Einsatz von RSA ID Plus ohne Passwort bei einer der größten Banken der Welt
Eine der weltweit größten Banken hat sich für RSA ID Plus um die Grundlage für eine vollständig passwortlose Zukunft zu schaffen – und damit passwortbedingte Sicherheitslücken bei internen Mitarbeitern, Auftragnehmern und besonders wichtigen Kunden zu beseitigen. Der Ansatz der Bank, die von ihr ausgewählten Authentifizierungsgeräte und die Anforderungen an die Implementierung sind in der vollständigen Fallstudie dokumentiert.
Lesen Sie weiter, um mehr über die zentralen Fragen zu erfahren, die jeder groß angelegten Initiative für passwortloses Banking zugrunde liegen, sowie über ein Implementierungsrahmenwerk, das auf den tatsächlichen Abläufen solcher Projekte basiert, oder Laden Sie die vollständige Fallstudie herunter.
FIDO2 ist der offene Standard, der eine phishing-sichere, passwortlose Anmeldung ermöglicht. Wenn ein Benutzer ein FIDO2-Gerät registriert, wird ein einzigartiges kryptografisches Schlüsselpaar generiert: Der private Schlüssel verlässt das Gerät zu keinem Zeitpunkt, und der öffentliche Schlüssel wird bei der Anwendung registriert. Bei der Anmeldung signiert das Gerät eine Challenge, die kryptografisch an die legitime Website gebunden ist – selbst wenn ein Nutzer dazu verleitet wird, mit einer betrügerischen Seite zu interagieren, kann die Authentifizierungsantwort dort nicht verwendet werden.
Gerätegebundene Passkeys gehen noch einen Schritt weiter: Die Anmeldedaten sind an ein einzelnes physisches Gerät gebunden und können weder exportiert noch geklont werden. In Bankumgebungen, in denen Insider-Bedrohungen und die gemeinsame Nutzung von Geräten ein echtes Problem darstellen, bietet diese Art der Bindung die höchstmögliche Sicherheit. Das langjährige Engagement von RSA in der FIDO-Allianz stellt dies in den Mittelpunkt der Entwicklung und Umsetzung dieser Standards.
Die Nutzergruppe einer Bank ist nicht einheitlich. Interne Mitarbeiter, Auftragnehmer, vermögende Kunden und mobile Mitarbeiter unterscheiden sich hinsichtlich ihrer Gerätezugänge, Sicherheitsanforderungen und ihrer Toleranz gegenüber Unannehmlichkeiten. Eine passwortlose Lösung, die zwar für Händler an festen Arbeitsplätzen funktioniert, aber bei Auftragnehmern auf gemeinsam genutzten Geräten oder bei Kunden auf Mobilgeräten versagt, ist keine vollständige Lösung.
RSA ID Plus geht dieses Problem an, indem es das gesamte Spektrum passwortloser und Phishing-resistente MFA Methoden – Hardware-Sicherheitsschlüssel, gerätegebundene mobile Passkeys und Hardware-Token – in Cloud-, Hybrid- und lokalen Umgebungen. Hybrides Failover stellt sicher, dass die Authentifizierung auch bei einer Unterbrechung der Verbindung weiterhin verfügbar bleibt – eine entscheidende Anforderung für den Betrieb von Finanzdienstleistungen.
Groß angelegte Einführungen passwortloser Authentifizierung lassen sich nicht von heute auf morgen umsetzen. Für eine Bank mit Zehntausenden von Nutzern, die über mehrere Systeme und Standorte verteilt sind, ist der Übergang vom passwortbasierten Zugriff zu einer vollständig phishing-resistenten Authentifizierung ein mehrstufiges Programm. Im Folgenden wird beschrieben, wie Einführungen dieser Größenordnung in der Regel ablaufen.
Phase 1: Bestandsaufnahme und Planung
Vor der Einführung einer neuen Technologie erfassen die Identitäts- und Sicherheitsteams der Bank alle Nutzergruppen, Systeme und Anwendungsfälle für die Authentifizierung. Dabei wird ermittelt, welche Nutzer Hardware-Schlüssel und welche mobile Passkeys benötigen, für welche Altsysteme Überbrückungslösungen erforderlich sind und wie der Ausweichplan aussieht, falls eine Methode in einer bestimmten Umgebung versagt. Durch die Planung in dieser Phase lassen sich Lücken vermeiden, die erst während der Einführung zutage treten und kostspielige Nacharbeiten erzwingen.
Phase 2. Pilotphase
Eine definierte Untergruppe von Benutzern – in der Regel eine einzelne Geschäftseinheit oder eine funktionsübergreifende Pilotgruppe – setzt die neuen Authentifizierungsgeräte in einer kontrollierten Umgebung ein. Das Ziel ist nicht nur die technische Validierung, sondern auch die Validierung der Arbeitsabläufe: Passt der Authentifizierungsprozess zu den tatsächlichen Arbeitsweisen dieser Nutzer? Probleme bei der Bereitstellung, bei Helpdesk-Prozessen und in der Kommunikation mit den Nutzern lassen sich im Rahmen eines Pilotprojekts weitaus kostengünstiger beheben als bei einer groß angelegten Einführung.
