der Nutzerzugänge durch ein Single-Sign-On-Verfahren erscheint als hilfreicher Ausweg: 70 Prozent der Anwender von SSO-Plattformen erwarten dadurch eine Verbesserung der Sicherheit, 51 Prozent sehen eine Reduzierung der erforderlichen IT-Ressourcen und 49 Prozent eine Steigerung des Komforts für die Nutzer, wie eine Studie von Qualtrics⁴ zeigt.

Die Suche auf dem SSO-Markt

Betrachtet man den Markt für SSO-Lösungen, sind gerade in der jüngsten Zeit viele neue Anbieter hinzugekommen. Der SSO-Markt ist in Bewegung, auch wegen der stetigen Zunahme an betrieblich genutzten Smartphones⁵ und Tablets⁶, der steigenden Nutzung von Cloud-Diensten⁷ und der zunehmenden Bedeutung von Social Media im Unternehmen⁸.

[Hinweis auf Bildergalerie: ] ^gal1

In diesem Beitrag kann nur eine Stichprobe unter den SSO-Plattformen untersucht werden. Die abschließende Checkliste nennt aber Kriterien, die Unternehmen für ihre eigene Suche und Bewertung heranziehen können.

1. Kriterium: Schnittstellen

Grundlegend für jedes SSO-Verfahren ist dessen Integrierbarkeit - oder anders ausgedrückt die Vielfalt an Schnittstellen -, die darüber entscheidet, ob man wirklich von einer einheitlichen, zentralen Anmeldung sprechen kann, oder ob gleich mehrere Anwendungen, die das Unternehmen einsetzt, nicht unterstützt werden.

Ein SSO-Verfahren, das tatsächlich alle eingesetzten Anwendungen einbinden kann, ist kaum zu finden. Doch die entscheidenden Anwendungen eines Unternehmens sollten durch die SSO-Lösung der Wahl unterstützt werden.

Zu beachten sind dabei insbesondere die von der jeweiligen SSO-Lösung unterstützten Standards, Verzeichnisdienste (wie Active Directory oder OpenLDAP), Identitätsdienste und Anwendungen im Netzwerk und in der Cloud, zudem mobile Anwendungen und Social-Media-Plattformen.

Unterstützte Standards und Identitätsdienste

Einer der führenden Identitätsdienste im Internet ist OpenID.
Foto: Screenshot ClaimID / Oliver Schonschek

Lösungen wie CA CloudMinder⁹, SurePassID¹⁰ oder IBM Tivoli Federated Identity Manager¹¹ unterstützen Autorisierungsstandards für Web-, Desktop- und mobile Applikationen wie OAuth¹², die Web-Spezifikation WS-Federation¹³ und das SAML-Framework¹⁴ (Security Assertion Markup Language). Damit sind wichtige technische Voraussetzungen für den standardisierten Austausch von Zugangsdaten mit zahlreichen Applikationen gegeben. Die Vielfalt an unterstützten Anwendungen ist bei solchen SSO-Lösungen in der Regel groß.

Verschiedene SSO-Plattformen berücksichtigen auch Identitätsdienste wie OpenID¹⁵, CloudMinder zum Beispiel auch die Verwendung der Facebook- oder Google-Zugangsdaten bei Websites, die diese Art der Anmeldung unterstützen. SSO-Plattformen, die zum Beispiel OpenID als Identitätsanbieter und Anmeldeverfahren vorsehen, können nach einmaligem Login des Nutzers die Anmeldung an allen Webseiten vornehmen, die den Identitätsdienst OpenID integriert haben. Welche dies sind, findet man unter anderem in einem OpenID-Verzeichnis¹⁶.

Social-Media-Dienste wie Twitter bieten sich als Identitätsdienst an.
Foto: Screenshot Twitter.com / Oliver Schonschek

Soziale Netzwerke wie Facebook¹⁷, Twitter¹⁸ und Google+¹⁹ bieten sich inzwischen ebenfalls als Identitätsdienst an. Man spricht auch von Social-Log-In-Diensten. Die Lösung NetIQ Social Access²⁰ zum Beispiel ermöglicht es Unternehmen, ihren Kunden oder Partnern eine Anmeldung mit einem der Social Log-Ins anzubieten, also für die Anmeldung die Zugangsdaten eines bestimmten sozialen Netzwerkes zu verwenden.

