FIDO2 mit SoloKey

FIDO2 ist in letzer Zeit ja immer wieder durch die Presse gerauscht, da musste ich mir das mal in live anschauen.

Fedoraproject.org verwendet seit Ewigkeiten die Yubikeys, die fand ich immer etwas suspekt. Bei den Yubikeys war mir die Funktionsweise nie so ganz klar, zumal man für die Yubis (zumindest die klassischen) auch ein Yubi-Backend braucht. Zumindest für Fedora werde ich meinen alten Yubi-Key aber wohl noch eine Weile weiter benutzen müssen.

FIDO2 funktioniert so ähnlich wie eine Smartcard, nur daß dort nicht nur ein Zertifikat drauf ist, sondern der Key für jeden Dienst ein eigenes Schlüsselpaar erzeugt. Da ist auch keine PKI oder so im Spiel, das PKI-Konzept skaliert ja nicht so richtig gut. Im Prinzip sind das Wegwerf-Zertifikate, die werden pro Dienst erzeugt, wenn man sich bei einem Dienst anmeldet. Kommt doch mal eines abhanden (wie auch immer das passieren sollte), ist daher auch nur der eine Dienst betroffen

Die FIDO2 Leute haben da eine sehr schöne Zusammenfassug was bei der Registrierung und dem Login passiert: How FIDO Works.

Ich habe mir drei Solokeys bestellt. Zwei mit USB-C (NFC) und einen mit USB-A.

Einrichten muss man da nichts (zumindest unter MacOS und Linux), keine Treiber, keine Tools. Wennn man den Stick z.B: be Gitlab angemeldet hat, kommt beim Anmelden dieser Dialog im Browser hoch:

Dadurch fängt der Stick an zu bllnken und man bestätigt per Knopfdruck.

Einzig um meinen USB-Port habe ich da etwas Angst; wenn man von oben drauf drückt, biegt der sich doch ganz gut durch. Zumal man für den Button etwas Kraft aufbringen muss, nix mit Touch. Aber zum Glück sind weitere Gummihüllen dabei:

Das sind perfekte Abstandshalter für Macbook Pros, als wenn die dafür gemacht wären.

Verliert man einen Stick, oder geht einfach mal einer kaputt, meldet man am besten noch einen zweiten beim Dienst an. Oder alternativ ein OTP über einen SW-Authenticator. Gitlab, Google, Github, … bieten auch noch Recovery-Codes an.

Ich finde, daß ist ein richtiger Fortschritt zum Thema Sicherheit. Jetzt müssen nur noch mehr Dienste das supporten, die US-Firmen sind da leider deutlich weiter als deutsche Firmen.

Webinare zu ISO 27001 und IT-Grundschutz in verinice

Neu: Webinare zu ISO 27001 und IT-Grundschutz in verinice

Ab sofort bietet das verinice.TEAM Webinare zu zur Umsetzung von ISO
27001 und IT-Grundschutz mit verinice an. Diese richten sich vor allem
an Interesenten und Einsteiger, die einen ersten Eindruck vom ISMS-Tool
gewinnen oder exklusive verinice.PRO-Funktionen kennenlernen möchten.
Aber auch für bestehende Nutzer bieten die Webinare einige interessante
Inhalte – sei es zu neuen Funktionen von verinice 1.11 oder z.B. zu
fortgeschrittener Bedienung (Filtern, Gehe in, Tags, Namenskonventionen,
Volltextsuche), dem generischen Workflow, AD-Anbindung, Customizing und
Reporting.

Termine und Anmeldung finden Sie zu den jeweiligen Themen unter:

ISO 27001: https://attendee.gotowebinar.com/rt/1954479045005969921

IT-Grundschutz: https://attendee.gotowebinar.com/rt/3512209749981953

BSI und Owncloud

Sehr schön, daß BSI hat ein Dokument zum sicheren Betrieb von owncloud veröffentlicht: klick.

Das trifft sich gut, es gibt wieder einige Projekte, bei denen Ownclouds für Unis, … aufgebaut werden.

Verinice 1.10

Verinice ist immer noch ein gutes Tool, aber der Raum für Verbesserungen wird immer kleiner. Das meiste klappt hat gut. Und da GS-Tool inzwischen Duke Nukem Forever als Vaporware Konkurrenz macht, gibt es ohnehin keine ernstzunehmende Konkurrenz mehr.
 
Die 1.11 soll eine Volltextsuche bekommen, das ist sicherlich eine nette Sache. 
 
  
verinice / verinice.PRO 1.10
============================

Die neueste Version von verinice ist ab sofort verfügbar. Mit V 1.10
haben Nutzer von verinice damit z.B. Zugriff auf die
IT-Grundschutzkataloge in englischer Sprache und können die Neuauflage
des VDA IS-Assessment in der Version 2.x nutzen. Exklusive neue
Features für die Server-Version verinice.PRO sind Single-Sign-On mit
Active Directory und der Import von Personen aus dem AD in die
Grundschutzansicht sowie die Optimierung der Aufgabenansicht.

