mehrere Leute müssen EIN RSA Sec Token nutzen-wie würdet ihe das lösen?

mehrere Leute müssen EIN RSA Sec Token nutzen-wie würdet ihe das lösen? (31 Beiträge, 346 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Problem: ein Kunde lässt meine Firma in sein Netzwerk-per VPN mit Cisco VPN Client und unter Verwendung eines RSA Sec Tokens

So, nun braucht jeder der sich verbinden will das vom TOken generierte Paßwort. Bisher schaut die Lösung so aus das man mich anruft und ich die aktuelle Nr durchsage, mühsam da sich die Gruppe der Leute die zugreifen quer über die ganze Welt verteilt....auch schauts blöd aus wenn ich nicht zu erreichen bin

Frage also: wie würdet ihr das lösen.....das einfachste wär wohl einen Rechner irgendwo hinzustellen, Webcam-diese aufs Token sehen lassen und die externen Users per Remotedesktop auf diesen Rechner zu lassen. Heir könnten sie dann die Nr vom Token ablesen und gleichzeitig den am Rechner installierten Cisco VPN Client nutzen..

So, hat jemand einen bessere Lösung? Wie schauts überhaupt mit Remotedesktop aus? Der Funktionsumfang würde reichen-wie "sicher" ist nun aber die Remotedesktopunterstützung im Vergleich zu anderen Fernwartungstools?
Welce Webcam könnte man hier verwenden? Würd mcih über ein paar Ideen freuen..

Was spricht dagegen, einen Rechner quasi als VPN-Gateway einzurichten, der über VPN mit dem Kunden verbunden ist? Auf diesen Rechner verbinden sich deine Kollegen mittels VPN deiner Wahl, notfalls gibts einen Remotedesktop um das VPN zum Kunden wiederzuverbinden.

Da brauchst dann keine Pfusch-Webcamlösung.
_______________________________________________________
HP 6930p, C2D P8600, 4GB, 160GB + 500GB, WXGA+, WWAN, VB64.

a) mehrere Token vom Kunden anfordern - wenn es wichtig ist wird das gehen, wenn nicht war es einfach nicht wichtig
b) einem Mitarbeiter des Kunden den Token in die hand drücken, soll er den Telefonjob machen. Wenn es wichtig ist... (siehe oben)
c) Kunde fragen ob es möglich ist anstatt Token einfach Username/Passwort zu verwenden. Hat auch den Vorteil, dass man nachvollziehen kann, WER da gerade arbeitet bzw. gearbeitet hat

Die Sache mit dem "Webcam auf Token richten und per RDP anschauen" halte ich für nicht wirklich sinnvoll, weil a) Du erst wieder ein VPN brauchst, um auf den Rechner mit der Webcam zu kommen und damit ein zweites VPN am selben Rechner (dem des Mitarbeiters) wohl nicht funktionieren wird oder b) wenn der Rechner mit der Webcam direkt im I-Net hängt die Sicherheit von Deiner Seite aus so mies ist, dass sich der Token ad absurdum führt.

greetz

glockman

- There's no replacement for displacement. Not even Diesel. -

vs.

a) mehrere Token vom Kunden anfordern - wenn es wichtig ist wird das gehen,
wenn nicht war es einfach nicht wichtig

leider gehts hier um eine öffentliche Einrichtung-da gibts Vorgaben-und fertig...da kann die Welt untergehen-da gibts keine Änderungen...ein Token....und wichtig ists schon denn eine ganze Abteilung hängt an unserem System und kann ohne dieses nicht arbeiten, Änderungen am "Haussystem" gibts trotzdem nicht-daran gewöhnt man sich in diesem Umfeld *g*

b) einem Mitarbeiter des Kunden den Token in die hand drücken, soll er den
Telefonjob machen. Wenn es wichtig ist... (siehe oben)

das geht nicht denn aufgrund von Zeitverschiebungen usw wird auch nahcts wohl mal remote gearbeitet..

Du erst wieder ein VPN brauchst, um auf den Rechner mit der Webcam zu kommen
und

der Rechner würd in einem unserer Serverräume stehen-und ins Firmenetzwerk gibst sowieso VPN Verbindung

wenn der Rechner mit der Webcam direkt im I-Net hängt die Sicherheit von
Deiner Seite aus so mies ist, dass sich der Token ad absurdum führt.

tjo *g*

...da kann die Welt untergehen-da gibts keine Änderungen...ein Token.... und wichtig ists schon denn eine ganze Abteilung hängt an unserem System und kann ohne dieses nicht arbeiten

Und da habt ihr doch sicher im SLA drin stehen, dass (sinngemäß) "der Kunde dem Dienstleister jede Unterstützung und geeignete Mittel zur Verfügung stellt, damit dieser [der Dienstleister] seine Arbeit in vollem Umfang und zeitgerecht durchführen kann".

