Was definiert eine Identity?
Eine Identity wird durch eine ein-eindeutige Zuweisung an eine Person, Gruppe oder einen Prozeß dargestellt. Diese Identity ist Grundlage für Authentifizierung und Autorisierung. Die Ein-Eindeutigkeit der Identity muß gewährleistet sein.
Wann wird eine Identity benutzt?
Eine Identity kommt immer dann zum Tragen, wenn auf ein rollenbasiertes System zugegriffen wird.
Wann gilt eine Identity als kompromittiert?
Eine Identity wird als unsicher/kompromittiert gekennzeichnet, sobald diese mit Authentifizierungsdaten zur Verfügung steht. Dabei ist es unabhängig ob ein Passwort im Klartext oder als Hash nutzbar ist. Eine beliebte Form des Identity-Diebstahls ist das Sharen von Passwörtern im öffentlichen Bereichen z. B. Source-Einträge in einer Datei auf Dropbox oder Github. Eine Identity gilt auch dann als kompromittiert, wenn diese über ein Backdoor genutzt werden kann. Dies wäre z.B. der Fall, wenn ein Trojaner ein User Kerberos Token oder eine Session-/Cookie-ID aus dem Browser nutzen kann.
Identity-Diebstahl – und welcher Schaden entsteht?
Folgen wir der Publikation im CT Magazin für Computer und Technik in der Ausgabe vom 16.2.2019 mit dem Titel: „Im Namen des anderen“, dann war 2016 fast jeder dritte Bundesbürger Opfer von einem Identity-Diebstahl betroffen. Bei 29% der Betroffenen kam es zu einem Schaden von durchschnittlich 1.366 Euro. Solche Zahlen und der immer noch anhaltende Trend zu solchen „gängigen und lukrativen Geschäftsmodellen“, so das Bundeskriminalamt [im oben genannten Artikel zitiert die CT dazu aus dem „Bundeslagebild Cybercrime 9/2018“] lässt sich erkennen, dass das Schützen der Identity oberstes Ziel sein muss.
Daraus kann für DevOps nur folgen, dass sicheren Methoden im Umgang mit Identitys höchste Priorität einzuräumen sind.
In einen nachfolgenden Post: „DevOps und Authentifizierung/Autorisierung“ möchte ich einige Möglichkeiten hierfür genauer betrachten/darstellen.
