Zur Absicherung unserer Office 365 Umgebung, sowie zur Verhinderung von unberechtigten Login Versuchen aus nicht sicheren Ländern, setzen wir für die Umgebung sogenannte ‘Conditional Access Policies’ ein.

Diese Policies regeln den Zugriff auf die Umgebung an Hand von verschiedenen Parametern, z.B. aus welchem Land auf die Ressourcen zugegriffen wird, oder welche Netze sich versuchen zu verbinden. Entsprechend wird der Zugriff reguliert oder unterbunden.

Zugriff aus Netzwerken

Wir lassen den Zugriff aus den ADAC Netzen ohne weitere Einschränkung zu. Für den Zugriff aus anderen Netzen wird die User Anmeldung per MFA (Multifaktor Authentifizierung) benötigt.

Hinweis:
Für User mit administrativen Berechtigungen wird grundsätzlich eine Anmeldung per Multifaktor benötigt.

Länderfreigaben

Der Zugriff aus den folgenden Ländern ist immer möglich:

• Deutschland
• Belgien
• Dänemark
• Finnland
• Frankreich
• Griechenland
• Irland
• Italien
• Lichtenstein
• Luxemburg
• Niederlande
• Österreich
• Portugal
• Spanien
• Schweden

Temporär sind derzeit folgende Länder freigegeben:

• Norwegen

Der Zugriff aus alle anderen Länder kann auf Anfrage über den jeweiligen FBL an itk@nrh.adac.de temporär freigegeben werden – ein Anspruch auf Freischaltung besteht nicht!

Blockierte Länder:

Der Zugriff aus folgenden Ländern ist grundsätzlich blockiert, sowohl für das Login als auch für Anfragen aus diesen Regionen. Aus diesen Ländern können Sie nicht auf unsere Ressourcen zugreifen, auch nicht per Freigabe:

• Russland
• Ukraine
• Belarus
• China

Legacy authentication clients

Der Zugriff auf unsere Online Umgebung, von Anwendungen die keine moderne Authentifizierung (OAuth2, MFA, SAML) unterstützen, wie zB Exchange Active Sync, SMTP (Auth), POP3, IMAP, AutoDiscover, MAPI/HTTP, etc – wird in unserem Konstrukt nicht unterstützt, diese Clients können also nicht mit unseren Diensten genutzt werden!

Multifaktor Authentifizierung (wikipedia Auszug):

Die Multi-Faktor-Authentifizierung (MFA), auch Multifaktor-Authentisierung, ist eine Verallgemeinerung der Zwei-Faktor-Authentisierung, bei der die Zugangsberechtigung durch mehrere unabhängige Merkmale (Faktoren) überprüft wird.

Möglich sind mehrere Faktoren. Verbreitet sind zur Zeit

• „knowledge“, also „Wissen“, etwas, das der Nutzer weiß (beispielsweise ein Passwort),
• „ownership“, also „Besitz“, etwas, das nur der Nutzer besitzt (beispielsweise ein Mobiltelefon),
• „inherence“, also „Inhärenz“, etwas, das der Nutzer ist (beispielsweise ein Fingerabdruck)
• „location“, also „Ort“, ein Ort, an dem sich der Nutzer befindet.

Als Beispiel für mehrere Faktoren kann das Geld-Abheben an einem Geldautomaten betrachtet werden: Der Bankkunde muss seine Bankkarte besitzen („ownership“) sowie seine PIN kennen („knowledge“)

Multifaktor Key Fakts

Multi-Faktor-Authentifizierung (MFA):

• Erfordert zwei oder mehr Nachweise für den Zugriff
• Schützt Benutzerdaten vor unberechtigtem Zugriff
• Zu den Faktoren kann etwas gehören, das der Benutzer hat, weiß oder ist
• Umfasst die Zwei-Faktoren-Authentifizierung (2FA), die genau zwei Nachweise erfordert
• Beispiele für 2FA sind Bankkarte und PIN oder ein benutzergesteuertes Passwort mit Einmalpasswort (OTP)
• Authentifizierungs-Apps von Drittanbietern ermöglichen 2FA
• Wissensfaktoren erfordern den Nachweis eines Geheimnisses, wie ein Passwort oder eine PIN
• Zu den Besitzfaktoren gehören Sicherheits-Token oder USB-Sticks
• Soft-Tokens sind auf elektronischen Geräten gespeichert und können dupliziert werden
• MFA wird auch in physischen Sicherheitssystemen eingesetzt
• Inhärente Faktoren umfassen biometrische Methoden wie Fingerabdruck-, Gesichts-, Stimm- oder Iriserkennung
• Standortbasierte Authentifizierung bezieht den physischen Standort des Benutzers ein
• Handy-basierte Authentifizierung umfasst Push-basierte, QR-Code-basierte, Einmal-Passwort- und SMS-basierte Methoden
• MFA wird zum Schutz der persönlichen Identifikation oder finanzieller Vermögenswerte eingesetzt
• Basiert auf der Annahme, dass unbefugte Akteure nicht alle Faktoren liefern können
• Bietet zusätzliche Sicherheit im Vergleich zur einfachen Authentifizierung

MFA-Typen:

• Etwas, das der Benutzer weiß (Passwort)
• Etwas, das der Benutzer hat (Token)
• Etwas, das der Benutzer ist (biometrisch)

MFA-Implementierung:

• SMS-Verifizierung, Push-Benachrichtigungen und Einmal-Passcode-Generatoren
• Mobil zugestellte Sicherheitstoken hängen von der Sicherheit des Mobilfunkbetreibers ab
• Dynamisch generierte Passcodes sind sicherer als statische Anmeldeinformationen
• Benutzer sind immer noch anfällig für Phishing-Angriffe
• Das Mobiltelefon ist nicht immer verfügbar
• SIM-Klonen kann Hackern Zugang zu Mobiltelefonverbindungen verschaffen
• Der Payment Card Industry (PCI) Data Security Standard erfordert MFA für den Fernzugriff auf eine Kartendatenumgebung (Card Data Environment, CDE)
• Die zweite Zahlungsdiensterichtlinie verlangt eine starke Kundenauthentifizierung für die meisten elektronischen Zahlungen im Europäischen Wirtschaftsraum.
• IT-Regulierungsstandards verlangen MFA für den Zugang zu Systemen der Bundesbehörden
• MFA kann gegen moderne Bedrohungen unwirksam sein

MFA-Schwachstellen:

• Angreifer können die Telefonnummer des Opfers umleiten
• Die Bereitstellung von Client-Software kann schwierig zu verwalten sein
• Token können beschädigt werden oder verloren gehen
• Erhebliche zusätzliche Supportkosten
• Verschiedene Organisationen bevorzugen unterschiedliche Systeme
• MFA kann überwunden werden, wenn es nicht ordnungsgemäß implementiert und konfiguriert ist

Geschichte und Kritik von MFA:

• Wird in verschiedenen Formen seit mindestens den 1980er Jahren verwendet
• Der aktuelle Stand wird aufgrund mangelnder Standardisierung und Interoperabilität als chaotisch kritisiert
• Kim Dotcom hat MFA nicht erfunden
• SMS-Authentifizierungscodes werden als unsicher kritisiert
• Hacker nutzen Schwachstellen in Protokollen von Mobilfunkanbietern aus
• Die Kosten für die Implementierung von MFA können für einige Organisationen die Vorteile überwiegen