IT Security Januar / Februar 2024

40 | IT SECURITY
Fein-granulare Autorisierung
WARUM DER HYPE?
Fein-granulare Autorisierung ist ein aktuelles
Thema im Identity Management,
neben „Self-Sovereign Identity“ und der
EU-Verordnung eIDAS 2.0. Besonders
das 2019 von Google präsentierte
„Zanzibar“-Konzept für ein globales
Autorisierungssystem hat Aufmerksamkeit
erregt. Die Idee, nicht nur Identifikation
und Authentisierung, sondern auch
Autorisierung zu zentralisieren, ist nicht
neu, wie der XACML-Standard der OA-
SIS aus den frühen 2000er Jahren zeigt.
Dennoch hat sich das Konzept der feingranularen
Autorisierung bisher nicht
vollständig durchgesetzt.
IGA:
Identity Governance
& Administration
IdP:
Identity Provider
Authentication
user
user directory
Single Sign-On
SAML
OICDC/OAuth
Altlasten und Beweggründe
Zwar waren die Gründe für den ausbleibenden
Erfolg vielfältig - dennoch gilt
XACML nicht als „vollkommen gescheitert“.
Die komplexe Umsetzung in reale
Produkte und die mangelnde Agilität
der Software-Entwicklung haben die
Adaption erschwert. Viele Unternehmen
scheuten den Aufwand des Refactorings,
um ihre Bestands-Software auf
das neue Paradigma umzustellen. Im
Jahr 2023 existieren daher immer noch
Anwendungen mit interner Benutzerverwaltung,
während Microsoft mittlerweile
veraltete Technologien wie NTLM
aus seinen Produkten entfernt. Die Migration
etablierter On-Premises Anwendungen
in die Cloud zwingt Unternehmen,
alte Strukturen zu überdenken und
den Mehrwert moderner Sicherheitsverfahren
zu bewerten, wobei die Benutzer-
und Rechteverwaltung eine entscheidende
Rolle spielt.
Bisherige Entwicklung
In den 2000er Jahren führte der Aufstieg
von Web-Anwendungen und der
Rückgang der Three-Tier-Applikationsarchitektur
zu einem Wildwuchs von Benutzerkonten
und Passwörtern in Web-
Apps. Unternehmen setzten auf Web-
SSO-Systeme, um dem entgegenzuwirken.
Allerdings führten unschöne
Begleiterscheinungen wie das Scraping
von Credentials und die unverschlüsselte
Übertragung per HTTP zu mittlerweile
allseits bekannten Problemen. Die
Nutzung von Tokens statt Credentials,
bekannt aus dem AD mit Kerberos, wurde
im späteren Verlauf bevorzugt. Doch
viele Web-Applikationen befanden sich
nicht im eigenen Rechenzentrum oder
Application
Identity Data
Application
Identity Data
Bild 1:
Auslagerung
von Benutzerinformationen
in einen IdP
„line of sight“ zum AD-Controller, weshalb
Kerberos keine Option war. Das
weit unterstützte SAML-Protokoll etablierte
sich als Lösung für die Föderation,
besonders durch die Adaption von
SAML 2.0 im Microsoft Active Directory
Federation Server 2.0. Seither erfreute
sich SAML 2.0 großer Beliebtheit für
Web-Anwendungen, stößt jedoch mit
dem Aufkommen mobiler Geräte und
Apps an seine Grenzen: Die Verwendung
von Cookies und die hohen Ressourcenanforderungen
des Protokolls
erschwerten die mobile Nutzung.
Ja/Nein Entscheidung
Das SAML-Protokoll ermöglicht zwar die
Ersetzung lokaler Anmeldungen durch
die Anmeldung an einem eigenen Identity
Provider (IdP), wodurch nur Token,
nicht jedoch Kennwörter, an die Anwendung
übertragen werden. Jedoch fehlt
SAML die Möglichkeit, fein abgestufte
Berechtigungen jenseits des einfachen
„Ja/Nein“ zum Zugriff zu verwalten.
SAML-basierte Föderationen dienen
heutzutage häufig als Gatekeeper, können
jedoch komplexe Berechtigungsabfragen
nur umständlich abbilden.
Die Herausforderungen von Mobil-
Apps wurden durch Protokolle wie
OAuth 2.0 und Open ID Connect
(OIDC) angegangen, die auch die lästige
wiederholte Registrierung bei neuen
Diensten entschärfen. Die flexiblere
Nutzung über verschiedene Flows ist
ein weiterer Vorteil dieser Protokolle.
Identifikation – Authentisierung –
Autorisierung?
Die Zentralisierung von Benutzeridentifikation
und Authentifizierung durch einen
IdP gilt als gelöst, dank passender
Januar/Februar 2024 | www.it-daily.net