2FA.jetzt will für starke Authentisierung sensibilisieren

Gestern Abend ging die Webseite 2FA.jetzt online. Dahinter steckt die Initiative „Starke Authentisierung – Jetzt“ bei der sich viele Experten unterschiedlicher Branchen zusammenfinden. Da sind Bankenverbände, IT-Verbände, IT-Sicherheitsunternehmen, eine Universität.

NetKnights engagiert sich

Kerngeschäft der NetKnights GmbH sind Dienstleistungen und Produkte rund um das Thema Zwei-Faktor-Authentifizierung. Mit der Opensource Produkt privacyIDEA bieten wir eine flexible und skalierbare Lösung für Behörden, Unternehme und Organisationen jeglicher Größe. Deswegen war es uns auch ein Anliegen, uns in der Initiative 2FA.jetzt zu engagieren.

Auch die NetKnights GmbH ist dort aktiv. Ziel der Initiative ist es die Endbenutzer von Online-Dienste zu sensibilisieren, dass ein sicheres Anmeldeverfahren auch die persönlichen Daten sichert, die der Benutzer einem Online-Dienst anvertraut. Den Diensteanbietern soll gleichzeitig eine Übersicht gegeben werden, wie und mit welchen Lösungen sie eine nachhaltige Zwei-Faktor-Authentifizierung für ihre Kunden umsetzen können.

2FA etabliert sich

Inzwischen haben die meisten wahrscheinlich von Zwei-Faktor-Authentifzierung gehört und habe eine grobe Vorstellung davon. Es ist Zeit, dass aus dieser groben Vorstellung fundiertes Wissen, Überzeugung und echte Anwendungen entstehen.

Mehr zu 2FA.jetzt in der aktuellen Pressemitteilung.

,

Bank-Transaktionen mit privacyIDEA absichern

Die Absicherung von Bank-Transaktionen ist eine große Herausforderung. Wir alle sind dankbar, dass wir uns oft den Weg zum Geldinstitut mit den wohl merkwürdigsten Öffnungszeiten sparen können. Ebenso sind wir froh, dass die Zeiten der TAN-Listen, auf denen wir mit dem Stift nach und nach Zahlenkolonnen ausgestrichen haben, vorbei sind.

Aber was ist heute noch die Herausforderung bei Bank-Transaktionen?

Die Unveränderbarkeit der Transaktionsdaten

Der Bankkunde teilt der Bank über ein Webinterface mit, wieviel Geld an welches Konto geschickt werden soll. Ein Trojaner, den sich der Benutzer im Browser eingefangen hat, kann diese Daten verändern. Kurz gesagt, würde der Bankkunde 100 Euro für Konto 1234567890 eingeben und überweisen wollen und der Trojaner im Browser würde nach dem Klick auf den Button „Überweisung senden“ ungesehen daraus 10.000 Euro für Konto 666.666.XX machen. Die Bank bekommt von dem Vorfall im Browser des Benutzers nichts mit. Sie erhält die Daten 10.000 Euro für 666.666.XX und muss annehmen, dass dies das ist, was ihr Kunde will.

Geld weg.

TAN-Listen und OTP-Token

Die Transaktionsdaten können, bevor sie die Bank erreichen, verändert worden sein!

In früheren Zeiten wurden TAN-Listen verwendet. Manche Bank (die sich eher im nicht-deutschsprachigen Raum befindet), setzt auf OTP-Token. Doch TAN-Listen (obwohl bisweilen auch anderes behauptet wird) und OTP-Token können die Unveränderbarkeit der Transaktionsdaten nicht sicherstellen. Der OTP-Token kann dazu dienen, dass die Bank weiß, dass diese Transaktion von genau dem Bankkunden, der im Besitz dieses Gerätes ist, diese Transaktion angestoßen wurde, jedoch kann die Bank nicht sicher wissen, dass die Transaktionsdaten von einem Trojaner im Browser oder anderen Angriffen verändert wurden, ohne dass der Bankkunde und ohne dass die Bank dies weiß.

Es besteht keine kryptographische Verbindung zwischen den Transaktionsdaten und dem Einmal-Passwort.

