In diesem Jahr erleben wir einen 78-prozentigen Zuwachs an Attacken auf firmeninterne Netze", so eröffnete Art Coviello die dritte europäische RSA Sicherheitskonferenz. Und der RSA-Präsident malte ein noch düstereres Szenario: Demnach wird 2002 als das schlimmste Hackerjahr in die IT-Geschichte eingehen. Und die Angriffe kommen zunehmend wieder von außerhalb. Hieß es noch vor zwei Jahren, drei Viertel aller unbefugten Zugriffe auf LANs würden aus unternehmensinternen Quellen stammen, so hat sich nach Coviello dieses Verhältnis genau umgekehrt. Nun würden 73 Prozent der nicht autorisierten Netzwerkanfragen extern erfolgen.
Da trifft es sich natürlich gut, dass RSA Security entsprechende Werkzeuge für den sicheren Zugang ins unternehmensinterne LAN bietet. Das bekannteste dürfte wohl das Hardware-Token sein, das sich ständig ändernde Einmal-Passwörter erzeugt. Nun arbeitet der Hersteller auf diesem Gebiet sehr eng mit Microsoft zusammen. "Wir können nicht selbst komplett für die Sicherheit unserer Programme sorgen", gab Craig Mundie, Microsofts Chief Technical Officer, auf der Pariser Konferenz auch zu. So wird der Softwareriese denn ab sofort die Zwei-Faktor-Authentifizierungssoftware "RSA Secure ID" für Windows Pocket PC lizenzieren. Damit können nun Pocket-PC-Anwender auf ein Hardware-Token verzichten und stattdessen am Windows-PDA das Einmal-Passwort aufrufen.
Gleichzeitig gab RSA Security in Paris die Vertiefung der Zusammenarbeit mit dem britischen Service-Provider Irevolution bekannt. Dieser agiert nun europaweit als Lieferant der "RSA Mobile"-Software. Damit werden ebenfalls Einmal-Passwörter erzeugt und auf das Mobiltelefon des Anwenders als SMS-Nachricht gesendet. Irevolution bietet nun Passport-Anwendern an, sich über diese Methode zu authentifizieren.
Webbasierte Zugangsregelung
Ebenfalls auf der Pariser Veranstaltung kündigte RSA die Version 5.0 seiner Software "RSA Clear Trust" an. Diese erlaubt nicht nur den webbasierten Zugang zu unternehmensinternen Applikationen, sondern regelt darüber hinaus, welcher Anwender bei den für ihn erlaubten Anwendungen nur Leserechte erhält, und wem auch das Schreibrecht gewährt wird. So können nun Remote-User auf eine breitere Palette von Unternehmensanwendungen via Web zugreifen und sich sicher sein, dass ihre Internet-Verbindung nicht so leicht gehackt werden kann, da sie sich über RSA "Keon" identifizieren haben und die Daten verschlüsselt übertragen.
Passend zu dieser Meldung verabschiedete RSA gleich ein Partnerprogramm, mit dem ISVs (Independent Software Vendors) bei der Integration von Clear Trust in ihren Lösungen unterstützt werden. Ers-te Teilnehmer dieser Initiative sind BEA Systems, Business Layers, Epicentric, Peoplesoft, Syntegra und Waveset.
Großen Publikumszuspruchs erfreute sich die Konferenz begleitende Ausstellung. Über 50 Sicherheitsspezialisten präsentierten in einer extra angemieteten Messehalle ihre neuesten Produkte und Dienstleistungen. Die Eröffnungsrede hielt Whitfield Diffie, der "Vater" von Kryptografie im IT-Sektor. Er stellte einen interessanten Vergleich dar: "Die Zerstörung des gesamten Papierdokumentenbestands hätte vor zehn Jahren eine Company vernichtet, heute ist es nicht mehr der Fall. Viel schwerer würde hingegen der Kollaps der internen IT-Infrastruktur wiegen, vor zehn Jahren wäre das noch nicht so tragisch gewesen. Umso wichtiger ist es also heutzutage, in die IT-Sicherheit zu investieren", so Diffie. Und noch eines gab der Sun-Ingenieur den Zuhörern mit auf den Weg: "Sicherheit sollte Business erleichtern und nicht erschweren."
