UC-Integration und -Sicherheit: Die Quadratur des Kreises?, Teil 3

Anbieter zum Thema

Absicherung des telefonischen Zugriffs auf TK-Applikationen durch eine PIN

Falls aus technischen Gründen keine Authentisierung auf Basis von Zertifikaten oder Nutzerdaten realisierbar ist, muss jede sensible TK-Applikation zumindest durch eine PIN geschützt werden. Zu diesen Applikationen zählen zum Beispiel Unified MessagingServer mit telefonischem Zugriff auf den Posteingang, IVR-Applikationen mit Zugriff auf schützenswerte Daten oder Audiokonferenzsysteme.

Da eine PIN im Gegensatz zu Passwörtern nur aus Zahlen, und nicht aus alphanumerischen Zeichen besteht, ist es nicht möglich, den Grad der Komplexität durch das Hinzufügen von Buchstaben und Sonderzeichen zu erhöhen. Einzige Möglichkeit ist der Einsatz einer längeren PIN.

Als absolutes Minimum gelten 4-stellige PIN, eine Länge von 6 oder mehr Stellen ist aber dringend empfehlenswert. (siehe Link: IT-Grundschutz-Kataloge des BSI, M2.11 „Regelungen des Passwortgebrauchs“). Des Weiteren sind triviale PIN wie „0000“, „4321“ oder simple „Muster“ auf dem numerischen Tastaturblock zu vermeiden.

Um die fehlende Komplexität gegenüber alphanumerischen Passwörtern auszugleichen, ist es sinnvoll bei wiederholter falscher Eingabe der PIN, den Zugriff auf die TK-Applikation, zumindest temporär, zu sperren.

Es ist keine Selbstverständlichkeit, dass PINs oder Passworte verschlüsselt über ein Netzwerk übertragen werden. In diesem Fall wäre also zumindest die Übertragung im Netzwerk entsprechend abzusichern.

Einschränkung der Zugriffsrechte

TK-Applikationen und Mehrwertdienste verbinden in vielen Fällen unterschiedliche Anwendungsdomänen wie Telefondienste mit Kundendatenbanken oder betriebswirtschaftlicher Software. Als konkretes Beispiel sei die Kopplung einer Telefonanlage mit einem Customer Relationship Management (CRM) System über einen CTI-Server genannt. Diese Brückenfunktion kann das Sicherheitsniveau der TK-Lösung, der TK-Applikation sowie darüber hinausgehend auch anderer IT-Systeme beeinträchtigen.

Abhängig vom geforderten Schutzbedarf sind daher die Zugriffsrechte der beteiligten Dienst- und Nutzerkonten geeignet einzuschränken, um einen unerlaubten oder unvorhergesehenen Durchgriff auf Informationen zu vermeiden. Die spezifischen Maßnahmen hängen dabei vom betrachteten Dienst sowie vom Produkt ab.

Folgende Aspekte sind bei erhöhtem Schutzbedarf zu beachten:

Wenn Zugriffsrechte auf Basis von Benutzerkonten definiert werden, so ist die Verwendung eines zentralen oder zumindest synchronisierten Benutzerverzeichnisses einer getrennten Rechteverwaltung für unterschiedliche Anwendungsdomänen vorzuziehen. Auf diese Weise kann eine unkoordinierte oder unkontrollierte Rechtevergabe vermieden werden.
Benötigen die betrachteten TK-Applikationen und Mehrwertdienste spezielle Dienstkonten, so sind deren Zugriffsrechte soweit einzuschränken, dass ausschließlich die für die Ausführung des Dienstes notwendigen Rechte zur Verfügung stehen. Auf diese Weise kann der Schaden, der durch eine unberechtigte Nutzung eines Dienstkontos etwa durch Schadsoftware entstehen kann, minimiert werden.