Unternehmensanwendungen, Mobile und Cloud

Neben Anwendungen, die im internen Netzwerk betrieben oder aus einer Cloud bezogen werden, sind es die mobilen Apps, die für den betrieblichen Einsatz zunehmend wichtig werden. IBM Security Access Manager for Cloud and Mobile²¹ zum Beispiel vereinheitlicht den Zugang zu verschiedenen Cloud-Diensten und die Anmeldung für bestimmte mobile Apps.

Lösungen wie SecureAuth IdP²² bieten für mehrere mobile Plattformen²³ spezielle Apps an, die die Nutzer auf ihr Smartphone oder Tablet laden, um das Single-Sign-On mobil nutzen zu können. CloudAccess SaaS SSO²⁴, Symplified²⁵, Symantec O3²⁶ oder PingOne²⁷ bieten eine zentrale Nutzeranmeldung für zahlreiche, unterstützte Cloud-Dienste²⁸, darunter Google Apps, Salesforce.com oder SharePoint.

2. Kriterium: Sicherheit

Bei einem SSO-Verfahren sollten Vorgaben für komplexe Passwörter und verschlüsselte Anmeldeverfahren Standard sein. Gelänge es einem Unbefugten, den zentralen Zugang zu knacken, hätte er in der Regel Zugang zu allen angebundenen Anwendungen.

Abhängig vom jeweiligen Schutzbedarf, den internen Richtlinien und den für das Unternehmen geltenden Compliance-Vorgaben sollten deshalb auch Mehr-Faktor-Authentifizierungen möglich sein. Bei Identity and Management Plattformen (IAM) wie Aveksa MyAccessLive²⁹ oder SecureAuth IdP³⁰ zum Beispiel kann das SSO-Passwort richtlinienabhängig um weitere Faktoren wie einem Einmal-Passwort (OTP) ergänzt werden.

Ob eine einfache Passwortanmeldung für die SSO-Anmeldung reicht oder nicht, entscheidet beispielsweise CA CloudMinder³¹ auf Basis des aktuellen Risk Score. Dieser hängt unter anderem davon ab, wo sich der Nutzer aktuell befindet, welches Gerät für die Anmeldung genutzt wird, welche Aktionen der Nutzer vornehmen möchte und ob die geplanten Aktionen des Nutzers mit seinen Aktivitäten in der Vergangenheit zusammen passen.

3. Kriterium: Nutzerfreundlichkeit

Eine SSO-Lösung sollte sich auch durch ihre Nutzerfreundlichkeit auszeichnen - sowohl für Standardanwender als auch für Administratoren.

Bei Cloud-basierten Lösungen wie Aveksa MyAccessLive³², CloudAccess SaaS SSO³³, OneLogin³⁴, McAfee Cloud Single Sign On (SaaS Edition)³⁵ oder PingOne³⁶ entfallen Installationsaufwände; die zentrale Administration und die SSO-Anmeldung durch die Nutzer erfolgen über den Webbrowser. Allerdings ist bei Cloud-basierten SSO-Lösungen die hohe Verfügbarkeit des Dienstes von zentraler Bedeutung, ebenso die Betreibersicherheit, da die Identitätsdaten vor Unbefugten geschützt sein müssen.

Die Lösung CA CloudMinder bietet Single-Sign-On für eine Vielzahl von Anwendungen, ob im eigenen Netzwerk oder in der Cloud.
Foto: CA Technologies

Mobile Administrationszugriffe sind bei vielen Lösungen möglich. So können Administratoren und Entscheider mit der Android- oder iPhone-App MyAccessMobile³⁷ Nutzeranfragen zu neuen oder geänderten Zugängen und Berechtigungen mobil bearbeiten.

CA CloudMinder³⁸, SecureAuth IdP³⁹ oder IBM Tivoli Federated Identity Manager⁴⁰ ermöglichen unter anderem das Zurücksetzen des Nutzerpasswortes als Self-Service. Solche Funktionen, mit denen Nutzer bestimmte Zugangsprobleme wie ein vergessenes Passwort selbst lösen können, erhöhen die Nutzerakzeptanz und entlasten die Administratoren.

Fazit: Genaue Anforderungen stellen

Bei der Suche nach der richtigen SSO-Lösung haben Unternehmen die Wahl zwischen einer Vielzahl an Anbietern, einige sind in diesem Beitrag genannt. In zahlreichen Punkten ähneln sich die Angebote, weshalb es wichtig ist, die eigenen Anforderungen vor Beginn der Anbietersuche sehr genau heraus zu arbeiten. Fragen zur notwendigen Unterstützung von Verzeichnisdiensten und Anwendungen sollten ebenfalls vorab geklärt sein wie der Bedarf Identitätsdienste wie OpenID oder Social Log-Ins einbeziehen zu können.