Wichtiger Hinweis für das Update: Wegen der nötigen Datenmigration
kann der erste Start des verinice-Clients nach dem Update etwas länger
dauern als üblich. Dies ist kein Grund zur Beunruhigung. Weitere
Hinweise finden Sie unter dem Punkt "Anzeige der Dateigröße im
File-View". Bitte beachten Sie außerdem die allgemeinen Hinweise zum
Update und die Release Notes.


Die Neuerungen im Überblick:


Englische IT-Grundschutzkataloge

Der vollständige Text der IT-Grundschutzkataloge des BSI ist ab
verinice 1.10 auch in englischer Sprache verfügbar. Dies vereinfacht
die Arbeit mit dem IT-Grundschutz in internationalen Teams.

Auch für Anwender der nativen ISO 27001:2013 ist der umfangreiche
Gefährdungs- und Maßnahmenkatalog von erheblichem Nutzen: Bei einer
Risikobewertung und Risikobehandlung können die Grundschutzkataloge
als Datenbank zu speziellen Themen von Windows bis SAP zum Einsatz
kommen.

Alle Gefährdungen lassen sich als Szenarien in eigenen Risikoanalysen
verwenden. Per Drag-n-Drop können die gewünschten Gefährdungen oder
ganze Bausteine in das Risikomodell gezogen werden.

Ebenso kann bei der Risikobehandlung auf die über 1.500
Grundschutzmaßnahmen zurückgegriffen werden. Als spezielle Controls
ergänzen sie die generischen Vorgaben der ISO/IEC 27002:2013. Auch die
Controls lassen sich einfach per Drag-n-Drop in das ISM-Risikomodell
einfügen.

Die englischen IT-Grundschutzkataloge sind auf dem Stand der 13.
Ergänzungslieferung des BSI.


Update auf VDA ISA 2.x

verinice unterstützt vollständig die Neuauflage des VDA IS-Assessment
in der Version 2.x. Neben dem eigentlichen Katalog wurden auch die
Methode zur Berechnung der Durchschnittswerte sowie der "Total
Security Figure" angepasst.

Der ausgegebene Report stellt im Spinnennetzdiagramm den erreichten
Reifegrad und den Zielreifegrad zu jedem Kapitel dar, unter
Berücksichtigung aller als "N.A." markierten Fragen.

Anwender von verinice sind somit absolut konform zum VDA-Standard.
Zudem ermöglicht ein Konsolidator die Übernahme von
Assessment-Ergebnissen, die nach dem VDA 1.x Standard erfolgt sind.
Verschiebungen von Controls etc.  werden dabei korrekt berücksichtigt.


Anzeige der Dateigröße im File-View

Der File-View zeigt nun zu allen Attachments auch die Dateigröße an.
Das erleichtert z.B. das gezielte Aufräumen bei einer größer werdenden
Datenbank.

Hinweis: Nach dem Update auf V 1.10 werden diese Informationen in der
Datenbank ergänzt. Das Update wird bei der ersten Verbindung eines
verinice-Clients zur Datenbank ausgelöst. Je nach Anzahl der
vorhandenen Dateianhänge kann der Start des ersten verinice-Clients
nach dem Update einige Sekunden bis zu mehreren Minuten in Anspruch
nehmen. Wir empfehlen daher, unmittelbar im Anschluss an das
Server-Update einen Client-Start durchzuführen, damit das Update vor
der ersten regulären Benutzeranmeldung abgeschlossen ist. Der Vorgang
wird nur ein einziges mal durchlaufen.


Detailverbesserungen und Fehlerkorrekturen

Kleinere Verbesserungen und eine Vielzahl behobener Fehler an diversen
Stellen runden das Update auf V 1.10 ab. Erwähnenswert sind z.B.:

* Im Web-Frontend für Aufgaben kann nun der Volltext von
Grundschutz-Maßnahmen angezeigt werden. Das erleichtert das Delegieren
beim Basissicherheits-Check sowie bei der Maßnahmenumsetzung.

* Die lokale Report-Ablage auf dem verinice-Client funktioniert nun
wie vorgesehen.

* Die Bausteinzuordnungen, Personenzuordnungen und Zielobjekte-Typen
beim GSTOOL-Import wurden korrigiert.

* Das Vererben von Custom-Icons an untergeordnete Objekte kann nun an-
oder abgeschaltet werden.

* Beim Verschieben von Objekten kann ausgewählt werden, ob die
Zugriffsrechte des Zielordners für das verschobene Objekt übernommen
werden sollen.

* Beim Doppelklick auf ein Attachment im File-View wird in der
Baumdarstellung nun das zugehörige Objekt selektiert.

* In der Account-Anzeige wird nun angezeigt: "Nachname, Vorname
[Account]"

* In der Account-Gruppenanzeige werden in der Gesamtliste nicht wie
bisher alle Accounts angezeigt, sondern nur noch diejenigen, die nicht
in der gewählten Gruppe enthalten sind. Das erleichtert die Suche nach
nicht-zugeordneten Accounts.

* Die kundenspezifische Customizing-Datei ("SNCA.xml") wird nun beim
Update nicht mehr verschoben sondern bleibt in Betrieb. Achtung: Bitte
beachten Sie nach wie vor die Update-Anleitung zum Umgang mit
Konfigurationsdateien!