OCRA: Die Verbindung zwischen Transaktion und TAN

Hier setzt z.B. der OATH Challenge Response Algorithm (kurz OCRA) an, der in RFC 6287 definiert ist. OCRA wurde genau wie HOTP und TOTP von der Initiative for Open Authentication definiert. Grob gesagt ist OCRA ein etwas erweiterter HOTP-Altgorithmus.

Beim HOTP-Algorithmus ist das einzige Eingangsdatum ein Zähler, der kontinuierlich hochgezählt wird. Zusammen mit einem geheimen Schlüssel (der in diesem Fall den Besitz repräsentiert) wird nun ein 6 oder 8-stelliges Einmalpasswort berechnet. D.h. das Einmalpasswort hängt ab vom geheimen Schlüssel und von dem Eingangsdatum „Zähler“. (Für die, die lieber Dinge wie HMAC und mod lesen, sei hier auf das RFC4226 verwiesen).

Grob gesprochen können im Falle von OCRA noch mehr Daten außer dem „Zähler“ in den Algorithmus hineingepackt werden. So zum Beispiel die Kontonummer des Empfängers und der zu überweisende Betrag. Das aus dem OCRA-Algorithmus resultierende Einmalpasswort ist nun also abhängig vom geheimen Schlüssel und den Transaktionsdaten. Andere Transaktionsdaten generieren ein anderes Einmalpasswort.

Wie kann man sich dies nun bei der Überweisung zu Nutze machen?

Die Bank händigt dem Kunden einmalig einen geheimen Schlüssel aus. Entweder in Form eines Hardware-Gerätes oder einer Smartphone-App. Die Bank kennt den geheimen Schlüssel des Kunden.

Der Kunde gibt nun auf der Banking-Website die Transaktionsdaten ein. Gleichzeitig überträgt er die Transaktionsdaten an sein Gerät (mit dem geheimen Schlüssel). Diese Übertragung könnte auch manuell erfolgen, es sind aber viele unterschiedliche Methoden mit QR-Code, Netzwerk oder Bluetooth denkbar, die die Bedienfreundlichkeit erhöhen.

Auf dem Gerät kann der Kunde nochmal überprüfen, ob dies die richtigen Transaktionsdaten sind, falls sich ein Angreifer auch in diesen Übertragungsweg eingeklinkt hätte. Nur wenn es die richtigen Daten sind, lässt er das Gerät die TAN berechnen und er fährt mit der Überweisung fort. Nun gibt er die TAN in die Banking Webseite ein und die Daten werden zur Bank geschickt.

Die Bank erhält die Transaktionsdaten und die TAN. Die TAN hängt aber genau von den Transaktionsdaten ab, die der Kunden nochmal auf dem Gerät verifiziert hat. Die Bank errechnet mit dem geheimen Schlüssel des Kunden und den erhaltenen Transaktionsdaten ebenfalls die TAN. Sollte sich ein Angreifer eingeklinkt und die Transaktionsdaten auf dem Weg zur Bank verändert haben, so erhält die Bank eine andere TAN als der Kunde geschickt hat und wird die Transaktion nicht durchführen.

In diesem Szenario ist jede einzelne Transaktion kryptographisch gesichert. Etwas provokativ gesprochen kommt es gar nicht so sehr darauf an, die Online-Zugangsdaten zu schützen, weil ohne das Gerät mit dem geheimen Schlüssel sowieso keine kryptographisch gesicherte Transaktion durchgeführt werden kann.

privacyIDEA, OCRA und DisplayTAN

privacyIDEA unterstützt schon lange den OCRA Algorithmus in Form des TiQR tokens. In Version 2.20 wurde die Anwendung des OCRA-Algorithmus derart erweitert, dass bspw. die DisplayTAN-Karte problemlos genutzt werden kann.

Banken brauchen also nicht das komplette Schlüsselmanagement in ihre Web-Applikation zu integrieren sondern können die OCRA-gesicherte TAN erzeugen über eine einzige einfache REST API an privacyIDEA auslagern.

Die DisplayTAN-Karten sind für den Bankkunden sehr attraktiv, da sie die eigentliche Bank-Karte komplett ersetzen können aber zusätzlich die Nutzung des sicheren TAN-Verfahren ermöglichen.

Sprechen Sie uns an!

