Schutz sensibler Polizeidaten mit Phishing-resistenter Multi-Faktor-Authentifizierung
Als eine Polizeibehörde im Südosten der USA die Nachricht erhielt, dass innerhalb dieser Woche staatliche Prüfer eintreffen würden, um eine 360 Fragen umfassende Überprüfung der CJIS-Konformität durchzuführen, wären die meisten Behörden in Aufruhr geraten. Diese jedoch nicht – denn ihre Identitätsinfrastruktur war bereits genau für diesen Moment ausgelegt.
Sie haben das Audit in etwa fünf Stunden bestanden. Kurz darauf haben sie in derselben Zeitspanne ein CJIS-Audit des FBI bestanden.
In der vollständigen Fallstudie wird erläutert, welche RSA-Lösung das Unternehmen eingesetzt hat und welche Erkenntnisse die Audit-Ergebnisse hinsichtlich seiner Sicherheitslage geliefert haben.
Laden Sie die Fallstudie jetzt herunter Oder lesen Sie weiter, um mehr über die zentralen Konzepte und häufig gestellten Fragen zu erfahren, die den Rahmen der Geschichte bilden.
Die Fallstudie umfasst:
- Die konkrete Herausforderung hinsichtlich der Einhaltung der CJIS-Vorschriften, vor der die Abteilung stand – und warum ihr bisheriger Ansatz sie angreifbar machte
- Wie die iShield Key 2-Serie von RSA bei Führungskräften und Administratoren eingeführt wurde und Passwörter durch eine hardwaregestützte Authentifizierung ersetzte
- Warum die Prüfer die Einhaltung der Vorschriften innerhalb von Stunden statt Tagen überprüfen konnten – und welche Unterlagen den Ausschlag gaben
- Wie dieselbe Implementierung sowohl die Anforderungen des Bundesstaates als auch die des FBI im Rahmen der CJIS-Prüfung erfüllte, ohne dass zusätzliche Vorbereitungen erforderlich waren
- Was das Ergebnis für andere Strafverfolgungsbehörden bedeutet, die sich mit den erweiterten Authentifizierungsanforderungen des CJIS auseinandersetzen müssen
In der Fallstudie wird auf mehrere technische Standards Bezug genommen, die für die Art und Weise, wie Strafverfolgungsbehörden strafrechtliche Daten schützen müssen, von zentraler Bedeutung sind. Diese Definitionen liefern den Kontext für die Compliance-Anforderungen, die die Behörde erfüllt hat – und die jede Behörde, die auf FBI-Systeme zugreift, erfüllen muss.
Informationen zur Strafjustiz (CJI)
Unter „Criminal Justice Information“ (CJI) werden sensible Daten verstanden, die gemäß der CJIS-Sicherheitsrichtlinie verwaltet und geschützt werden, darunter biometrische Daten, Identitätsverläufe, biografische Daten, Vermögensdaten sowie Fall- und Vorfallverläufe. Der Zugriff auf CJI wird vom FBI streng reguliert und erfordert an jedem Zugriffspunkt strenge Authentifizierungskontrollen. Jede Behörde – auf Bundes-, Landes- oder Kommunalebene –, die CJI speichert, verarbeitet oder übermittelt, muss bei regelmäßigen Prüfungen die Einhaltung der CJIS-Standards nachweisen. Ein unbefugter Zugriff auf CJI-Systeme kann laufende Ermittlungen gefährden und zur Aussetzung des Zugriffs einer Behörde auf wichtige Strafverfolgungsdatenbanken führen.
CJIS-Sicherheitsrichtlinie
Die CJIS-Sicherheitsrichtlinie ist ein Dokument, das von der Abteilung für Strafrechtsinformationsdienste (Criminal Justice Information Services Division) des FBI herausgegeben wird und Mindestanforderungen an die Sicherheit für Behörden festlegt, die auf die Strafrechtsdatensysteme des FBI zugreifen. Sie umfasst 13 Richtlinienbereiche, darunter Zugriffskontrolle, Auditierung, Konfigurationsmanagement und – von entscheidender Bedeutung – erweiterte Authentifizierung. Die Richtlinie wird regelmäßig aktualisiert und verpflichtet die Behörden, ihre Sicherheitsvorkehrungen an sich ändernde Bedrohungen anzupassen. Die Nichteinhaltung kann zur Sperrung des Zugangs zu Systemen wie dem National Crime Information Center (NCIC) führen, wodurch den Behörden der Zugang zu Daten verwehrt wird, die für den täglichen Strafverfolgungsbetrieb unerlässlich sind.
Phishing-resistente Multi-Faktor-Authentifizierung (MFA)
Phishing-resistente MFA ist eine Art der Authentifizierung, bei der kryptografische Mechanismen zum Einsatz kommen, um zu verhindern, dass Anmeldedaten von Angreifern abgefangen oder nachgespielt werden. Im Gegensatz zu herkömmlichen MFA-Methoden, die auf gemeinsamen Geheimnissen beruhen – wie beispielsweise einem per SMS gesendeten oder von einer Authentifizierungs-App generierten Code –, bindet die phishing-resistente MFA die Authentifizierung an ein bestimmtes physisches Gerät und eine bestimmte registrierte Anwendung. Dadurch ist es für einen Angreifer technisch unmöglich, die Authentifizierungsantwort umzuleiten, selbst wenn ein Nutzer dazu verleitet wird, eine betrügerische Website aufzurufen. Für Strafverfolgungsbehörden, die von außerhalb physisch gesicherter Standorte auf CJI zugreifen, ist die phishingresistente MFA nun der vorgeschriebene Standard gemäß der CJIS-Sicherheitsrichtlinie.
