Re: [A2open-diskussion] A2Open

[b1sp <b1...@he...>]

On Wed, 14 Jun 2006 10:48:09 +0200, Gottwalt Thiersch wrote
> > Ansonsten muessten in jeder Dienststelle eine ausreichende Anzahl
> > an Reserverzertifikaten zur Verfuegung stehen...
> 
> Genau dies ist notwendig. Man koennte sich auch noch folgendes  
> Scenario vorstellen: Mitarbeiter kommt zum Personalrat, erhaelt  
> seinen Schluessel, Personalrat traegt zur Schluesselnummer den  
> Mitarbeiternamen ein, der Mitarbeiter unterschreibt, und der  
> Personalrat meldet nun mit einem "Anmeldeschluessel" den  
> Mitarbeiterschluessel an. Dann koennten beliebig viele  
> Vorratsschluessel bereitliegen, die man aber erst nach Freischaltung 
>  nutzen kann. Ich halte das aber fuer zu aufwendig. Man stelle sich  
> eine Behoerde mit z. B. 300 Sachbearbeitern vor, die Schluessel  brauchen...

Naja, das von mir schon beschriebene Projekt ist eine Behoerde
und setzt deutlich mehr als 300 User-Zertifikate ein. AFAIK
kuemmern sich aktuell ganze 2 MAs um die CA. Am Anfang waren es
natuerlich mehr. Weitere Details aus verstaendlichen Gruenden nur
im persoenlichen Gespraech...

> > Die Moeglichkeit der sofortigen Sperrung bei Bekanntwerden des
> > Verlusts bieten beide Varianten. Alternativ koennte dies auch mit
> > anderen Zertifikatstraegern durchgefuehrt werden. Dafuer muessten
> > dann am sinnvollsten Datentraeger der Kategorie Write once, Read
> > many eingesetzt werden.
> 
> Es sind zwei Probleme:
> 1. Wie wird der Zertifikatstraeger vom PC gelesen?

Sollte bei den e-tokens von Aladdin kein größeres Problem sein,
die sind auf einfache Anwendung gestrickt.

> 2. Wieviel kostet der einzelne Zertifkatstraeger und die fuers Lesen 
>  benoetigte Infrastruktur?

Was die Infrastruktur angeht: Gute Frage.
Die reinen USB-Tokens liegen im VK bis 2500 Stueck bei 37 Euronen.
Ich habe zum Vergleich auch mal nach den Preisen fuer SmartCards
und USB-Readern geschaut: Bis 1000 Stueck kommen die Karten und
Reader von Aladdin auf 14 bzw. 36 Euronen.

> Ich wuerde gerne NICHT AIX einsetzen, lieber iOS oder zOS. Aber das  
> ist reine persoenliche Vorliebe (die sich natuerlich auch mit  
> Argumenten untermauern laesst, die allerdings fuer den Einsatzzweck  
> irrelevant sind).

Geht mir nicht anders: Bei AIX schiesst mir sofort wieder der
Gedanke an smitty ins Hirn und anschliessend Brechreiz in den
Magen. Ich liebe Konfigurationsdateien und hasse zentrale Tools,
die einem die Konfig wieder zerschiessen, wenn man sie ohne die
Tools aendert...
Das System laeuft im uebrigen auf SLES 8 fuer Power.
 
> Voelliger Overkill fuers geplante Projekt. Jetzt steht dort EINE Sun 
>  Enterprise mit Informix als Datenbankserver im einen Rechenzentrum, 
>  einige dutzend x86-Linux-Server als Webserver und ebenso einige 
>  dutzend x86-Windows-Server als AppServer im anderen Rechenzentrum.  
> Und lediglich Administrationszugriffe duerfen nur aus dem eigenen  
> Subnetz erfolgen. Ansonsten werden weder Zugriffe geloggt noch sonst 
>  irgendwie Rechte vergeben und verwaltet.

Naja, die BAfA scheint Datenschutz ja nicht wirklich all zu
ernst zu nehmen... Rein terroristisch koennte man auch auf die
ganze Sicherheitsinfrastruktur in grossen Teilen verzichten.
Ich hatte es halt angebracht, weil es in Enterprise-Umgebungen
mit sensiblen Daten mittlerweile eher Standard ist.
 
> Wie gesagt: Overkill. Wir brauchen keine 24/7-Redundanz, sondern  
> 10/5. Wartung kann nachts und am Wochenende erfolgen, und wenn der  
> zentrale Server mal fuer drei Stunden unten ist, dann geht zwar 
> alles  nur provisorisch, aber es geht immerhin.

Nachts und am WE bei einer Ex-Behoerde??? Viel Spass... 
Lieber lassen die Entscheider Bundesweit ntausend MAs 
Daeumchen fuer ein paar Stunden drehen, als einen WE-
Einsatz von z.B. 5 Admins zu genehmigen... In der freien
Wirtschaft laeuft das Problemlos, weil da die Entscheider
i.d.R. wissen, dass Zeit Geld ist. Hatte letztes WE erst
wieder Einsatz wg. einem Releasewechsel.

OT: Als ich neulich einen Bericht ueber die SW-Umstellung der
Zulassungsstelle Koeln gesehen habe, dachte ich auch wieder
"Typisch Behoerde", mit Vorankuendigung drei Tage schliessen
fuer eine Sache, die man von Freitag Abend bis Montag Morgen
locker durchziehen koennte. Zu Sicherheit und zum Testen den
Montag noch dicht machen und gut ist...

> Ja ja. Das Problem war: Macht man Rechte-Management und loggt man  
> Zugriffe, kann man darueber feststellen, welcher Mitarbeiter wann 
> was  gemacht hat. Aber das erlaubt der Personalrat nicht, denn 
> darueber  koennte man die Qualitaet und Quantitaet der Arbeit 
> einzelner  Mitarbeiter bewerten. Auch koennte man einzelne 
> Mitarbeiter fuer ihre  Fehler zur Rechenschaft ziehen. Ausserdem: Da 
> ja ARGEn, Optionskommunen und Arbeitsagenturen auf die  Daten 
> zugreifen muessen, haette man allein mit der Verwaltung der  
> Beantragung, Erteilung und Loeschung von Accounts einen riesigen 
>  Wasserkopf beschaeftigt. Loggt man aber ohne Benutzerverwaltung,
>  dann  kommt unter Umstaenden jemand faelschlich in Verdacht, der 
> gar nicht  an seinem Arbeitsplatz sass, waehrend sein Arbeitsplatz 
> von einem  Boesewicht missbraucht wurde. Also, das Problem war: Eine 
> Rechteverwaltung war verwaltungstechnisch  zu aufwendig, die 
> Bedenken des Personalrates nicht auszuraeumen, und  ein Logging der 
> Zugriffe ohne Rechteverwaltung waere vom Personalrat  ebenfalls 
> nicht genehmigt worden. Aus den angefuehrten Gruenden.  Deshalb 
> verzichtet man lieber gaenzlich auf jegliche  Rechteverwaltung. Und 
> deshalb lege ich so viel Wert darauf, dass der  Software-Betreiber 
> nur unter Mitwirkung des Personalrates an Namen  von 
> Zertifikatsinhabern kommen kann und ansonsten Zugriffe zwar  
> zertifiziert aber voellig anonym geloggt werden.

Klingt in der Form nach einer akzeptablen Loesung, die auch den
Segen von jedem Personal- und Betriebsrat erhalten sollte. Unab-
hängig von dem Eingesetzten Mittel zur Authentifizierung.

Gruß,
Burkhardt