Die vorliegende Analyse befasst sich mit der Fragestellung, ob die seit der erstmaligen Veröffentlichung der NIST Special Publication 800-63 im Jahr 2004 gängigen Regeln zur Komplexität von und zum Umgang mit Passwörtern dazu geeignet sind, das Sicherheitsniveau von Organisationen zu verbessern. Tragen die gängigen Regeln zum sicheren Umgang mit Authentisierungs-Passwörtern zum Sicherheitsniveau bei oder bedarf es auf Grund berechtigter Kritik an dem etablierten Standard einer grundlegenden Innovation bei der Benutzerauthentisierung?
Es werden Best Practice-Passwortregeln formuliert, die auf repräsentativen Standards der Informationssicherheit basieren, und auf eine möglicherweise gegebene Innovationsnotwendigkeit hin untersucht. Aus den gewonnenen Erkenntnissen werden Good Practices abgeleitet. Neben einem Set modifizierter Passwortregeln wird ein Vorgehen zur Rollentyp-basierten Authentifizierung vorgeschlagen.
Inhaltsverzeichnis
- 1 Einleitung
- 2 Theoretische Grundlagen
- 2.1 Authentisierung, Authentifizierung und Autorisierung
- 2.2 Authentisierungsfaktoren und -mittel
- 2.3 Innovationsnotwendigkeit
- 3 Passwortvorgaben in (inter-)nationalen Standards
- 3.1 NIST Special Publication 800-63B
- 3.2 ISO/IEC 27002:2013 und ISO/IEC 15408:2009
- 3.3 CAB Forum Network Security Controls
- 3.4 BSI IT-Grundschutz
- 3.5 IT Security Guidelines G3
- 3.6 Best Practice (Stand 09/2017)
- 4 Sicherheitsanalyse der Passwortregel-Best Practice
- 4.1 Mindestlänge und Komplexität
- 4.2 Wortlisten und Wörterbücher
- 4.3 Benutzerfreundlichkeit
- 4.4 Passwortwechsel und Historisierung
- 4.5 Zweckbindung
- 5 Sichere Authentifizierung: Good Practices
- 5.1 Passwortregeln
- 5.2 Sichere Administration
- 5.3 Rollentyp-basierte Authentifizierung
- 6 Fazit
Zielsetzung und Themenschwerpunkte
Die Arbeit analysiert die Notwendigkeit von Innovationen im Bereich der Passwortregeln, ausgehend von den seit 2004 gängigen Standards. Ziel ist es, Best Practices zu formulieren und ein verbessertes Vorgehen zur Authentifizierung vorzuschlagen. Die Analyse basiert auf repräsentativen Sicherheitsstandards und untersucht die Auswirkungen der aktuellen Passwortregeln auf das Sicherheitsniveau von Organisationen.
- Analyse der bestehenden Passwortregeln und deren Wirksamkeit.
- Bewertung der Innovationsnotwendigkeit im Kontext der IT-Sicherheit.
- Ableitung von Good Practices für sichere Passwortrichtlinien.
- Untersuchung der Benutzerfreundlichkeit im Zusammenhang mit Sicherheitsanforderungen.
- Entwicklung eines Vorschlags für eine rollentypbasierte Authentifizierung.
Zusammenfassung der Kapitel
1 Einleitung: Die Einleitung führt in die Thematik der regelmäßig notwendigen Passwortänderungen in betrieblichen IT-Systemen ein und benennt die Problematik schwacher Passwörter. Sie skizziert den historischen Kontext, insbesondere die Rolle der NIST Special Publication 800-63 aus dem Jahr 2004 und deren Einfluss auf die gängige Praxis der 90-tägigen Passwortgültigkeit. Die Einleitung legt den Fokus auf die Notwendigkeit einer kritischen Analyse der bestehenden Passwortregeln und ihrer Auswirkungen auf die Sicherheit.
2 Theoretische Grundlagen: Dieses Kapitel legt die theoretischen Grundlagen für die spätere Analyse. Es definiert zentrale Begriffe wie Authentisierung, Authentifizierung und Autorisierung und beschreibt verschiedene Authentisierungsfaktoren und -mittel. Ein wichtiger Abschnitt widmet sich dem Konzept der Innovationsnotwendigkeit im Kontext der IT-Sicherheit und bildet die theoretische Basis für die spätere Bewertung der Passwortregeln.
3 Passwortvorgaben in (inter-)nationalen Standards: Das Kapitel untersucht die Passwortvorgaben verschiedener internationaler und nationaler Standards, darunter NIST Special Publication 800-63B, ISO/IEC 27002:2013, ISO/IEC 15408:2009, CAB Forum Network Security Controls, BSI IT-Grundschutz und IT Security Guidelines G3. Es vergleicht die verschiedenen Ansätze und identifiziert Gemeinsamkeiten und Unterschiede in den Empfehlungen für Passwortlänge, Komplexität und Gültigkeitsdauer. Der Abschnitt endet mit einer Zusammenfassung der Best Practices zum Stand des Jahres 2017.
