Wir sind stolz, dass wir heute privacyIDEA 3.0 veröffentlichen können. Denn mit privacyIDEA 3.0 stellen wir die Weichen für eine stabile Zukunft.

Während viele sich schnell in verlockenden MFA SaaS-Angeboten verlieren, wollen wir unseren Kunden weiter die Möglichkeit geben, ihre sichere Mehr-Faktor-Authentifizierung mit einem vertrauenswürdigen System unter der eigenen Kontrolle, on Premise, durchzuführen. Damit das auch in Zukunft so bleibt, haben wir an mehreren Punkten in den vergangenen Monaten gearbeitet. Vordergründig scheinen die erstmal keinen Wow-Effekt zu bringen, aber Ihnen als Unternehmenskunde geben sie das, was für Sie zählt: Langfristige Stabilität!

Python 3

privacyIDEA ist in Python geschrieben. Die Python Version 2.7 wird ab 2020 nicht mehr weiterentwickelt. Wir haben den Code von privacyIDEA 3.0 so geschrieben, dass er sowohl unter Python 2.7 als auch unter Python 3.x läuft. Das gibt Ihnen die Sicherheit, dass Sie ohne Migrationsprojekte von Python 2.7 auf Python 3 wechseln können und auch nach 2020 privacyIDEA entspannt einsetzen können.

Eine PIP-Installation von privacyIDEA 3.0 können Sie wahlweise schon auf Python 3 betreiben. Die Enterprise-Pakete werden wir derzeit noch mit Python 2.7 ausliefern und sie dann im Laufe der kommenden Monate auf Python 3 ändern. Für Sie ist dann außer einem normalen Update nichts weiter zu tun.

Cryptofunktionen

Unter der Haube haben wir auch Crypto-Bibliotheken ausgetauscht. Die alte Bibliothek pycrypto musste dem de-Facto-Standard cryptography weichen. Signaturen und verschlüsselte Daten haben nun zusätzlich eine eigene Versionierung, so dass wir hier zukunftssicher sind, wenn wir die Art und Weise, wie wir signieren oder verschlüsseln, austauschen wollen. Dank der Versionierung können wir hier einfach die Abwärtskompatibilität sicherstellen.

Datenbank-Schema

Wir haben mit einer Design-Altlast gebrochen, die auf die ersten Versionen im Jahr 2009 zurückgeht. Bisher wurde die Zuordnung eines Tokens zum Benutzer in der Datenbank in der Tokentabelle selber gespeichert. Das war zwar einfach, aber nicht flexibel. Die Zuordnung erfolgt nun in einer eigenen Tabelle, so dass wir datenbankseitig schon vorbereitet haben, dass mehrere Benutzer den gleichen Token besitzen können. Dies wird es uns in der Zukunft erleichtern, ganz neue Tokentypen zu entwickeln.

Installationsvarianten

Wir haben uns entschieden, alle Installationsvarianten als sogenannte Python virtualenv auszuliefern. In einem dedizierten Verzeichnis bringt privacyIDEA alle Abhängigkeiten mit, die es benötigt. Dadurch stellen wir sicher, dass unabhängig davon, ob privacyIDEA auf einem Debian, Ubuntu, RHEL oder SLES läuft und per pip, apt oder yum installiert wurde, in einer gegebenen Version der komplett gleiche Code läuft. Das hilft, Seiteneffekte von unterliegenden Abhängigkeiten auszuschließen. Die Installationen werden homogener und stabiler.

Dennoch ist weiterhin wie gehabt eine einfache Installation und Update mittels apt/aptitude oder yum möglich.

Ab privacyIDEA 3.0 werden wir keine Pakete mehr für Ubuntu 14.04LTS bauen. Dafür bieten wir ab 3.0 Pakete für Ubuntu 18.04LTS und 16.04LTS an. Die Pakete für Ubuntu können wir aber nicht mehr in den PPA Launchpad Repositories veröffentlichen. Vielmehr veröffentlichen wir diese nun in einem eigenen Repository.