EIN Token für verteilte geographische Lokationen ist demnach NICHT geeignet, daher kann es Dir auch egal sein, ob das jetzt oder in 6-8 Stunden erledigt wird.
Die Alternative wäre ein 300%iger Preisaufschlag für Arbeiten außerhalb der Nennarbeitszeiten - und in spätestens einer Woche hast Du dann so viele Token wie Du willst...

greetz

glockman

- There's no replacement for displacement. Not even Diesel. -

vs.

es kommt nur die von Glockman angesprochene Lösung a in Frage, JEDER der den VPN zugang nutzt, bekommt einen EIGENEN Token,alles andere ist Schwachsinn.
Klar Tokens kosten und die Beteiligten müssen das Ding auch bei sich haben, aber sorry, so ist das System gedacht und nicht das man sich ein Token teilt.
_________________________________________________________________
Na Server's heast...

Also das muss schon ne geizige Bude sein, wenn ihr nedmal Token bekommts - so teuer sind die Dinger ja auch wieder nicht.

Oder liegts ned am Geld? Aber dann versteh ich den Sinn dahinter vollkommen nicht.

Lg,
Maugrim

Edit: wie schauts aus mit nem Softwaretoken? Vielleicht kannst einen davon bekommen dann brauchst keine Webcam mehr. Auch wenns nur ein "USB Stick" ist der per PIN gesperrt ist und auf dem Liegt dann die Token Software? Das wäre dann mit einem einzigen Token realisierbar sein.

http://www.rsa.com/node.aspx?id=1313

"Instead of being stored in an RSA SecurID hardware authenticator, the symmetric key (or "seed record") is safeguarded securely on the user’s desktop, laptop, PDA, handheld, or mobile phone. RSA SecurID symmetric keys may also be stored on smart card and USB devices and used in conjunction with the RSA SecurID software token on the user’s desktop."

26.05.2009, 23:01 Uhr - Editiert von Maugrim, alte Version: hier

Also das muss schon ne geizige Bude sein, wenn ihr nedmal Token bekommts - so
teuer sind die Dinger ja auch wieder nicht.

öffentliche Einrichtung-alles klar? Im Ernst-stell dir vor du hast 100 Fremdfirmen in deinem Betrieb und jeder will 10 Tokens haben...

Oder liegts ned am Geld?

es liegt an den Richtlinien des Kunden-eine Firma-ein Token

http://www.rsa.com/node.aspx?id=1313

Sachen gibts-danke schau i mir an

Öffentlich stand vorher nicht*g*

http://www.rsa.com/node.aspx?id=1313

Ein Freund von mir stellt alles von Hardwaretoken auf Software um, da es bei Ihnen "Probleme" gibt das die Hardwaretoken nach einiger Zeit (hohe Securityguideline - welche von den outgesourcten Firmen kommen) nicht mehr mit der PKI Synchron sind - Syncen bei einer Weltweiten Firma ist da schwer und die Benutzer sind auch nicht die höchsten (zumindest EDV mäßig

)

Die Softwaretoken gehen wenigstens nicht mehr out-of-sync.

Aber ja es gibt ja auch noch andere Firmen ausser RSA und andere Lösungen mit dem Syncen

öffentliche Einrichtung-alles klar? Im Ernst-stell dir vor du hast 100
Fremdfirmen in deinem Betrieb und jeder will 10 Tokens haben...es liegt an den
Richtlinien des Kunden-eine Firma-ein Token

was dann mal wieder ein Fall von zu wenig Eier in der Hose ist. Ich verstehe nicht warum seitens derjenigen die Gespräche mit Geschäftspartnern führen immer wieder schwachsinnige Zugeständnise gemacht werden die dann die Angestellten ausbaden dürfen die es dann umsetzen...in dem Fall du.
_________________________________________________________________
Na Server's heast...

Weil die 'Geschäftspartnern' irgendwelche Typen in Anzug/Krawatte sind, die keine Ahnung von den Technik haben. Und der Input von den Techniker (die es nachher ausbaden müssen) wird entweder a) nicht gefragt, b) nicht angenommen oder ist c) nicht vollständig. (bei mir würde c gelten, da ich wahrscheinlich auf solche 'Kleinigkeiten' vergesse

)

Save the Earth... it's the only planet with chocolate.

Wer ist eigentlich dieser Ed Hardy?
...und warum kotzt er auf T-Shirts?

es liegt an den Richtlinien des Kunden-eine Firma-ein Token

Und wer legt diese Richtlinien fest? Der gleiche Typ von Manager wie der Abteilungschef der in ein Ami-Firma entschieden hat das die Aussendienstler-Notebooks am Schreibtisch festgeschraubt werden sollten aus Angst für Diebstahl?

Save the Earth... it's the only planet with chocolate.

