Jonas Lehner, Andreas Oberweis, Gunther Schiefer Kontextabhängige 3-Faktor-Authentifizierung für den mobilen Zugriff auf Unternehmensanwendungen Der Zugriff von mobilen Geräten auf Unternehmensanwendungen birgt Sicherheitsrisiken, die über die stationärer Hardware hinausgehen. Diese umfassen unter anderem den Verlust oder den Diebstahl ganzer Geräte, das Aushorchen der drahtlosen Internetverbindung oder das Ausspähen per Shoulder-Sniffing. Im Rahmen des Projektes „SumoDacs“ wurde eine 3-Faktor- Authentifizierung entwickelt, die neben einem konventionellen Zugangspasswort aus einem Hardware-Vertrauensanker und einer kontextsensitiven Zugriffskontrolle besteht. Die Authentifizierung wird clientseitig durch einen lokalen Proxy-Dienst realisiert. Inhaltsübersicht 1 Risiken durch mobilen Zugriff auf Unternehmensanwendungen 1.1 Mobiler Datenzugriff auf Unternehmensdaten 1.2 Aktuelle Lösungen für den mobilen Datenzugriff 2 Gesamtarchitektur 3 Hardware-Sicherheits-Token 3.1 Grundsätzliche Funktion 3.2 Authentifizierung 3.3 Vorteile des Sicherheits-Tokens 3.4 Schlüsselgenerierung und -verteilung 4 Kontextabhängige Zugriffskontrolle 4.1 Zugriffskontrollmodelle 4.2 Kontextschalter 4.3 Fälschung von Kontextinformation 5 Lokaler Client-Proxy-Dienst 6 Praktischer Einsatz Literatur 1 Risiken durch mobilen Zugriff auf Unternehmensanwendungen Im Kontext aktueller Entwicklungen, wie Bring Your Own Device (BYOD) und der wachsenden Mobilität der Mitarbeiter, spielt der Zugriff auf Unternehmensdaten außerhalb des eigenen (kontrollierbaren) Firmengeländes eine zunehmend wichtigere Rolle. Neben den aus dem stationären Betrieb von IT-Systemen bekannten Sicherheitsrisiken ergeben sich dadurch zusätzliche Angriffsszenarien. Diese umfassen unter anderem den Verlust oder den Diebstahl ganzer Geräte (Smartphone, Laptop etc.), das Aushorchen der meist drahtlosen Internetverbindung oder das sog. Shoulder-Sniffing, also das optische Ausspähen von HMD (2014) 51:64-74 DOI 10.1365/s40702-014-0008-1 Original source of publication: http://link.springer.com/article/10.1365/s40702-014-0008-1 The final publication is available at link.springer.com