Installation der neuen Version privacyIDEA 3.0

privacyIDEA 3.0 ist die Community Edition, die auf dem Python Package Index und in Repositories für Ubuntu 16.04LTS und 18.04LTS verfügbar ist. Wegen der Änderungen bitten wir Sie, die Installations- und Update-Anleitungen genau zu lesen.

Die Enterprise Edition für Unternehmenskunden wird in einigen Wochen als Version 3.0.1 folgen.

Lesen Sie außerdem unsere Pressemitteilung zum Release von privacyIDEA 3.0.

Am Wochenende 16. und 17.03.2019 waren wir mit unserem privacyIDEA-Stand auf den Chemnitzer Linuxtagen. Auf den Chemnitzer Linuxtagen präsentieren sich Projekte und Unternehmen aus dem Open Source-Umfeld, Referenzen halten Vorträge zu aktuellen Themen, Workshops gibt es für die erwachsenen Besucher aber auch für Kinder. Die Veranstaltung fand dieses Jahr zum 21sten mal statt. Die Professionalität der Organisation ist fast nicht mehr zu toppen.

Gourmets und Jobsuche

Vom Programmheft, über Besucherführung, Merchandising, Außenwerbung bis hin zur Verpflegung. Ist es Eigenironie, wenn sich das Team, das sich um die Verpflegung der Aussteller kümmert „Chemnitzer Catering-Tage“ nennt?

Neben den Vorträgen gibt es im großen Hörsaalgebäude Ausstellungsstände von freien Projekten und Unternehmen, die die Chemnitzer Linux-Tage mit Sponsorbeiträgen unterstützen und in dieser Form ermöglichen.

Wir haben privacyIDEA als Projekt angemeldet und mussten wahrheitsgemäß bei der Anmeldung bestätigen, dass wir mit dem Projekt Geld verdienen und schwupp – schon waren wir eine „Firma privacyIDEA“ und somit mit unserem im Innenbereich des Hörsaalgebäudes platziert.

Die Firmenrepräsentanz war eine illustere Mischung und man fragte sich, was haben die Firmen den Besuchern zu vermitteln – außer der Information, dass sie Mitarbeiter suchen. So wirkte die Ausstellung an einigen Stellen leider wie eine Jobmesse als ein informatives Linux-Event.

Unser Stand und unseren Kontakte

Wir entschieden uns, an unserem Stand niemanden mit Stellenangeboten zu belästigen – wie soll eine „Firma privacyIDEA“ auch Arbeitsverträge unterschreiben?

So zogen wie immer die Hardwaremischung aus Token, Yubikeys, OTP-Karten, Thomas-Krenn-Server und Raspberry PI die Leute in Ihren Bann.

Viele sind daran interessiert ihre persönlichen Rechner abzusichern.

Doch auch Entwicklern und Unternehmensadministratoren konnten wir die flexible Mehr-Faktor-Lösung privacyIDEA näher bringen.

Besonders nutzten wir aber auch die Gelegenheit, um die Kontakte zwischen den Unternehmen und Projekten weiter zu intensivieren. privacyIDEA ist als Authentifizierungssystem eine Brückentechnologie, die mit anderen Produkten und Projekten interagieren muss. Und so freuen wir uns, dass wir solche Veranstaltungen nutzen können, um die Kommunikation unkompliziert aufrecht zu erhalten.

Vollbepackt nach Chemnitz

Auch dieses Jahr hat die NetKnights GmbH die Chemnitzer Linuxtage als Sponsor unterstützt und wir haben den Community-Stand von privacyIDEA gestellt. Also sind drei Mitarbeiter der NetKnights am Freitag Nachmittag mit dem vollgepackten Auto in Kassel aufgebrochen.

Weiterlesen

Am 27. Februar 2018 fand in den Räumlichkeiten der NetKnights GmbH ein Workshop zur 2-Faktor-Authentifizierung statt. IT-Verantwortliche aus verschiedensten Branchen hatten den ganzen Tag Gelegenheit, ihre Fragen zu stellen, Anwendungsszenarien zu klären und privacyIDEA im Detail kennenzulernen.

(mehr …)

Thales kauft Gemalto. Die Konsolidierung in der Welt der IT-Sicherheit schreitet weiter voran. Das muss nicht unbedingt gut sein. Denn Varianz und Pluralität stärkt die Wiederstandskraft und lässt dem Kunden die Wahl. Ich finde es spannend, wie sich das entwickeln wird. In der Vergangenheit nutzen wir SafeNet (Gemalto) HSMs und Thales HSMs. Während SafeNet vehement den Ansatz Key in Hardware vertrat öffnete sich Thales mit der Flexibilität des Security World-Konzepts. In unseren Augen hatte beides seine Daseinsberechtigung. Es werden sich nun wohl auch die Aussagen in Bezug auf die ehemaligen Konkurrenz relativieren.

In diesem Artikel zeigen wir, wie Sie den Zugang zu Ihrem Benno-Mailarchiv mit Hilfe von privacyIDEA mit Mehr-Faktor-Authentifzierung absichern können und erklären, wieso Sie ihr Mailarchiv so schützen sollten.

Weiterlesen

Die Absicherung von Bank-Transaktionen ist eine große Herausforderung. Wir alle sind dankbar, dass wir uns oft den Weg zum Geldinstitut mit den wohl merkwürdigsten Öffnungszeiten sparen können. Ebenso sind wir froh, dass die Zeiten der TAN-Listen, auf denen wir mit dem Stift nach und nach Zahlenkolonnen ausgestrichen haben, vorbei sind.

Aber was ist heute noch die Herausforderung bei Bank-Transaktionen?

Die Unveränderbarkeit der Transaktionsdaten

Der Bankkunde teilt der Bank über ein Webinterface mit, wieviel Geld an welches Konto geschickt werden soll. Ein Trojaner, den sich der Benutzer im Browser eingefangen hat, kann diese Daten verändern. Kurz gesagt, würde der Bankkunde 100 Euro für Konto 1234567890 eingeben und überweisen wollen und der Trojaner im Browser würde nach dem Klick auf den Button „Überweisung senden“ ungesehen daraus 10.000 Euro für Konto 666.666.XX machen. Die Bank bekommt von dem Vorfall im Browser des Benutzers nichts mit. Sie erhält die Daten 10.000 Euro für 666.666.XX und muss annehmen, dass dies das ist, was ihr Kunde will.

Geld weg.

TAN-Listen und OTP-Token

Die Transaktionsdaten können, bevor sie die Bank erreichen, verändert worden sein!

In früheren Zeiten wurden TAN-Listen verwendet. Manche Bank (die sich eher im nicht-deutschsprachigen Raum befindet), setzt auf OTP-Token. Doch TAN-Listen (obwohl bisweilen auch anderes behauptet wird) und OTP-Token können die Unveränderbarkeit der Transaktionsdaten nicht sicherstellen. Der OTP-Token kann dazu dienen, dass die Bank weiß, dass diese Transaktion von genau dem Bankkunden, der im Besitz dieses Gerätes ist, diese Transaktion angestoßen wurde, jedoch kann die Bank nicht sicher wissen, dass die Transaktionsdaten von einem Trojaner im Browser oder anderen Angriffen verändert wurden, ohne dass der Bankkunde und ohne dass die Bank dies weiß.

Es besteht keine kryptographische Verbindung zwischen den Transaktionsdaten und dem Einmal-Passwort.

OCRA: Die Verbindung zwischen Transaktion und TAN

Hier setzt z.B. der OATH Challenge Response Algorithm (kurz OCRA) an, der in RFC 6287 definiert ist. OCRA wurde genau wie HOTP und TOTP von der Initiative for Open Authentication definiert. Grob gesagt ist OCRA ein etwas erweiterter HOTP-Altgorithmus.

Beim HOTP-Algorithmus ist das einzige Eingangsdatum ein Zähler, der kontinuierlich hochgezählt wird. Zusammen mit einem geheimen Schlüssel (der in diesem Fall den Besitz repräsentiert) wird nun ein 6 oder 8-stelliges Einmalpasswort berechnet. D.h. das Einmalpasswort hängt ab vom geheimen Schlüssel und von dem Eingangsdatum „Zähler“. (Für die, die lieber Dinge wie HMAC und mod lesen, sei hier auf das RFC4226 verwiesen).

