Security-Management:
Test: Tool für das Passwort-Management

von Dirk Jarzyna

Share
30.04.2008

ScriptLogics Desktop-Authority-Password-Self-Service befreit den Benutzerservice von der Last, die Anwender beim Zurücksetzen ihrer Passwörter unterstützen zu müssen.

Eins der häufigsten Probleme, mit denen sich User an den Helpdesk wenden, sind vergessene Passwörter. Ein erfahrener Supportmitarbeiter benötigt zwar nur wenige Minuten, um ein Passwort zurückzusetzen und dem Benutzer das neue zu nennen.

In großen Organisationen mit mehreren Tausend Benutzern summieren sich diese wenigen Minuten aber schnell zu Stunden – Stunden, die IT-Profis für wichtigere Aufgaben nutzen könnten.

Mit Desktop-Authority-Password-Self-Service, kurz DAPSS, offeriert Scriptlogic [1]ein Produkt, das den Helpdesk entlastet, indem es einen Großteil des Passwortmanagements in die Hände des Users legt.

Passwörter selbst zurücksetzen

Das Programm gestattet den Benutzern, ihre Passwörter selbst zurückzusetzen. Gleichzeitig bietet es Administratoren kräftige und flexible Steuerungsmechanismen für Passwortrichtlinien. DAPSS sorgt also auch dafür, dass alle Passwörter den Richtlinien der Organisation entsprechen.

Das Produkt läuft in Windows-2000- und Windows-2003-Domänen (auch im gemischten Modus). Als schlank ist es nicht zu bezeichnen, denn die Systemanforderungen sind für die – oberflächlich betrachtet – simple Aufgabe, die es erfüllt, recht hoch: DAPSS verlangt einen Microsoft-SQL-Server-2000 oder -2005 (MS-SQL-Server-2005-Express-Edition wird mitgeliefert), Internet-Information-Server 6.0, Microsoft-Data-Access-Components ab 2.7 und .Net-Framework 2.0. Die Hardware-Anforderungen sind mit einem 800-MHz-Pentium-Prozessor, mindestens 128 MByte Arbeitsspeicher und 80 MByte Festplattenplatz aber eher bescheiden.

Das Setup ist unkompliziert, allerdings ist die Reihenfolge, in der Administratoren die einzelnen Komponenten installieren beziehungsweise aktualisieren, zu beachten. DAPSS nutzt Webtechnik. Die Administrations-Webseiten sind übersichtlich und einfach zu bedienen.

Die Konfiguration

Der Verantwortliche konfiguriert nach der Installation zunächst die zu verwaltende Domäne und einige Logon-Sicherheitsinformationen wie Lockout-Bedingungen und die Beachtung der Passworthistorie. Letztere verhindert eine wiederholte Nutzung gleicher Passwörter.

Der wichtigste Schritt bei der Konfiguration des Systems ist die Erzeugung einer Liste von Fragen, die Benutzer erfolgreich beantworten müssen, um ihre Passwörter zurücksetzen zu können.

Viele Computernutzer kennen solches beispielsweise von Yahoo-Mail. Beim Erzeugen eines Yahoo-Kontos wählen sie eine Frage aus und geben die richtige Antwort vor: Wie lautet der Geburtsname der Mutter? Schmitt.

Zuerst die Sicherheitsfrage

Geht nun das Passwort »verloren«, fragt Yahoo nach dem Geburtsnamen der Mutter. Gibt der Benutzer den richtigen Namen – in diesem Fall Schmitt – ein, wird ihm sein Passwort genannt, oder er erhält Gelegenheit, ein neues einzugeben.

DAPSS arbeitet mit einem vergleichbaren, aber deutlich komplexeren Mechanismus. Der Administrator gibt eine Vielzahl solcher Fragen vor, unterteilt in obligatorische und optionale Fragen, auf Wunsch auch noch in unterschiedlichen Sprachen.

Anschließend stellt er ein, wie viele Fragen aus diesen Listen das Programm bei einem Passwort-Reset-Wunsch zufällig auswählt und der Benutzer erfolgreich zu beantworten hat.

Natürlich muss DAPSS die richtigen Lösungen kennen. Um die richtigen Antworten vorzugeben, registrieren sich die Benutzer einmalig bei DAPSS und tragen sie ein.

Self-Service via Web-Seite

Möchte ein Benutzer sein Passwort zurücksetzen, verbindet er sich mit der Passwort-Self-Service-Webseite, beantwortet die ihm gestellten Fragen und gibt anschließend sein neues Passwort ein. Nach der Installation eines MSI-Pakets (über Gruppenrichtlinien) auf einem Windows-Computer ist die Verbindung zu DAPSS direkt vom Windows-Anmeldebildschrim aus möglich – sinnvoll ist es ja eigentlich auch nur von dort aus.

Ansonsten lässt sich eine Verbindung jederzeit über Web-Browser herstellen. Die Fragen und Antworten speichert DAPSS verschlüsselt. Administratoren sollten aber zusätzlich unbedingt HTTPS für die Verbindung zwischen Client und Web-Server einschalten, denn sonst ist es möglich, die Benutzernamen und Passwörter während der Übertragung zu erspähen.

[1] http://www.scriptlogic.com

Verwandte Artikel