geschrieben von Bastian Ike Security Division Lead
BeyondCorp: Das sichere Framework für Unternehmens-IT
BeyondCorp: Das sichere Framework für Unternehmens-IT
06. Mai 2020 | Kategorien: Technologies & Open Source, Web Development
Über den Autor Bastian Ike Bastian Ike Security Division Lead

IT-Sicherheit beim Fernzugriff auf Unternehmensanwendungen ist ein Thema, das für Unternehmen unterschiedlichster Branchen und Bereiche immer relevanter wird. Bei AOE setzen wir in der OM³ Infrastruktur seit 2017 auf BeyondCorp – eine Entscheidung, von der Entwickler, Tester und Kunden profitieren. Dieser Beitrag zeigt, welche Vorteile das Sicherheitsmodell bietet. 

BeyondCorp wurde 2009 als Zero Trust Enterprise Security Framework von Google entwickelt. Die Idee dahinter: Zugriffskontrollen werden von der Netzwerkumgebung auf individuelle Nutzer oder Geräte übertragen. Ortsunabhängige Zugriffe sind also ohne herkömmliches VPN möglich. Das bedeutet zum einen mehr Sicherheit für beide Seiten sowie eine Grundlage für individuelle Zertifikate wie den PCI DSS, zum anderen ein erhöhtes Maß an Freiheit für die Anwender.

Die Vorteile in der Übersicht

1. Sicherer Fernzugriff ohne VPN

Bei AOE spielte IT-Sicherheit schon immer eine große Rolle, insbesondere hinsichtlich der Zugänge zu Terminals, Netzwerken und Applikationen. Heute laufen die meisten unserer Anwendungen online; der Zugriff erfolgt teilweise über eigene Endgeräte, aus dem Homeoffice oder vom Kunden aus. VPN ermöglicht den Fernzugriff, birgt allerdings auch Risiken:

  • Kompatibilität: Aufgrund verschiedener Protokolle und Netzwerk Layer ist es möglich, dass das VPN etwa von privaten Smartphones oder der Infrastruktur beim Kunden nicht unterstützt wird.
  • Flexibilität: Der Zugriff über VPN ist nie vergleichbar mit dem Onsite-Zugriff.
  • Sicherheit: Kommt es über einen VPN-Client zur Sicherheitsverletzung, etwa über den Laptop eines Mitarbeiters im Homeoffice, erhalten Angreifer potenziell Zugang zum kompletten Netzwerk, auch zu anderen Netzwerkteilnehmern – ein Risiko sowohl für das Unternehmen wie auch für die Mitarbeiter.
  • Trust Inference: Über VPN wird Vertrauen basierend auf einer (IP-)Adresse vergeben. Die Kategorien „Zugriff erlauben“ oder „Zugriff verweigern“ können nicht feiner spezifiziert werden. Da viele Tools HTTP als Transportprotokoll nutzen, gibt es jedoch bessere Wege, Nutzer zu authentifizieren und auf Basis von Verfahren wie RBAC (Rollenbasierte Zugriffskontrolle) zu autorisieren.

Bei BeyondCorp werden Nutzer unabhängig von Gerät, Netzwerk oder Herkunft gleichbehandelt und bei Default als „Untrusted“ eingestuft. Unternehmensadministratoren können detaillierte Zugriffssteuerungen anhand von Attributen wie Nutzeridentität, Sicherheitsstatus des Geräts und IP-Adresse festlegen, beispielsweise für Webanwendungen oder APIs. Der Zugriff auf Dienste muss authentifiziert, autorisiert und verschlüsselt sein.

2. Einfache Authentifizierung

Um die Authentifizierung über BeyondCorp zu vereinfachen, nutzen wir Protokolle wie OpenID Connect:

  • Als etabliertes Protokoll auf Basis von HTTP ist es kompatibel mit jedem Browser, auch auf mobilen Endgeräten.
  • In Verbindung mit Client Certificates kann einfach unterschieden werden zwischen Arbeitsgeräten und privaten Endgeräten, sodass für das authentifizierte Device zusätzliche Identitätsinformationen zur Verfügung gestellt werden können.
  • Die Authentifizierung ist transparent und erlaubt es Proxies, jede Verbindung zu prüfen, zu autorisieren oder zu blockieren – und bei Bedarf vorgelagert Identitätsinformationen zur Verfügung zu stellen.
  • Zum Identitätsmanagement kann eine Single Source of Truth inkl. Two-Factor-Authentification bestimmt werden. Anmeldeinformationen alleine werden dadurch wertlos – das Risiko von Phishing Attacken reduziert sich.

3. Graduelle Migration

Die Modernisierung der Unternehmens-IT birgt ein Risiko, denn: Ein schlechtes VPN ist besser als gar kein Zugriff. Daher stellen sich Unternehmen zu Recht die Frage, wann der richtige Zeitpunkt für eine Umstellung ist – und wie sie ihn am besten angehen. Der Vorteil von BeyondCorp: Das Modell ermöglicht eine graduelle Anpassung; die Migration der Endpunkte kann also schrittweise erfolgen. Bei AOE setzen wir dabei auf einen zero-config Ansatz und sichern jede Anwendung automatisch ab, ohne eine zusätzliche Konfiguration zu erfordern. Benötigt eine Applikation mehr Informationen oder spezifische Authentifizierungsregeln, können wir sie gemäß den Spezifikationen zur Verfügung stellen.

4. Keine zusätzlichen Kosten bei neuen Applikationen

Bei neuen Applikationen werden keine zusätzlichen Kosten produziert. Das bedeutet: BeyondCorp macht es möglich, Sicherheit nicht als kostenpflichtiges Feature anzubieten, sondern als Standardausstattung.