Grob gesprochen können im Falle von OCRA noch mehr Daten außer dem „Zähler“ in den Algorithmus hineingepackt werden. So zum Beispiel die Kontonummer des Empfängers und der zu überweisende Betrag. Das aus dem OCRA-Algorithmus resultierende Einmalpasswort ist nun also abhängig vom geheimen Schlüssel und den Transaktionsdaten. Andere Transaktionsdaten generieren ein anderes Einmalpasswort.

Wie kann man sich dies nun bei der Überweisung zu Nutze machen?

Die Bank händigt dem Kunden einmalig einen geheimen Schlüssel aus. Entweder in Form eines Hardware-Gerätes oder einer Smartphone-App. Die Bank kennt den geheimen Schlüssel des Kunden.

Der Kunde gibt nun auf der Banking-Website die Transaktionsdaten ein. Gleichzeitig überträgt er die Transaktionsdaten an sein Gerät (mit dem geheimen Schlüssel). Diese Übertragung könnte auch manuell erfolgen, es sind aber viele unterschiedliche Methoden mit QR-Code, Netzwerk oder Bluetooth denkbar, die die Bedienfreundlichkeit erhöhen.

Auf dem Gerät kann der Kunde nochmal überprüfen, ob dies die richtigen Transaktionsdaten sind, falls sich ein Angreifer auch in diesen Übertragungsweg eingeklinkt hätte. Nur wenn es die richtigen Daten sind, lässt er das Gerät die TAN berechnen und er fährt mit der Überweisung fort. Nun gibt er die TAN in die Banking Webseite ein und die Daten werden zur Bank geschickt.

Die Bank erhält die Transaktionsdaten und die TAN. Die TAN hängt aber genau von den Transaktionsdaten ab, die der Kunden nochmal auf dem Gerät verifiziert hat. Die Bank errechnet mit dem geheimen Schlüssel des Kunden und den erhaltenen Transaktionsdaten ebenfalls die TAN. Sollte sich ein Angreifer eingeklinkt und die Transaktionsdaten auf dem Weg zur Bank verändert haben, so erhält die Bank eine andere TAN als der Kunde geschickt hat und wird die Transaktion nicht durchführen.

In diesem Szenario ist jede einzelne Transaktion kryptographisch gesichert. Etwas provokativ gesprochen kommt es gar nicht so sehr darauf an, die Online-Zugangsdaten zu schützen, weil ohne das Gerät mit dem geheimen Schlüssel sowieso keine kryptographisch gesicherte Transaktion durchgeführt werden kann.

privacyIDEA, OCRA und DisplayTAN

privacyIDEA unterstützt schon lange den OCRA Algorithmus in Form des TiQR tokens. In Version 2.20 wurde die Anwendung des OCRA-Algorithmus derart erweitert, dass bspw. die DisplayTAN-Karte problemlos genutzt werden kann.

Banken brauchen also nicht das komplette Schlüsselmanagement in ihre Web-Applikation zu integrieren sondern können die OCRA-gesicherte TAN erzeugen über eine einzige einfache REST API an privacyIDEA auslagern.

Die DisplayTAN-Karten sind für den Bankkunden sehr attraktiv, da sie die eigentliche Bank-Karte komplett ersetzen können aber zusätzlich die Nutzung des sicheren TAN-Verfahren ermöglichen.

Sprechen Sie uns an!

Am Wochenende waren wir in Sankt Augustin an der Hochschule Bonn-Rhein-Sieg. Dort fand zum zwölften mal die „Free and Open Source Software Conference“ kurz FrOSCon statt. Die NetKnights GmbH ist dort als Sponsor aufgetreten, hatte einen Ausstellungsstand und wir haben in einem Vortrag über den privacyIDEA LDAP Proxy berichtet.

Aufbau

Am Vorabend wurde der kleine Messestand aufgebaut. Ganz in der Nähe vom heißbegehrten T-Shirt-Stand und der Treppe zum Obergeschoss kam vor allem am Samstag viel Laufkundschaft vorbei.privacyIDEA ist Mehr-Faktor-Authentifizierung, die befreit.

Die privacyIDEA Enterprise Edition ist Open Source. D.h. mit dem Einsatz von privacyIDEA können Unternehmen vermeiden, dass die Software irgendwann End-Of-Sale oder End-Of-Life geht. Gegenüber Online-2FA-Lösungen wie Duo, ist sogar klar, dass die eigenen privacyIDEA-Instanz im eigenen Unternehmen niemals eingestellt werden wird, Leistungen verändert werden, man machtlos gegen Preisanhebungen ist oder Daten nicht wegmigrieren kann.

Die unglaubliche Schnittstellenvielfalt, die Offenheit und das neue Event-Handler-Framework ermöglichen dem Administrator außerdem, viele Aufgaben zu automatisieren. Der Rollout an große Benutzerzahlen wird einfacher, Helpdesk-Funktionen erfordern weniger manuelle Schritte. Die IT-Abteilung spart wertvolle Zeit bei alltäglichen Aufgaben und gewinnt somit die Freiheit, sich mit neuen Projekten zu befassen.

Diese Flexibilität und die damit gewonnene Freiheit gefällt vielen.

Wenn Sie die FrOSCon verpasst haben, schauen Sie doch einfach dieses Jahr bei unserem Auftritt auf der Business-Messe it-sa in Nürnberg vorbei!

Freunde

Am Vorabend des Aufbaus schlenderten wir über die Ausstellung und stellten fest, dass noch nicht alle Stände aufgebaut hatte. Der Stand unserer Freunde von ownCloud war noch nicht aufgebaut. Dem konnten wir abhelfen: Vom ownCloud X Launchevent hatten wir noch ein Rollup in petto, das wir gleich dem Stand spendeten.

Sieht doch gleich viel besser aus!

Das ist Enterprise-taugliche Mehr-Faktor-Authentifizierung mit ownCloud!

So integriert sich privacyIDEA mit vielen verschiedenen Applikationen von CRM-Systemen, CMS, Ticketsystemen, VPN, Firewall, SSH und Desktop und hilft dabei sicherer, entspannter und befreiter auf die eigenen Daten zuzugreifen.

Skalierung

privacyIDEA skaliert von kleinen bis hin zu großen Installationen. Es lässt sich auf kleinen virtuellen Maschinen und in großen Clustern betreiben.

privacyIDEA skaliert von M über XL bis XXXL.

Vortrag

Am Sonntag Nachmittag hielten Friedrich Weber und Cornelius Kölbel dann den Vortrag zum neuen privacyIDEA LDAP Proxy. Der Mitschnitt ist bei Youtube verfügbar.

Abonnieren Sie den privacyIDEA Youtube Kanal oder den Newsletter der NetKnights.

This article was first published at owncloud.

Your Data is at risk. And thus is your personal life and your company’s values.
You avoid hackers, trade espionage and rogue governments getting your data by using your own cloud storage like ownCloud. Your data under your control.

But depending on where your storage is located some risks still remain. The connection to your ownCloud installation in the hosted datacenter is TLS protected. All data are encrypted on their transport to the datacenter. But within the datacenter your data is plain text.
You are using ownClouds integrated encryption? You even have the full disk encrypted using LUKS or similar methods? This is fine but only protects you from certain attacks like stealing the sole hard disk.
But if the attacker gains access to the very location where the actual encryption takes place, the encryption is useless, since this location also contains the encryption key! Thus, if the attacker has access to the datacenter or – more probably – is a rogue or bribed employee of the datacenter the attacker can get physical access to your encryption key and finally to your data.

This is why client side encrpytion is such a good idea. With client side encryption the data is encrypted on your own client. The key material is only available on your client, not on the ownCloud server. The data is sent already encrypted to the server. Not only is the transport layer encrypted using TLS but the payload itself within the TLS can not be read anymore.
The ownCloud server and the storage never sees any clear text data and never has access to the encryption key.
The tool cryptomator which was introduced in this[link] previous blog post works this way.

Requirements

But enterprise scenarios come with a longer requirements list than tools like the slick cryptomater can cover.
Even smaller companies have to comply with the requirements of the enteprrises if they are supplier for the bigger ones.
I have run several projects where supplying companies were confronted with the requirements for encrpytion and two factor authentication since they delivered to bigger enterprises, that simple defined those requirements. Let us take a look at the requirements when you run a company or bigger organization.

File Encryption

In such scenarios when encrypting data it is important to encrypt files. In contrast to full disk encryption and encrypted containers encrypted files can be moved around without breaking the encryption. Even the encrypting file system does not provide this sticky encryption. If the user moves the file to another disk or a USB stick, the file would not be encrypted anymore, since with full disc encryption and container encryption the encryption is bound to the storage and not to the data.
The data should not be decrypted when the file is moved. This is why we require to encrypt the files and keep them encrypted when moving the file to another locatoin.

Client Side Encryption

As mentioned in the beginning the files should be encrypted and decrypted on the client. This way only encrypted data is transferred via the network. The user can also move the files as in the previous requirement but most important the encryption gets independent from the storage location.
The administrator can access the file but can not read the data in the file. This way all backup mechanisms still work, but the data is persistently protected.

Groups

When working with data in a company users are usually working on projects with other colleages.
Thus several users need access to the encrypted data. The project leader or data owner might need to add other users to the group and grant them access to the encrypted data or withdraw this access again.

It is important to note, that usually not *the* administrator gives access to the data. Complying to the concept of duty of separation, the administrator may be responsible for providing the storage and taking care of the backup, but he might not be allowed, to read the data and probalby will not be allowed to decide who is allowed to read the data.

This leads us to the requirement for a bit more sophisticated key management.

Key Management

If files are encrypted with passwords then a password based key derivation function (PBKDF) is used to generate the encryption key. A badly implemented encryption would use this key to encrypt the file. This would result in the problem, that – if you change the password – the complete file needs to be decrypted with the old password and re-encrypted with the new password. This might be fine for one small file but totally fails with a complete directory, a harddisk or a huge storage.

When you look at encryption a multi-step encryption has proven to be sensible. Even in the case of a PGP encrypted Email, the email is for many reasons not encrypted with the public key of the recipient directly but with a symmetric data encryption key (DEK), which is unique to this email.
Only this DEK is encrypted with the public key of the recipient. This is called Key Encryption Key (KEK).

The other great thing when using a DEK and KEK is, that several users can have access to the same data with different passwords – or different KEKs. This way a user who has access to the data can also be allowed to grant access on the data to a new user. The software can access the DEK with the KEK of the old user and encrypt the DEK of the file with the KEK of the new user.

This way, each file has a list of KEK-encrypted DEKs attached to it. Thus an enterprise encryption software needs to allow adding users with their key encryption key to files.
Users need to have different roles like adding users to access groups or only being allowed to access the data.

(Of course you can not effectively avoid the user breach: The user who has been granted access to the data can go rogue and print the data, take a photograph or copy. If you want to tackle with this threat you need to think about implementing data leakage prevenion.)

So what the heck with the KEK?

You might use the latest and greatest symmetric unbreakable encryption algorithms for actually encrypting the data. But these are of no use, if the access to this encryption – usually the password – is week. An attacker would always target the KEK (a.k.a. Passwords) and not the DEK (The encryption itself).

Thus, another important requirement is not only to encrypt the data but also to protect the access to this encryption. A good way to do this is not to use a password based access but to use public key cryptography.
As mentioned with the PGP example, the KEK is the public key of the user. The DEK is encrypted with the public key.
The user has to provide his private key to decrypt the DEK to access the data.

Perfectly the private key is located on a smartcard, so that the private key can not (easily) be copied or stolen.
If the private key was initially created on the smartcard, you can in addition be sure that the private key was not stolen or copied.

Data Read Escalation

As we required earlier the administrator usually can not read the data and can not add users to the group of data users, who can read the encrypted data.
But in certain cases – when all users have lost their smartcard, forgotten their passwords, have quit the job – the company needs to be able to access the encrypted data without one of the originial users available.

In this case the encryption solution needs to provide a process with preferably 4 eyes principle to regain access.
4 eyes principle is important to increase the trust and allow full deniability for all participants.

Technicaly the key management can to this by adding a system-KEK or recovery-KEK to all files.

Hardware Security Modules

Besides using smartcards for the user’s KEKs, the support for hardware security modules can be a good idea. The HSM can be used to protect the system-KEK or recovery-KEK or to sign configuration data. Otherwise a user with the right to only read encrypted data could escalate his rights to „assign-new-users to the encryption group“ by flipping some bytes in the database.

Reencryption

We already said, that reencrypting the data is a bad idea and should be avoided. Nevertheless it can be necessary. E.g. if the symmetric encryption algorithm used to encrypt the files is know to have weeknesses. This is especially important if you need to upgrade the encrpytion algorithm.
In a worst case scenario the system- or backup-key could be compromized, then this keys need to be changed.
The solution should provide the possibility to reencrypt the data.

Possible Solutions

There is a quite nice long list of commercial products, which cover those requirements. Some are better and more convenient in smartcard support, some in group management and some in automation.
It is always a good idea, to identify your own needs and evaluate the right solution.
Most of the tools are products of companies located in Germany and thus comply to the (still) stirct data protection laws.

Why is there no open source?

Nevertheless there is no open source tool, which is capable of covering the requirements and competing with the commercial tools available. This might be due to the scratch-your-own-itch concept of open source development. Individuals start open source projects, which will provide a solution to their own problem. A perfect example is the tool cryptomator. It does a great job in file encryption and covers a lot of requirements but totally lacks the key management and because of this will only work for a single user, but not for project groups in a company.
Another reason might be, that the customers for such an enterprise file encryption tool in 95% of the cases runs Windows on their clients and may thus be used to install and use closed source software – so why should the software vendor bother about an open source busines model?

With the growing pressure of undemocratic survailance requests even by the German government the threat through backdoors and unpublished zero days increases dramatically. In a sensitive area like data encryption, where data obviously is to be protected from preying eyes, open source solutions can help to regain the trust in such software.
So I urge all open source companies with data storage centric products to think about enhancing their portfolio with an open source project for a trustyworthy, modern, enterprise ready file encryption solution. In my opinion this is not only a gap in the market but would also be a great help for a mature and democratic society.

Zwei-Faktor-Authentifizierung für ownCloud mit privacyIDEA.

Am 23. Mai 2017 fand in Köln das ownCloud X Launch Event statt. Die NetKnights GmbH war als Sponsor dort vertreten und ich selber hielt einen Vortrag über Zwei-Faktor-Authentifizierung – speziell mit ownCloud.

In den Pausen konnten die Besucher an den Ständen der Sponsoren vorbeischauen oder etwas zu Trinken oder zu Essen genießen.

Zwei-Faktor-Authentifizierung im ganzen Unternehmen

Die Gespräche mit den Interessenten zeigten erneut deutlich:

Der Wunsch nach Zwei-Faktor-Authentifizierung ist nicht isoliert auf eine Anwendung wie ownCloud zu betrachten sondern Teil einer übergeordneten Sicherheitsstrategie.

privacyIDEA bietet einen zentralen Authentifizierungs-Dienst der die ideale Ergänzung für das Identity-Management im Unternehmen ist. ownCloud kann mit Hilfe der privacyIDEA ownCloud App an privacyIDEA angebunden werden – doch genauso kann das Authentifizierungsobjekt des Benutzers für die Anmeldung an Firewall, VPN, CRM, CMS oder jedem anderen beliebigen TLA genutzt werden.

Möchten Sie gerne mehr erfahren, wie Zwei-Faktor-Authentifizierung auch in Ihrem Unternehmen sinnvoll umgesetzt werden kann?

Dann kontaktieren Sie uns!

Möchten Sie auf dem Laufenden bleiben? Dann abonnieren Sie unseren Newsletter!