Phase 3. Schrittweise Einführung im großen Maßstab
Die Einführung erfolgt abteilungsweise oder rollenweise, wobei den Benutzergruppen mit dem höchsten Risiko Vorrang eingeräumt wird – Konten mit privilegiertem Zugriff, Mitarbeiter im Handelsraum, Nutzer von Compliance-Systemen. In jeder Phase werden die Erkenntnisse aus der vorherigen Phase berücksichtigt. Für die Bank aus der Fallstudie leistete RSA Professional Services während dieser gesamten Phase Unterstützung vor Ort und stellte so sicher, dass die Einführung in jedem Schritt planmäßig verlief.
Die meisten Banken führen die Umstellung schrittweise durch und beginnen dabei mit den Nutzergruppen mit dem höchsten Risiko – privilegierte Nutzer, Mitarbeiter im Handelsraum, Nutzer von Compliance-Systemen –, bevor sie auf die gesamte Belegschaft und schließlich auf die Kunden ausweiten. Für die Umstellung ist es nicht erforderlich, die MFA überall auf einmal zu ersetzen: RSA ID Plus unterstützt sowohl MFA als auch passwortlose Verfahren gleichzeitig, sodass Banken nach ihrem eigenen Zeitplan vorgehen können, ohne den Zugriff während der Umstellung zu beeinträchtigen.
Gerätegebundene Passkeys binden die Anmeldedaten an ein bestimmtes physisches Gerät, was bedeutet, dass sie nicht exportiert, weitergegeben oder von einem anderen Gerät aus verwendet werden können – selbst wenn ein Angreifer Zugriff auf die Anmeldedaten des Benutzers erlangt. Für Finanzdienstleistungen In Umgebungen, in denen der Diebstahl von Anmeldedaten den primären Angriffsvektor darstellt, beseitigt diese Bindung die Risikokategorie, die bei herkömmlichen MFA-Methoden bestehen bleibt.
RSA ID Plus unterstützt verschiedene Arten passwortloser Authentifizierungsmethoden – darunter Hardware-Sicherheitsschlüssel für Nutzer, die an einen bestimmten Arbeitsplatz gebunden sind, sowie gerätegebundene mobile Passkeys für Nutzer, die auf Smartphones angewiesen sind –, sodass jede Nutzergruppe eine Methode erhält, die zu ihrer tatsächlichen Arbeitsweise passt. Dies ist insbesondere im Bankwesen von Bedeutung, wo Händler, Filialmitarbeiter, Auftragnehmer und Kunden jeweils unterschiedliche Authentifizierungsumgebungen haben, die mit einer einzigen Methode nicht einheitlich abgedeckt werden können.
Für eine Bank mit Zehntausenden von Nutzern und Niederlassungen in verschiedenen Regionen dauert die vollständige Einführung eines passwortlosen Systems in der Regel 18 bis 24 Monate, wenn sie schrittweise geplant wird. Der Zeitrahmen hängt stark von der Komplexität der bestehenden Identitätsinfrastruktur, der Anzahl der verschiedenen Nutzergruppen und dem Umfang der erforderlichen Integration von Altsystemen ab. Die Fallstudie beschreibt detailliert den Ansatz und den Zeitplan, den diese konkrete Bank verfolgt.
FIDO2 nutzt Public-Key-Kryptografie, um die Authentifizierung an ein bestimmtes registriertes Gerät und eine bestimmte Anwendung zu binden. Das bedeutet, dass die Authentifizierungsantwort nicht auf einer betrügerischen Website wiedergegeben werden kann – wodurch Phishing technisch gesehen unwirksam wird und nicht nur erschwert wird. Banken, die Transaktionen mit hohen Beträgen und sensible Kundendaten abwickeln, benötigen dieses Maß an kryptografischer Sicherheit; ältere MFA-Methoden, die auf gemeinsamen Geheimnissen basieren, können dies nicht gewährleisten, unabhängig davon, wie komplex diese Geheimnisse auch sein mögen.
RSA bietet drei phishing-resistente Authentifizierungsoptionen an, die auf verschiedene Nutzergruppen im Bankensektor zugeschnitten sind: die iShield Key Serie 2 Hardware-Schlüssel (FIDO2 + FIPS 140-3-zertifiziert, für Umgebungen mit höchsten Sicherheitsanforderungen), der gerätegebundene Passkey der RSA Authenticator App (für Nutzer, die vorrangig mobile Geräte verwenden) und der DS100-Hardware-Token (unterstützt sowohl das passwortlose FIDO2-Verfahren als auch OTP für Umgebungen, in denen ein Fallback erforderlich ist).
In der Fallstudie wird detailliert beschrieben, für welche Authentifizierungsverfahren sich diese Bank entschieden hat und warum.
Eingeschlossen