Webapplicatie beveiligen

[Verwijderd]

Hallo Tweakers,

Graag zou ik middels een security token een webapplicatie beveiligen, en dit voor twee heel belangrijke redenen:

1. De applicatie bevat gevoelige informatie.
2. De applicatie wordt aangerekend per gebruiker.

Voor punt 1 is het een goed idee, lijkt me, om een hardware token te gebruiken voor multi-factor authentication. Zo kan iemand die de credentials van een bevoegd persoon kent, er niet in zonder het token.

Echter, punt 2 is een ander paar mouwen. Er vanuitgaande dat een gebruiker maar op één enkel endpoint tegelijk kan aangemeld zijn, zijn er nog deze vraagstukken:

• Een OTP kan makkelijk worden doorgegeven (per sms, aan de telefoon, ...), wanneer er bv. een personeelswissel plaatsvindt.
• Gebruik van een USB dongle verhindert tablet gebruikers + er bestaan genoeg usb-over-tcp/ip omwegjes.

Wat volgens mij enkel nog persoonlijke bezittingen over laat; zoals een eID (maar hier alweer, wat met tablet gebruikers?).
De smartphone gebruiken als security token zou kunnen, maar hier mag het ook geen out-of-band oplossing betreffen. (Logt gebruiker A in, moet gebruiker B enkel op "Allow" drukken wanneer die bv. op vakantie is.)

Of moet ik me gewoon neerleggen bij het feit dat dongles worden doorgegeven? Een OTP token kan wel worden doorgegeven, maar er kan toch maar één sessie per gebruiker tegelijk worden opgezet.

Of zijn er andere manieren?

Groeten

[The Eagle]

Vanuit IT oogpunt is alleen nummer 2 een issue; dat kost namelijk geld.
Issue 1 is een issue van de business. Dat *kan* technisch opgelost worden, maar veel beter lijkt het me om het gewoon met een policy op te lossen: mensen laten tekenen voor geheimhouding.

Als ik isue 2 even snel op zou moeten lossen dan regelde ik de toegang tot die applicatie vanuit een remote desktop of terminal server met een max aantal gebruikersconecties. Dan heb je daar je filter; meerdere sessies gewoon niet mogelijk. Zolang de licenties niet hard op naam van de gebruiker staan (wat je vrijwel nooit ziet) moet dat te doen zijn
Overigens sla je daar natuurlijk twee vliegen in 1 klap mee, want zo kun je ook de toegang tot de applicatie zelf aan banden leggen - en dus issue 1 opvangen

[DJMaze]

Ik zou kiezen voor TOTP zoals met Google Authenticator

Je kan dan elke gebruiker een QR code geven (email, papier, etc.) en die hoeven zij dan alleen maar in te scannen op hun mobiel/tablet.
Vertrouw je het niet, dan krijgen ze een nieuwe QR code per post/email

Zie hier een uitleg: http://jacob.jkrall.net/totp/

[DiedX]

Interessante case. Aangaande 2: het gaat dus eigenlijk om geld. Meer gebruikers die simultaan inloggen == meer inkomsten?

In die vorm zie ik de oplossing van DJMaze erg zitten. Ik heb zelf ervaring met Yubikeys, maar het voordeel van bovenstaande oplossing is dat een mobiel eigenlijk altijd meegenomen wordt door de gebruiker zelf.

Scannen kan alleen maar op plaats delict (of je moet met VNC werken oid), dus ik zie dat - zakelijk gezien - als een valide oplossing.

De enige vraag die je kan stellen: wil je Google hieraan hebben hangen, maar dat laat ik aan TS

[Verwijderd]

Maar zoals ik reeds aanhaalde kan eenzelfde gebruiker maar ingelogd zijn op 1 endpoint tegelijk.
Dus accounts en tokens doorgeven heeft op die manier geen zin omdat de eerste er dan wordt uitgegooid.

Ik geloof dat ik me maar moet neerleggen bij het feit dat dit nog steeds kan doorgegeven worden. Qua productiviteit blijft het voor de klant toch hetzelfde; een licentie, één gelijktijdige gebruiker..

[Thralas]

Voordeel van de Yubikeys is dat ze standaard alleen een OTP genereren als je op het 'knopje' duwt.

Maakt een omweg (ala USB over IP) al lastiger (maar natuurlijk verre van onmogelijk)

[pieterrr]

Is je verdienmodel per concurreny user, of per gebruiker die de mogelijkheid heeft om in te loggen?
een klant die 500 gebruikers heeft, waarvan er in de loop der jaren 50 mensen vertrekken en nieuw binnen komen, reken je die aan voor 500 of 550?

Als je de token in kunt trekken na een personeels wissel is er toch niets aan de hand? Je weet dan zeker dat de "oude" werknemer niet meer bij de data kan; zn token is immers ingetrokken.

Ik heb redelijk wat verstand van authenticatie, tokens en het koppelen ervan met applicaties, stuur me gerust een dm als je meer wilt weten of doorspreken!

[DJMaze]

DiedX schreef op vrijdag 31 juli 2015 @ 13:56:
De enige vraag die je kan stellen: wil je Google hieraan hebben hangen, maar dat laat ik aan TS

Dan installeer je toch de yubikey app, die ondersteund ook TOTP.
Ik gaf maar een voorbeeld

[DJMaze]

Oh ff out of the box: gezichtsherkenning. Gewoon een webcam verplichten.
Nadeel is dat je eigenlijk een 3d scan nodig hebt, anders kan ik ook een pasfoto voor de camera houden.

Andere is een BOTP over bluetooth een optie zoals https://www.hypr.com/biometric-token/

[DiedX]

DJMaze schreef op vrijdag 31 juli 2015 @ 21:25:
[...]

Dan installeer je toch de yubikey app, die ondersteund ook TOTP.
Ik gaf maar een voorbeeld

Ik ging eigenlijk uit van een Yubikey met een eigen sleutel erin. That said: je hebt volledig gelijk

[Verwijderd]

Er werd geopteerd voor hardware tokens, en wel voor deze redenen:

- (nog) niet alle gebruikers beschikken over een smartphone
- goede controle of de tokens en dus de gebruikers
- zelf-hulp in geval van verlies, diefstal, slijtage, ...