M. Hesse, N. Pohlmann:
“Location Based Security – Ansätze für ein Stufenkonzept”.
In Proceedings der DACH Mobility Konferenz 2006,
Hrsg.: Patrick Horster,
syssec Verlag,
2006 Location-Based Security beschreibt die Idee, Zugriffsrechte bei Anwendungen mit hohem Schutzbedarf nicht nur aufgrund von der Identität und Authentizität des Benutzers zu erteilen, sondern auch den jeweiligen Aufenthaltsort des Benutzers für seine Möglichkeiten und Rechte, auf Daten zuzugreifen und Dienste zu nutzen, zu berücksichtigen. Dazu wird zunächst eine Übersicht über die momentan erhältlichen Lokalisierungstechnologien gegeben. Darauf aufbauend werden Empfehlungen für die Verwendung für eine zusätzliche stufenweise Sicherheit gemacht. Das Stufenkonzept sieht vor, Digitale Rights Management (DRM) für die Einhaltung der Datenschutz- und Datensicherheitsbestimmungen, abhängig von der Position des Rechnersystems, zu verwenden. Als Basis für das vertrauenswürdige DRM wird eine Trusted Computing Architektur verlangt. Abschließend werden Ideen und Szenarien für die Einführung geben.
Die Idee der ortsabhängigen Bereitstellung von Diensten und Daten ist nicht neu. Location Based Services (LBS) hatten aufgrund des Zusammenbruchs des neuen Marktes einen sehr schwierigen Einstieg. Viele Netzbetreiber hofften einen LBS-Business-Case zu finden, der zur Killer-Applikation für UMTS werden könnte. Eine solche Killer-Anwendung ist bis heute nicht in Sicht. Die meisten Mobilfunkbetreiber scheuten daher zunächst die hohen Investitionskosten auf Seiten der Netzinfrastruktur. Für LBS gibt es bisher nur einige spezielle Anwendungsfälle, wie das Flottenmanagement, die Logistik, Bezahlsysteme, Taxis, Lokalisieren von Personen (z.B. von Kindern) und das gezielte ortsabhängige Bewerben von Teilnehmern. Die hier vorgestellten Ansätze zeigen auf, wie ortsabhängige Rechte mobiler Rechnersysteme für ein Sicherheitsstufenkonzept genutzt werden können, um Anforderungen für einen hohen Sicherheitsbedarf im Unternehmens- und Behördenbereich gerecht zu werden. Anders als bei LBS, bei dem der Benutzer besondere ortsbezogene Dienste erhält, sieht das hier vorgestellte Stufenkonzept vor, einem Benutzer die zuvor übertragenen Rechte mit fortlaufendem Entfernen aus dem direkten Kontrollbereich eines Unternehmens oder einer Behörde schrittweise zu entziehen. Dazu wird zunächst erläutert, welche Möglichkeiten es zur Positionsbestimmung der Teilnehmer gibt und welche Vor- und Nachteile diese für die Verbesserung der Sicherheit mit sich bringen. In einem weiteren Abschnitt wird erklärt, welchen Nutzen die einzelnen Verfahren für die Sicherheit haben können. Darauf aufbauend wird ein beispielhaftes Stufenkonzept vorgestellt.
Konzepte der Positionsbestimmung
Für die Ortsbestimmung gibt es verschiedene Verfahren. Diese beziehen sich zunächst auf ein bestimmtes Rechnersystem und nicht auf einen Benutzer. Die Zugriffsrechte in einem Unternehmen oder in einer Behörde werden jedoch in der Regel nicht für bestimmte Rechnersysteme ausgesprochen, sondern für Benutzer. Dabei lässt sich in Mobilfunknetzen aufgrund der verwendeten SIM-Karte von der Position des Rechnersystems, ebenfalls auf die Position einer Person schließen, da diese sich zuvor durch die PIN Eingabe gegenüber der SIM-Karte – und damit indirekt gegenüber dem Netz – identifiziert haben muss. Rechnersysteme müssen sinnvollerweise auch im Betrieb nach der Anmeldung am Netz vor dem Zugriff Unberechtigter geschützt werden, wofür individuell passende Authentifizierungsmethoden verwendet werden können. Erfolgt die Positionsbestimmung für ein anderes mobiles Rechnersystem ohne SIMKarte, z.B. ein Notebook im WLAN, ist dieser Zusammenhang nicht gegeben und es muss eine zusätzliche Identifikation und Authentikation des Benutzers stattfinden. Für die Ermittlung der Position gibt es nun verschiedene Verfahren, wie die Abbildung 1 andeutet. Diese Einteilung ist einheitlich in der diesem Abschnitt zugrunde liegenden Literatur [Roth02] [Küpp05] zu finden. kostenlos downloaden | 