4 Sicherheitsanalyse der Passwortregel-Best Practice: Die Sicherheitsanalyse beleuchtet die Stärken und Schwächen der etablierten Best Practices für Passwortregeln. Es werden kritische Aspekte wie Mindestlänge und Komplexität, die Anfälligkeit gegenüber Wortlisten und Wörterbüchern, die Benutzerfreundlichkeit, die Notwendigkeit von Passwortwechseln und die Zweckbindung von Passwörtern diskutiert. Der Abschnitt analysiert die potenziellen Risiken und Sicherheitslücken der aktuellen Praktiken.
5 Sichere Authentifizierung: Good Practices: Dieses Kapitel präsentiert Good Practices für eine sichere Authentifizierung. Es beschreibt verbesserte Passwortregeln, Maßnahmen für eine sichere Administration und schlägt ein innovatives Verfahren der rollentypbasierten Authentifizierung vor. Es werden konkrete Empfehlungen gegeben, um die Sicherheit zu erhöhen und gleichzeitig die Benutzerfreundlichkeit zu verbessern.
Schlüsselwörter
Passwortregeln, IT-Sicherheit, Authentifizierung, Innovationsnotwendigkeit, Best Practices, NIST, ISO, BSI, Benutzerfreundlichkeit, Rollentyp-basierte Authentifizierung, Sicherheitsanalyse.
Häufig gestellte Fragen (FAQ) zur Analyse von Passwortregeln
Was ist der Gegenstand dieser Arbeit?
Diese Arbeit analysiert die Notwendigkeit von Innovationen im Bereich der Passwortregeln, ausgehend von den seit 2004 gängigen Standards. Ziel ist die Formulierung von Best Practices und der Vorschlag eines verbesserten Vorgehens zur Authentifizierung. Die Analyse basiert auf repräsentativen Sicherheitsstandards und untersucht die Auswirkungen aktueller Passwortregeln auf das Sicherheitsniveau von Organisationen.
Welche Themen werden behandelt?
Die Arbeit behandelt die Analyse bestehender Passwortregeln und deren Wirksamkeit, die Bewertung der Innovationsnotwendigkeit im Kontext der IT-Sicherheit, die Ableitung von Good Practices für sichere Passwortrichtlinien, die Untersuchung der Benutzerfreundlichkeit im Zusammenhang mit Sicherheitsanforderungen und die Entwicklung eines Vorschlags für eine rollentypbasierte Authentifizierung. Sie umfasst auch eine detaillierte Betrachtung internationaler und nationaler Standards wie NIST, ISO und BSI.
Welche Standards werden untersucht?
Die Arbeit untersucht die Passwortvorgaben verschiedener internationaler und nationaler Standards, darunter NIST Special Publication 800-63B, ISO/IEC 27002:2013, ISO/IEC 15408:2009, CAB Forum Network Security Controls, BSI IT-Grundschutz und IT Security Guidelines G3. Die Analyse vergleicht die verschiedenen Ansätze und identifiziert Gemeinsamkeiten und Unterschiede in den Empfehlungen.
Welche Aspekte der Passwortregeln werden analysiert?
Die Sicherheitsanalyse beleuchtet kritische Aspekte wie Mindestlänge und Komplexität von Passwörtern, die Anfälligkeit gegenüber Wortlisten und Wörterbüchern, die Benutzerfreundlichkeit, die Notwendigkeit von Passwortwechseln und die Zweckbindung von Passwörtern. Die Analyse untersucht die potenziellen Risiken und Sicherheitslücken der aktuellen Praktiken.
Welche Good Practices werden vorgeschlagen?
Die Arbeit präsentiert Good Practices für eine sichere Authentifizierung, darunter verbesserte Passwortregeln, Maßnahmen für eine sichere Administration und ein innovatives Verfahren der rollentypbasierten Authentifizierung. Konkrete Empfehlungen sollen die Sicherheit erhöhen und gleichzeitig die Benutzerfreundlichkeit verbessern.
Welche Schlüsselwörter beschreiben die Arbeit?
Schlüsselwörter sind: Passwortregeln, IT-Sicherheit, Authentifizierung, Innovationsnotwendigkeit, Best Practices, NIST, ISO, BSI, Benutzerfreundlichkeit, Rollentyp-basierte Authentifizierung, Sicherheitsanalyse.
Wie ist die Arbeit aufgebaut?
Die Arbeit ist in Kapitel gegliedert, beginnend mit einer Einleitung, gefolgt von theoretischen Grundlagen, einer Analyse internationaler Standards, einer Sicherheitsanalyse bestehender Best Practices, Good Practices für sichere Authentifizierung und einem Fazit. Ein Inhaltsverzeichnis und Kapitelzusammenfassungen erleichtern die Navigation.
Was ist das Fazit der Arbeit?
(Das Fazit ist nicht explizit im bereitgestellten HTML enthalten. Es lässt sich aber ableiten, dass die Arbeit zu dem Schluss kommt, dass die bestehenden Passwortregeln verbessert werden müssen und Vorschläge für eine verbesserte Authentifizierung unterbreitet.)
- Quote paper
- Sebastian Krüsmann (Author), 2018, Kennwortrichtlinien zur Verbesserung der Sicherheit in Unternehmen, Munich, GRIN Verlag, https://www.grin.com/document/502135