Entscheidend ist die Datensicherheit, die eine SSO-Plattform bieten kann, bei der Übertragung und Speicherung der Zugangsdaten; im Fall von Cloud-basierten SSO-Lösungen auch die Sicherheit, die der Betreiber gewährleisten kann. Eine Cloud-basierte SSO-Lösung bedeutet in aller Regel eine Auftragsdatenverarbeitung und muss den entsprechenden Datenschutzanforderungen⁴¹ gerecht werden.

Nicht zuletzt die Nutzerfreundlichkeit einer Lösung im Bereich Single-Sign-On wird über den Erfolg der Einführung entscheiden. Umständliche Anmeldeverfahren werden auf Ablehnung stoßen. So sollten die jeweils angebotenen Möglichkeiten zur Mehr-Faktor-Authentifizierung mit den eigenen Vorstellungen abgeglichen werden. Es macht einen Unterschied, ob die Nutzer ein Einmal-Passwort per SMS auf ihr Mobiltelefon bekommen, das sie sowieso dabei haben, oder ob sie einen zusätzlichen Hardware-Token benötigen.

Die folgende Checkliste nennt zusammenfassend grundlegende Auswahlkriterien, die individuell erweitert werden sollten. Exemplarisch sind verschiedene Lösungen auf die genannten Kriterien untersucht worden. (sh/mje)

Checkliste: Auswahlkriterien für SSO-Lösungen

Dieser Artikel basiert auf einem Beitrag unserer Schwesterpublikation Computerwoche⁴². (rb)

Links im Artikel:

Bildergalerien im Artikel:

One person, many identities
Die Vielzahl an digitalen Identitäten und Passwörtern, die ein Nutzer bewältigen muss, lässt sich durch Single-Sign-On (SSO) reduzieren. Im Idealfall reicht eine Zugangskontrolle für alle genutzten Anwendungen. Dies kann zum Beispiel eine biometrische Zugangskontrolle sein wie bei BioID.
Foto: BioID AG

Twitter - Sign in
Social-Media-Dienste wie Twitter bieten sich als Identitätsdienst an, so dass zum Beispiel die Twitter-Zugangsdaten auch für andere Online-Dienste genutzt werden können - vorausgesetzt, diese unterstützen die Anmeldung über Twitter.
Foto: Screenshot Twitter.com / Oliver Schonschek

Alternative Mozilla Persona
Neben dem Identitätsdienst OpenID bietet sich auch Mozilla Persona an, um einheitliche Anmelde-Verfahren bei mehreren Webseiten zu schaffen.
Foto: Screenshot mozilla.org / Oliver Schonschek

One E-Mail to rule 'em all
Bei Mozilla Persona dient die E-Mail-Adresse des Nutzers als eindeutiges Kennzeichen, über das verschiedene Anmelde-Verfahren auf Webseiten vereinheitlicht werden können.
Foto: Screenshot mozilla.org / Oliver Schonschek

ClaimID OpenID
Einer der führenden Identitätsdienste im Internet ist OpenID. Dieser wird auch von zahlreichen Identitätsmanagement-Lösungen unterstützt, die Unternehmen für das interne Netzwerk und für Cloud-Dienste einsetzen.
Foto: Screenshot ClaimID / Oliver Schonschek

CA CloudMinder
Die Lösung CA CloudMinder bietet Single-Sign-On für eine Vielzahl von Anwendungen, ob im eigenen Netzwerk oder in der Cloud. Zusätzlich werden Self-Service-Funktionen angeboten, mit denen die Nutzer zum Beispiel selbst ein Passwort zurücksetzen können.
Foto: CA Technologies

SecureAuth IdP
Für die SSO-Lösung SecureAuth IdP gibt es spezielle mobile Apps, mit denen sich die SSO-Zugänge auch über mobile Geräte nutzen lassen.
Foto: SecureAuth

Aveska MyAccess Mobile
Für die SSO-Plattform MyAccessLive gibt es mobile Zugriffsmöglichkeiten, mit denen Administratoren Nutzeranfragen zu neuen oder geänderten Zugängen mobil bearbeiten können.
Foto: Aveska