, ,

NetKnights mit privacyIDEA auf der FrOSCon

Am Wochenende waren wir in Sankt Augustin an der Hochschule Bonn-Rhein-Sieg. Dort fand zum zwölften mal die „Free and Open Source Software Conference“ kurz FrOSCon statt. Die NetKnights GmbH ist dort als Sponsor aufgetreten, hatte einen Ausstellungsstand und wir haben in einem Vortrag über den privacyIDEA LDAP Proxy berichtet.

Aufbau

Am Vorabend wurde der kleine Messestand aufgebaut. Ganz in der Nähe vom heißbegehrten T-Shirt-Stand und der Treppe zum Obergeschoss kam vor allem am Samstag viel Laufkundschaft vorbei.privacyIDEA ist Mehr-Faktor-Authentifizierung, die befreit.

Die privacyIDEA Enterprise Edition ist Open Source. D.h. mit dem Einsatz von privacyIDEA können Unternehmen vermeiden, dass die Software irgendwann End-Of-Sale oder End-Of-Life geht. Gegenüber Online-2FA-Lösungen wie Duo, ist sogar klar, dass die eigenen privacyIDEA-Instanz im eigenen Unternehmen niemals eingestellt werden wird, Leistungen verändert werden, man machtlos gegen Preisanhebungen ist oder Daten nicht wegmigrieren kann.

Die unglaubliche Schnittstellenvielfalt, die Offenheit und das neue Event-Handler-Framework ermöglichen dem Administrator außerdem, viele Aufgaben zu automatisieren. Der Rollout an große Benutzerzahlen wird einfacher, Helpdesk-Funktionen erfordern weniger manuelle Schritte. Die IT-Abteilung spart wertvolle Zeit bei alltäglichen Aufgaben und gewinnt somit die Freiheit, sich mit neuen Projekten zu befassen.

Diese Flexibilität und die damit gewonnene Freiheit gefällt vielen.

Wenn Sie die FrOSCon verpasst haben, schauen Sie doch einfach dieses Jahr bei unserem Auftritt auf der Business-Messe it-sa in Nürnberg vorbei!

Freunde

Am Vorabend des Aufbaus schlenderten wir über die Ausstellung und stellten fest, dass noch nicht alle Stände aufgebaut hatte. Der Stand unserer Freunde von ownCloud war noch nicht aufgebaut. Dem konnten wir abhelfen: Vom ownCloud X Launchevent hatten wir noch ein Rollup in petto, das wir gleich dem Stand spendeten.

Sieht doch gleich viel besser aus!

Das ist Enterprise-taugliche Mehr-Faktor-Authentifizierung mit ownCloud!

So integriert sich privacyIDEA mit vielen verschiedenen Applikationen von CRM-Systemen, CMS, Ticketsystemen, VPN, Firewall, SSH und Desktop und hilft dabei sicherer, entspannter und befreiter auf die eigenen Daten zuzugreifen.

Skalierung

privacyIDEA skaliert von kleinen bis hin zu großen Installationen. Es lässt sich auf kleinen virtuellen Maschinen und in großen Clustern betreiben.

privacyIDEA skaliert von M über XL bis XXXL.

Vortrag

Am Sonntag Nachmittag hielten Friedrich Weber und Cornelius Kölbel dann den Vortrag zum neuen privacyIDEA LDAP Proxy. Der Mitschnitt ist bei Youtube verfügbar.

Abonnieren Sie den privacyIDEA Youtube Kanal oder den Newsletter der NetKnights.

About Enterprise File Encryption

This article was first published at owncloud.

Your Data is at risk. And thus is your personal life and your company’s values.
You avoid hackers, trade espionage and rogue governments getting your data by using your own cloud storage like ownCloud. Your data under your control.

But depending on where your storage is located some risks still remain. The connection to your ownCloud installation in the hosted datacenter is TLS protected. All data are encrypted on their transport to the datacenter. But within the datacenter your data is plain text.
You are using ownClouds integrated encryption? You even have the full disk encrypted using LUKS or similar methods? This is fine but only protects you from certain attacks like stealing the sole hard disk.
But if the attacker gains access to the very location where the actual encryption takes place, the encryption is useless, since this location also contains the encryption key! Thus, if the attacker has access to the datacenter or – more probably – is a rogue or bribed employee of the datacenter the attacker can get physical access to your encryption key and finally to your data.

This is why client side encrpytion is such a good idea. With client side encryption the data is encrypted on your own client. The key material is only available on your client, not on the ownCloud server. The data is sent already encrypted to the server. Not only is the transport layer encrypted using TLS but the payload itself within the TLS can not be read anymore.
The ownCloud server and the storage never sees any clear text data and never has access to the encryption key.
The tool cryptomator which was introduced in this[link] previous blog post works this way.

Requirements

But enterprise scenarios come with a longer requirements list than tools like the slick cryptomater can cover.
Even smaller companies have to comply with the requirements of the enteprrises if they are supplier for the bigger ones.
I have run several projects where supplying companies were confronted with the requirements for encrpytion and two factor authentication since they delivered to bigger enterprises, that simple defined those requirements. Let us take a look at the requirements when you run a company or bigger organization.

File Encryption

In such scenarios when encrypting data it is important to encrypt files. In contrast to full disk encryption and encrypted containers encrypted files can be moved around without breaking the encryption. Even the encrypting file system does not provide this sticky encryption. If the user moves the file to another disk or a USB stick, the file would not be encrypted anymore, since with full disc encryption and container encryption the encryption is bound to the storage and not to the data.
The data should not be decrypted when the file is moved. This is why we require to encrypt the files and keep them encrypted when moving the file to another locatoin.

Client Side Encryption

As mentioned in the beginning the files should be encrypted and decrypted on the client. This way only encrypted data is transferred via the network. The user can also move the files as in the previous requirement but most important the encryption gets independent from the storage location.
The administrator can access the file but can not read the data in the file. This way all backup mechanisms still work, but the data is persistently protected.

Groups

When working with data in a company users are usually working on projects with other colleages.
Thus several users need access to the encrypted data. The project leader or data owner might need to add other users to the group and grant them access to the encrypted data or withdraw this access again.

It is important to note, that usually not *the* administrator gives access to the data. Complying to the concept of duty of separation, the administrator may be responsible for providing the storage and taking care of the backup, but he might not be allowed, to read the data and probalby will not be allowed to decide who is allowed to read the data.

This leads us to the requirement for a bit more sophisticated key management.

Key Management

If files are encrypted with passwords then a password based key derivation function (PBKDF) is used to generate the encryption key. A badly implemented encryption would use this key to encrypt the file. This would result in the problem, that – if you change the password – the complete file needs to be decrypted with the old password and re-encrypted with the new password. This might be fine for one small file but totally fails with a complete directory, a harddisk or a huge storage.

When you look at encryption a multi-step encryption has proven to be sensible. Even in the case of a PGP encrypted Email, the email is for many reasons not encrypted with the public key of the recipient directly but with a symmetric data encryption key (DEK), which is unique to this email.
Only this DEK is encrypted with the public key of the recipient. This is called Key Encryption Key (KEK).

The other great thing when using a DEK and KEK is, that several users can have access to the same data with different passwords – or different KEKs. This way a user who has access to the data can also be allowed to grant access on the data to a new user. The software can access the DEK with the KEK of the old user and encrypt the DEK of the file with the KEK of the new user.

This way, each file has a list of KEK-encrypted DEKs attached to it. Thus an enterprise encryption software needs to allow adding users with their key encryption key to files.
Users need to have different roles like adding users to access groups or only being allowed to access the data.

(Of course you can not effectively avoid the user breach: The user who has been granted access to the data can go rogue and print the data, take a photograph or copy. If you want to tackle with this threat you need to think about implementing data leakage prevenion.)

So what the heck with the KEK?

You might use the latest and greatest symmetric unbreakable encryption algorithms for actually encrypting the data. But these are of no use, if the access to this encryption – usually the password – is week. An attacker would always target the KEK (a.k.a. Passwords) and not the DEK (The encryption itself).

Thus, another important requirement is not only to encrypt the data but also to protect the access to this encryption. A good way to do this is not to use a password based access but to use public key cryptography.
As mentioned with the PGP example, the KEK is the public key of the user. The DEK is encrypted with the public key.
The user has to provide his private key to decrypt the DEK to access the data.

Perfectly the private key is located on a smartcard, so that the private key can not (easily) be copied or stolen.
If the private key was initially created on the smartcard, you can in addition be sure that the private key was not stolen or copied.

Data Read Escalation

As we required earlier the administrator usually can not read the data and can not add users to the group of data users, who can read the encrypted data.
But in certain cases – when all users have lost their smartcard, forgotten their passwords, have quit the job – the company needs to be able to access the encrypted data without one of the originial users available.

In this case the encryption solution needs to provide a process with preferably 4 eyes principle to regain access.
4 eyes principle is important to increase the trust and allow full deniability for all participants.

Technicaly the key management can to this by adding a system-KEK or recovery-KEK to all files.

Hardware Security Modules

Besides using smartcards for the user’s KEKs, the support for hardware security modules can be a good idea. The HSM can be used to protect the system-KEK or recovery-KEK or to sign configuration data. Otherwise a user with the right to only read encrypted data could escalate his rights to „assign-new-users to the encryption group“ by flipping some bytes in the database.

Reencryption

We already said, that reencrypting the data is a bad idea and should be avoided. Nevertheless it can be necessary. E.g. if the symmetric encryption algorithm used to encrypt the files is know to have weeknesses. This is especially important if you need to upgrade the encrpytion algorithm.
In a worst case scenario the system- or backup-key could be compromized, then this keys need to be changed.
The solution should provide the possibility to reencrypt the data.

Possible Solutions

There is a quite nice long list of commercial products, which cover those requirements. Some are better and more convenient in smartcard support, some in group management and some in automation.
It is always a good idea, to identify your own needs and evaluate the right solution.
Most of the tools are products of companies located in Germany and thus comply to the (still) stirct data protection laws.

Why is there no open source?

Nevertheless there is no open source tool, which is capable of covering the requirements and competing with the commercial tools available. This might be due to the scratch-your-own-itch concept of open source development. Individuals start open source projects, which will provide a solution to their own problem. A perfect example is the tool cryptomator. It does a great job in file encryption and covers a lot of requirements but totally lacks the key management and because of this will only work for a single user, but not for project groups in a company.
Another reason might be, that the customers for such an enterprise file encryption tool in 95% of the cases runs Windows on their clients and may thus be used to install and use closed source software – so why should the software vendor bother about an open source busines model?

With the growing pressure of undemocratic survailance requests even by the German government the threat through backdoors and unpublished zero days increases dramatically. In a sensitive area like data encryption, where data obviously is to be protected from preying eyes, open source solutions can help to regain the trust in such software.
So I urge all open source companies with data storage centric products to think about enhancing their portfolio with an open source project for a trustyworthy, modern, enterprise ready file encryption solution. In my opinion this is not only a gap in the market but would also be a great help for a mature and democratic society.

privacyIDEA Appliance, LDAP-Proxy, FrOSCon und it-sa

privacyIDEA Appliance

Für unsere Enterprise Kunden ist neben dem Python Package Index, Ubuntu-Pakenten, UCS-Paketen, CentOS und RHEL-Paketen nun auch eine privacyIDEA Appliance verfügbar, die die Einrichtung von Konfigurationen wie MySQL-Master-Master-Replikation und RADIUS-Clients vereinfacht. Außerdem unterstützt sie beim Backup und Restore und bei der Wartung des anwachsenden Audit Logs.
Lesen Sie mehr dazu in unserem Blog oder schauen Sie sich einen Beitrag im Youtube Kanal an.

privacyIDEA 2.19.1 nun auch auf Univention Corporate Server 4.2

Die aktuelle Enterprise Version 2.19.1 von privacyIDEA ist nun auch auf dem Univention Corporate Server 4.2 verfügbar. Die letzte Version von privacyIDEA 2.18 war lediglich auf dem Univention Corporate Server 4.1 verfügbar. Nutzer des UCS 4.2 kommen nun auch in den Genuss, das aktuelle privacyIDEA leicht auf dem aktuellen Univention Corporate Server installieren und betreiben zu können.
Lesen Sie mehr dazu in unserem Blog.

privacyIDEA LDAP Proxy verfügbar

Der privacyIDEA LDAP Proxy ist nun als Service-Level-Agreement/Produkt verfügbar. Der LDAP Proxy erlaubt die leichte Anbindung von Applikationen, die lediglich das LDAP Protokoll beherrschen. Der LDAP Proxy steht als Broker zwischen der Applikation, dem LDAP und privacyIDEA. Damit lassen sich schnell und effizient auch proprietäre Applikationen mit einem zweiten Faktor absichern.
Lesen Sie mehr auf unserer Webseite.

Veranstaltungshinweise

Es stehen wieder weitere Veranstaltungen an.
Zum Ende des Sommers werden Friedrich Weber und Cornelius Kölbel einen Vortrag auf der FrOSCon zur Zwei-Faktor-Authentifizierung mit dem LDAP Proxy halten. Die NetKnights ist Aussteller auf der FrOSCon und steht Rede und Antwort rund um das Thema Zwei-Faktor-Authentifizierung und privacyIDEA.
Die FrOSCon findet am 19. und 20. August in St. Augustin in der Hochschule Bonn-Rhein-Sieg statt. Lehrreiche und unterhaltsame frühere Vorträge von Cornelius Kölbel auf der FrOSCon wie „Alles meins!“ und „Am Puls der Zeit“ finden Sie bei Youtube.
Im Oktober 2017 wird die NetKnights das erste mal bei der IT-Sicherheits-Messe „it-sa“ in Nürnberg mit einem Stand vertreten sein. Lesen Sie mehr dazu in unserem Blog.

,

privacyIDEA 2.19.1 auf Univention Corporate Server verfügbar

Die Enterprise Version 2.19.1 von privacyIDEA ist nun auch auf dem Univention Corporate Server verfügbar. Mit der Version 2.19.1 vollzieht die NetKnights GmbH außerdem den Wechsel zur Unterstützung des Univention Corporate Servers 4.2. Kunden können somit leicht von einem UCS 4.1 mit privacyIDEA 2.18 auf den UCS 4.2 mit privacyIDEA 2.19.1 upgraden.

Neben den Verbesserungen im Univention Corporate Server 4.2 bringt auch privacyIDEA 2.19.1 weitere Verbesserungen mit. Dies sind unter anderem der generische Benutzer-Cache, der die Anmeldezeiten erheblich verkürzen kann und eine bessere Verwaltung von U2F-Geräten, die es dem Administrator erlaubt zu definieren, welche Geräte die Benutzer überhaupt registrieren und benutzen dürfen. Ein Token-Janitor ermöglicht es dem Administrator, verwaiste Token aufzufinden und zu deaktivieren oder zu löschen. Wir berichteten bereits allgemein über privacyIDEA 2.19.

Service Level Agreement und Subskriptionen

privacyIDEA auf dem Univention Corporate Server kann aus dem Univention App Center leicht und schnell installiert werden. Weitere Details und Test-Subskriptionen finden Sie auf unserer Produktseite. Die normalen Service Level Agreements für privacyIDEA erlauben außerdem die Nutzung von privacyIDEA4UCS.

, ,

NetKnights ist auf der it-sa in Nürnberg

In diesem Jahr wird die NetKnights GmbH mit den Partnern bytemine und Rempartec auf der IT-Security Messe it-sa in Nürnberg dabei sein. Die it-sa findet jährlich für drei Tage im Herbst in Nürnberg statt. In diesem Jahr ist sie vom 10.10.-12.10.2017. In den vergangenen Jahre stellten knapp 500 Aussteller ihre Leistungen und Produkte aus dem Bereich der IT-Sicherheit vor. Die it-sa zieht mit diesem Angebot jedes Jahr über 10.000 Fachbesucher in die Messehallen nach Nürnberg.

Neues von NetKnights und privacyIDEA

Nutzen Sie die Gelegenheit, sich über die Leistungen der NetKnights zu informieren. Speziell erfahren Sie mehr zur privacyIDEA Enterprise Edition, der privacyIDEA Appliance oder dem privacyIDEA LDAP-Proxy.

Besuchen Sie uns in Halle 10.1 Stand 208, direkt gegenüber von Cisco Systems oder vereinbaren Sie vorab schon einen Termin.