FIDO2 und Passkeys
FIDO2 ist ein offener Authentifizierungsstandard, der von der FIDO Alliance entwickelt wurde und eine passwortlose sowie phishing-sichere Anmeldung mithilfe von Public-Key-Kryptografie ermöglicht. Wenn ein Nutzer ein FIDO2-Gerät registriert, wird ein eindeutiges kryptografisches Schlüsselpaar generiert – der private Schlüssel verlässt das Gerät niemals, während der öffentliche Schlüssel bei der Anwendung oder dem Dienst registriert wird. Für Strafverfolgungsbehörden bieten gerätegebundene FIDO2-Schlüssel die höchste Sicherheitsstufe, da der private Schlüssel nicht extrahiert, kopiert oder auf einem anderen Gerät verwendet werden kann – wodurch sichergestellt wird, dass die Authentifizierung an eine bestimmte, nachweisbare Person gebunden bleibt.
FIPS 140-3 Stufe 3
FIPS 140-3 ist ein vom NIST veröffentlichter US-Bundesstandard, der Sicherheitsanforderungen für kryptografische Module definiert. Stufe 3 erfordert Mechanismen zur physischen Manipulationssicherheit, eine identitätsbasierte Authentifizierung für den Zugriff auf das kryptografische Modul sowie zusätzliche Schutzmaßnahmen gegen physische Angriffe. Ein nach FIPS 140-3 Level 3 zertifizierter Hardware-Authentifikator – wie beispielsweise der RSA iShield Key 2 Reihe—gewährleistet, dass kryptografische Vorgänge und die Speicherung von Schlüsseln den strengen bundesstaatlichen Anforderungen entsprechen, und beschleunigt die CJIS-Prüfung erheblich, da es den Prüfern unmittelbare, nachprüfbare Nachweise für die Qualität der Sicherheitskontrollen liefert.
CJIS steht für „Criminal Justice Information Services“, eine Abteilung des FBI, die Sicherheitsrichtlinien für den Zugriff auf sensible strafrechtliche Daten festlegt – darunter Fingerabdrücke, Vorstrafen und Informationen zu Haftbefehlen. Jede Strafverfolgungsbehörde, die auf diese Daten zugreift, muss die Anforderungen der CJIS-Sicherheitsrichtlinie in Bezug auf Identitätsmanagement, Zugriffskontrolle und Verschlüsselung erfüllen. Die Nichteinhaltung dieser Anforderungen kann zum Verlust des Zugriffs auf wichtige FBI-Datenbanken führen, darunter das National Crime Information Center (NCIC).
Die CJIS-Sicherheitsrichtlinie schreibt eine erweiterte Authentifizierung für alle Benutzer vor, die von außerhalb eines physisch gesicherten Standorts auf Informationen der Strafjustiz zugreifen. Phishing-resistente MFA—wie beispielsweise FIDO2-Hardware-Sicherheitsschlüssel—erfüllen diese Anforderung durch eine kryptografische Authentifizierung, die weder abgefangen noch nachgebildet noch durch Social Engineering umgangen werden kann, wodurch sichergestellt wird, dass selbst ein kompromittiertes Passwort keinen unbefugten Zugriff auf CJI-Systeme ermöglicht.
Die RSA iShield Key 2 Reihe ist ein Hardware-Sicherheitsschlüssel, der eine passwortlose FIDO2-Authentifizierung ermöglicht und nach FIPS 140-3 Level 3 zertifiziert ist – dem Bundesstandard, der für die sensibelsten Regierungsdaten vorgeschrieben ist. Beamte und Administratoren nutzen den physischen Schlüssel zur Authentifizierung beim Zugriff auf Strafrechtssysteme; da er bei jeder Anmeldung eine einzigartige kryptografische Antwort generiert, kann er nicht durch Phishing erbeutet, geklont oder von Unbefugten verwendet werden, selbst wenn ein Passwort kompromittiert wird.
Ein Standard-CJIS-Audit mit 360 Sicherheitsfragen erfordert in der Regel eine ganze Woche Personalaufwand. Durch den Einsatz von RSAs Identitätsmanagement-Plattform Im Rahmen der „iShield Key 2“-Reihe schloss eine Polizeibehörde im Südosten der USA ihre staatliche Prüfung in etwa fünf Stunden ab – eine Verkürzung um über 80% – und bestand die anschließende CJIS-Prüfung des FBI innerhalb desselben verkürzten Zeitrahmens.
Herkömmliche MFA-Verfahren – Einmalpasswörter per SMS, Authentifizierungs-Apps – basieren auf gemeinsam genutzten Geheimnissen, die durch Phishing, SIM-Swapping oder Man-in-the-Middle-Angriffe abgefangen werden können. Phishing-resistente MFA nutzt Public-Key-Kryptografie, die an ein bestimmtes registriertes Gerät gebunden ist, wodurch es technisch unmöglich ist, Anmeldedaten wiederzugeben oder auf eine betrügerische Website umzuleiten. Für Strafverfolgungsbehörden ist dieser Unterschied ausschlaggebend dafür, ob eine MFA die CJIS-Anforderungen erfüllt oder nicht.
Ja. Die RSA iShield Key 2 Reihe unterstützt die cloudbasierte Verwaltung, sodass kleine und mittelgroße Abteilungen Authentifikatoren ohne lokale Infrastruktur bereitstellen, überwachen und widerrufen können. Die RSA-Plattform bietet einen zentralen Überblick über alle Authentifizierungsereignisse, sodass Abteilungen, die zuvor Tage damit verbrachten, Prüfungsnachweise zusammenzustellen, diese nun innerhalb weniger Stunden erstellen können.
Eingeschlossen