In diesem Sinne stellte etwa Qualys auf der Messe einen Intranet-Scanner vor. Die "Qualys Guard" genannte Appliance ist laut Hersteller in der Lage, bis zu 5.000 einzelne IP-Adressen eines internen Netzwerks täglich auf Schwachstellen hin zu überprüfen. Das Gerät kostet etwa 3.000 Euro, wiegt gerade mal 2,3 Kilogramm und nimmt eine Höheneinheit von einem 17-Zoll-Rack ein. Die Implementierung ins LAN gestaltet sich denkbar einfach: Einschalten, Ethernet-Verbindung zum Netzwerk herstellen und eine dezidierte IP-Nummer zuordnen. Letzteres erfolgt auf einem einzeiligen integ-rierten Bildschirm.
Etwas mehr Arbeit erfordert da schon die neue Sicherheits-Appliance von Netscreen. In Paris zum ersten Mal der Öffentlichkeit präsentiert, vermag "One Secure Intrusion Detection and Prevention" (IDP) nicht nur Einbrüche ins unternehmensinterne Netzwerk nachzuweisen, sondern - wie der Name bereits andeutet - auch abzuwehren. Laut Netscreen kann IDP Attacken von außen lokalisieren und stoppen. Dabei identifiziert das System bereits bekannte Angriffsmuster wie DoS (Denial of Service), aber auch "ungewöhnliche" Pakete werden auf dem Weg ins LAN einer genauen Prüfung unterzogen. Die Hardware ist mit je zwei Tastatur- und Maus-Ports ausgestattet, die Management-Software läuft unter Solaris 7/8 oder Red Hat Linux 7.2. Der zugehörige Server sollte schon über 512 MB Arbeits- und 18 GB Festplattenspeicher verfügen. Das IDP-Komplettpaket kostet rund 21.000 Dollar.
Drahtlose Netze im Kommen - Sicherheitslecks bleiben
Einen Schwerpunkt der RSA-Veranstaltung bildete die Sicherheit in drahtlosen Netzwerken. Diesem Thema widmete der Hersteller eine ganze Vortragsreihe, die im Vergleich zu anderen ungewöhnlich gut besucht war. Offenbar dringt nun die Tatsache an die Öffentlichkeit, dass fast drei Viertel aller WLANs völlig unverschlüsselt ins Blaue senden. Zwar sorgt der - immer noch nicht ganz zufällig aus-gesuchte - WEP-Schlüssel (Wired Equivalent Privacy) nicht für absolute Sicherheit, aber mit einigen wenigen Zusatzwerkzeugen ist auch hier Abhilfe zu schaffen. Eine dazu passende Client-Softwarelösung präsentierte zum Beispiel die nordamerikanische Funkt Software Inc. Wie unser künftiger Personalausweis aussehen wird, war auf dem Stand von Gemplus zu besichtigen. Eine Smart Card mit gespeichertem Fingerabdruck soll demnach den physischen Behör-dengang obsolet machen. Spezielles Kartenlesegerät vorausgesetzt, wird sich der Bürger in ein paar Jahren online ummelden, einen neuen Führerschein beantragen oder die Geburt eines Kindes beim Standesamt ankündigen können.
www.rsasecurity.de
ComputerPartner-Meinung:
RSAs Mix aus Key-Notes, technischen Vorträgen und der begleitenden Ausstellung trifft offenbar den Zeitgeist. Zwar zeigen sich potenzielle Kunden noch knauserig, was ihre Investitionen in IT-Sicherheit betrifft, genau informieren wollen sie sich aber schon. Auch für Security-Dienstleister war die Reise nach Paris das Geld wert. Sie konnten sich dort neue Lösungen live vorführen und über die neuesten Trends in der IT-Sicherheit informieren lassen. (rw)