Zusammenfassung

  • Die ACE-Arbeitsgruppe beschreibt in der Fassung vom 2. November eine kurze Verteilungskette: Der Autorisierungsserver kann das Token für den Client beim Ressourcenserver hochladen und das Ergebnis melden. Es ist weiterhin ein Internet-Draft.
  • Ein neuer Betriebsabschnitt erwartet Zeitstempel für Anfragen, Upload-Ergebnisse und Token-Lebensläufe. Auf dem Ressourcenserver richtet sich die Protokollierung nach Speicher-, Rechen- und Energievorrat.
  • Betriebsgeheimnisse dürfen nicht in Logs stehen. Vor der Weitergabe an externe Verwaltung sollte eine zuständige Speicherstelle nachverfolgbare Adressen und Kennungen entfernen, außer bei eigens berechtigten Empfängern.

Ein Lieferservice mit Gedächtnis

Im bisherigen ACE-Ablauf holt ein Client das Zugriffstoken beim Autorisierungsserver und bringt es selbst zum Ressourcenserver. Der neue kurze Weg überträgt die Lieferung an den Autorisierungsserver. Er meldet den Ausgang; scheitert die Übertragung, bekommt der Client das Token für den alten Weg. Der Server kann bei entsprechender Konfiguration sogar Token für Clients ausstellen und hochladen, die von diesem Schritt nichts wissen. Die Verbindung zum Ressourcenserver muss geschützt sein.

Damit entsteht beim Lieferanten ein aussagekräftiges Protokoll. Die Fassung -09 der ACE-Arbeitsgruppe fügt einen Betriebsabschnitt hinzu, der in -08 fehlte. Er erwartet Zeitstempel für Tokenanfragen, Ausgabe, Upload-Ergebnisse, Ablauf, Widerruf und An- oder Abmeldung von Clients und Ressourcenservern. Auf dem Zielserver sind Aufzeichnungen über Annahme, Ablehnung, Speicherung, Löschung und fehlgeschlagene Zugriffe erwünscht, soweit dessen knappe Ressourcen reichen. So lässt sich eine ausgestellte Berechtigung von einer tatsächlich angekommenen unterscheiden.

Die Aufzeichnung kann zugleich Gerätebewegungen sichtbar machen. Adressen und Kennungen von Authentisierungsnachweisen verknüpfen Kontakte zwischen mehreren Stellen. Eine benannte Speicherstelle darf Logs verwalten und autorisierten externen Anwendungen per Abfrage oder Benachrichtigung bereitstellen. Server dürfen keine betrieblichen Geheimnisse, privaten Schlüssel oder abgeleitetes Schlüsselmaterial protokollieren. Bei externer Weitergabe sollte die Speicherstelle sensible Kennungen streichen; eine Ausnahme braucht eine konkrete Berechtigung unter den geltenden Datenschutzregeln.

Dauer und Detailtiefe der Speicherung legen Anwendung und Betreiber fest.

Das Verbot für Geheimnisse ist ein MUST NOT, die Bereinigung vor externer Weitergabe ein SHOULD. Der Entwurf nennt weder Installationszahlen noch Missbrauchsfälle. Er zwingt Betreiber zu einer Entscheidung, die sich messen lässt: Braucht eine Management-Anwendung nur das Ergebnis eines gescheiterten Uploads oder auch die identifizierbare Spur des Geräts?

Originalquellen