,

privacyIDEA Enterprise Edition und Appliance

Als neue Leistungen der privacyIDEA Enterprise Edition bietet die NetKnights nun ein eigenes Enterprise-Repository mit stabilen Enterprise-Paketen an. Diese werden kurz auf das eigentliche Feature-Release als ein Bug-Release veröffentlicht. So wird bspw. nach dem allgemeinen Release 2.19 ein Enterprise Release 2.191. veröffentlicht.

Das Enterprise-Repository enthält lediglich die Version 2.19.1, nicht die allgemeine Version 2.19. Der Vorteil ist, dass ein Kunde sich nicht mehr überlegen muss, ob er ein Update installieren soll oder nicht. Er kann automatisch von 2.18.1 auf 2.19.1 aktualisieren und hat dabei die Gewissheit, auf eine noch stabilere Version zu aktualisieren.

Weiterhin ist in dem Enterprise-Repository die neue privacyIDEA Appliance enthalten, über die wir bereits berichteten.

Das Enterprise-Repository ist für Ubuntu 16.04LTS verfügbar.

Enterprise Repository einbinden

Erstellen Sie eine Datei /etc/apt/sources.list.d/privacyidea-enterprise.list mit dem folgenden Inhalt.

deb https://yourname:yourpassword@lancelot.netknights.it/apt/stable xenial main

Die NetKnights GmbH weist Ihnen als Kunde Ihre eigenen Zugangsdaten zu, die Sie entsprechend bei yourname und yourpassword angeben.

Die Software-Pakete sind signiert. Um die Signatur überprüfen zu können, laden Sie sich den public Key herunter:

wget https://lancelot.netknights.it/NetKnights-Release.asc

Überprüfen Sie den Fingerabduck (0940 4ABB EDB3 586D EDE4 AD22 00F7 0D62 AE25 0082) des Schlüssels

gpg --with-fingerprint NetKnights-Release.asc

Fügen Sie den Schlüssel nun zum Schlüsselbund hinzu:

apt-key add NetKnights-Release.asc

Nun können Sie die Paketlisten aktualisieren und die privacyIDEA Appliance installieren:

apt update
apt install pi-appliance

Durch Aufruf des Tools pi-appliance können Sie nun

das erste Admin-Passwort setzen, mit dem Sie sich am WebUI anmelden,

alle RADIUS Clients konfigurieren oder

bspw. eine MySQL Master-Master-Replikation herstellen.

Sichern Sie sich die Appliance!

 

,

ownCloud X Launch Event

Zwei-Faktor-Authentifizierung für ownCloud mit privacyIDEA.

Am 23. Mai 2017 fand in Köln das ownCloud X Launch Event statt. Die NetKnights GmbH war als Sponsor dort vertreten und ich selber hielt einen Vortrag über Zwei-Faktor-Authentifizierung – speziell mit ownCloud.

In den Pausen konnten die Besucher an den Ständen der Sponsoren vorbeischauen oder etwas zu Trinken oder zu Essen genießen.

Zwei-Faktor-Authentifizierung im ganzen Unternehmen

Die Gespräche mit den Interessenten zeigten erneut deutlich:

Der Wunsch nach Zwei-Faktor-Authentifizierung ist nicht isoliert auf eine Anwendung wie ownCloud zu betrachten sondern Teil einer übergeordneten Sicherheitsstrategie.

privacyIDEA bietet einen zentralen Authentifizierungs-Dienst der die ideale Ergänzung für das Identity-Management im Unternehmen ist. ownCloud kann mit Hilfe der privacyIDEA ownCloud App an privacyIDEA angebunden werden – doch genauso kann das Authentifizierungsobjekt des Benutzers für die Anmeldung an Firewall, VPN, CRM, CMS oder jedem anderen beliebigen TLA genutzt werden.

Möchten Sie gerne mehr erfahren, wie Zwei-Faktor-Authentifizierung auch in Ihrem Unternehmen sinnvoll umgesetzt werden kann?

Dann kontaktieren Sie uns!

Möchten Sie auf dem Laufenden bleiben? Dann abonnieren Sie unseren Newsletter!

Erweiterte Leistungen in der privacyIDEA Enterprise Edition

Das Open Source Mehr-Faktor-Authentifizierungs-System privacyIDEA erfreut sich großer Beliebtheit. Die NetKnights GmbH bietet hierfür professionelle Beratung und Support in verschiedenen Subskriptionsstufen an. Nun werden die Leistungen im Rahmen der privacyIDEA Enterprise Edition noch erweitert. Diese stehen den Support-Kunden ab Ende Juni zur Verfügung.

Zusätzliche, stabile Paketquellen

Das privacyIDEA-Projekt veröffentlicht mit jedem Release Installationspakete für Ubuntu 14.04 LTS und 16.04 LTS. Support-Kunden der NetKnights GmbH erhalten zusätzlich Zugriff auf ein Repository mit Enterprise-Pakete. Diese werden wenige Wochen nach dem Release der Projekt-Pakete bereitgestellt. Die Enterprise-Pakete enthalten Bugfixes zu evtl. in der Zwischenzeit aufgetretenen Fehlern. Die Enterprise-Repository erlauben ein leichtes Update von Version zu Version. Support-Kunden haben somit die Möglichkeit, durch automatische Updates entspannt immer eine stabile Version zu betreiben.

Die Pakete werden für Ubuntu 14.04 LTS, Ubuntu 16.04 LTS und CentOS 7 verfügbar sein.

Appliance-Funktionalitäten

In den Enterprise-Repository wird außerdem ein Tool verfügbar sein, das verschiedene Appliance-Funktionalitäten bereitstellt. Damit muss der Administrator keine Befehle auf Kommandozeile eingeben und keine Konfigurationsdateien editieren.

Um größtmögliche Robustheit zu gewährleisten und keine zusätzlichen Angriffsvektoren zu schaffen, verzichtet das Appliance-Tool auf ein Webinterface, auf Datenbanken und Dateitemplates. Zusätzlich gestattet das dem versierten Administrator weiterhin die direkte Bearbeitung der Konfigurationsdateien.

Das Appliance-Tool hilft dem Administrator schnell bei anstehenden Aufgaben…

Das privacyIDEA Appliance Tool bietet folgende Bereiche:

  • Basiskonfiguration des privacyIDEA Dienstes in der Datei pi.cfg,
  • Verwaltung der administrativen Realms,
  • Verwaltung der lokalen Token-Administratoren,
  • Konfiguration des RADIUS-Servers und speziell der RADIUS-Clients,
  • Konfiguration einer Master-Master-Replikation der MySQL-Datenbank,
  • automatische, zeitgesteuerte Backups,
  • manuelle Backups und Restore,
  • automatische, zeitgesteuerte Rotation der Audit-Logs.

…wie der Konfiguration von RADIUS-Clients

Mit dem privacyIDEA Appliance Tool kann ein Administrator, der ansonsten viele andere alltägliche Aufgaben hat, ein privacyIDEA-System schnell und zuverlässig aufsetzen, konfigurieren und betreiben.

…oder der Definition von zeitgesteuerten Backups.

Was unsere Kunden sagen

PrivacyID3A ist für uns eine große Hilfe. Es gibt hier einige IT Kollegen, die von der RSA Schiene kommen. Jeder von ihnen ist überrascht, dass RSA in unserem Umfeld ausnahmslos ersetzt werden konnte.

Wolfgang KernIT Network Security/Engineering (ARRK | P+Z Engineering GmbH)

privacyIDEA sticht durch seine schnelle Entwicklung heraus und hebt sich damit von seinen Mitbewerbern ab! Die NetKnights überzeugen mit schnellem Support und unproblematischer Einbindung von Feature Requests. Wir freuen uns auf die weitere Zusammenarbeit.

Michael MünzSenior Network Enigneer (m.a.x. Informationstechnologie AG)

It’s not often that I find an open source package which is truly as well thought and polished as privacyIDEA.

John WhittenSenior Systems Administrator, Network Manager

Durch Privacyidea konnten wir unsere proprietäre Token Umgebung ablösen und sind seit dem deutlich schneller und flexibler.

M. Maraun(Ev.-Luth. Diakonissenanstalt zu Flensburg)

Kontaktieren Sie uns

Sie wollen auf dem Laufenden bleiben? Dann abonnieren Sie unseren Newsletter!

Sie möchten Sich das System selber ansehen? Beantragen Sie eine Testinstanz!

Sie wollen mehr wissen? Rufen Sie uns an!