Wer ist eigentlich dieser Ed Hardy?
...und warum kotzt er auf T-Shirts?

den token vor eine webcam legen und auf einer gesicherten seite abrufbar machen.
---
warst du schon hier ?

Entweder man macht es richtig, und die verschiedene Techniker kriegen je ein Token, oder der Token wird zu den gerade aktiven Bereitschaftler weitergegeben.

Andere Möglichkeit, obwohl Pfusch: Webcam mit Netzanschluss, erspart eigenen Server usw. Sorge nur dafür das _nichts_ auf eure Firma oder die der Kunden rückschliessen lässt: IP der Cam vielleicht Privat, So unscharf einstellen das nur der Zahl erkennbar ist ohne die eingeprägte IDs (obwohl die eh an der Hinterseite sind), usw. Keine Rückschlüsse zwischen dieses Bild und der Kunde sollte möglich sein.
Alternativ hierzu kannst auch in eure Firma ein Cam an ein Rechner anschliessen, der Zahl filmen, OCRen und mit ein 'Salt' (wie zB der Reihenfolge der Zahlen als 'defabc' verwürfeln) irgendwo auf der Webseite einbauen, zB als aktuelle Score der Hausinterne Dartmeisterschaften...

Save the Earth... it's the only planet with chocolate.

Wer ist eigentlich dieser Ed Hardy?
...und warum kotzt er auf T-Shirts?

das geht ja irgendwie am sinn so eines token vorbei, man will ja damit erreichen das nur *TRÖT*e personen zutritt haben. wie schon in anderen posts erwähnt, solltest du mehrere token anforden, das muss möglich sein, oder sie müssen eine andere art des zugangs zur verfügung stellen!

pacman Pacman

sie müssen

müssen tun die nix...denn die sagen: reicht nicht was wir euch bieten-auch gut, dann soll sich bitte jedesmal einer eurer Techniker in den Flieger setzen und herkommen-uns doch egal"

Mit "müssen" im öffentlichen Bereich...hast verloren *g*

denn die sagen: reicht nicht was wir euch bieten-auch gut, dann soll sich
bitte jedesmal einer eurer Techniker in den Flieger setzen und herkommen-uns
doch egal"

darauf würd ich es ankommen lassen. mal sehen wie lange die das zahlen.

und wenn sie es noch immer mit einem token wollen. auch ok. dann sollens bei ihnen einen abstellen, den man rund um die uhr anrufen kann, der denjenigen den token dann durchgibt.

Die Frage ist, wie lange dann seine Firma noch betraut ist mit der Aufgabe.

das ist eine andere frage.

blos: wenn ich jemanden mit den auftrag gebe dieses und jenes zu erledigen, weil ich das selbst nicht kann, dann sollt ich vielleicht auch auf ratschläge von dem jenigen hören.

oder würdest du auf teufel komm raus bei einem kunden einen webserver aufbauen, wo der kunde dann meint die kiste müsse sicher sein aber updates dürfen keine installiert werden?

jaja ich verstehs eh schon - hätt ich ja selber auch ned so wollen, weils meiner Meinung nach Irrsinn is.

Aber es findet sich sicher auch wer anderer der das dann so macht wie die das wollen.

wenn ich jemanden mit den auftrag gebe dieses und jenes zu erledigen,

das tut der Kunde nicht wirklich,meine Firma will das die GEräte laufen denn nur wenn sie das machen werden "Verbrauchsmaterialien" verkauft....sogesehen ists meiner Firma gleichwichtig das die Geräte laufen wie dem Kunden und ich fahr zb auch vorbeugend zum Kunden um Ausfälle die sich abzeichnen zu verhinden

http://forum.geizhals.at/t642560,5496568.html#5496568

man kann das was meine Firma macht oder verkauft nicht mit dem vergleichen was "normale" Firmen so treiben...

Ok, jeder machts anders

mal sehen wie lange die das zahlen

und das unterscheidet "meine" Firma von einer "normalen" Firma...der Kunde zahlt großteils nix für Serviceeinsätze....darum ists dem Kunden genau wurscht wo aus der Welt jemand kommt um sein Problem zu beheben..

ich finds nur mehr krass..ich lese den betreff und weiß genau das der beitrag von dir ist

Suchbild, wo ist der Kanarienvogel *gg*

Es gab ja schon genug Science-Fiction Filme in denen orakelt wurde, dass sich die Technik eines Tages gegen den Menschen richten wird. Dass dies allerdings in der barbarischen Form von Klingeltönen passieren wird, hat niemand vorher gesehen...

das ist abe nicht SO SCHWER-würde ich mal sagen! [sic]

auch die werden es lernen, dass ihre policy der grösste schwachsinn ist. scheinbar hatten sie noch nicht genug zusatzkosten.

entweder jeder der rein muss bekommt einen eigenen token oder sie machen das mit normalen login (username/passwort). alles andere ist schwachsinn.

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung