Hochsicherer Zugang zu Daten,
Anwendungen und Netzwerke
Universal ZeroTrust Exchange (UZE) - die Post ZeroTrust Secure Access Lösung von sayTEC
sayTRUST UZE Post Zero Trust Secure Access ist eine bahnbrechende neue ZeroTrust Technologie für den verschlüsselten, internen und externen Zugang in Unternehmensnetzwerke. Sie ermöglicht eine hochsichere Kommunikation und Datenaustausch ohne Hintertüren und ohne jegliche Möglichkeit von Manipulation.
sayTRUST sorgt für eine hochsichere Arbeitsumgebung - im Home Office oder mobil. Sie bietet die höchste Stufe der Kommunikations-sicherheit durch Erfassen und Eliminieren der Schwachstellen zwischen dem Anwender und dem zu schützendem Netzwerk. Nutzer können über die 9-stufige „Defence in Depth“ Technologie sowohl innerhalb des eigenen Netzwerkes als auch von fremden Standorten, im Home-Office oder in mobilen Hotspots sicher arbeiten.
Warum sayTRUST Post ZeroTrust
Post ZeroTrust statt VPN –
wir haben weitergedacht:
-
Geringere Kosten
-
Einfache Bedienung
-
Kommunikation auf der Applikationsebene
anstatt Netzwerk-Netzwerk-Kopplung -
Neunstufige Zugangssicherheit
-
Sicherheit beginnt bereits vor dem Tunnel
-
Keine Software und Zugangsdaten auf dem Client PC
-
Persönliche Identifizierung des Nutzers (PKI)
-
Eigene fälschungssichere und geschützte Zertifikate
-
Reduzierung des Administrationsaufwands um bis zu 80%
Der sayTRUST Access USB-Client (1) ist hochsicher und flexibel:
-
Nach dem Einstecken in einen beliebigen PC erfolgt die Aufforderung
zur Authentifizierung (2). -
Nach erfolgter Authentifizierung wird das sayTRUST Menü (3) gestartet.
-
Aus dem sayTRUST Menü erfolgt der Verbindungsaufbau pro Applikation direkt aus dem verschlüsseltem RAM, sodass auf dem PC keine Spuren verbleiben
Grundsätzlich besteht die Lösung aus einem Server und einer Client Komponente bspw. in Form eines USB-Access-Sticks. Der Server kann als Appliance oder als Software fungieren. Zur Wahl stehen USB-Sticks mit Zwei-Faktor-Authentifizierung (2FA) oder mit Drei-Faktor-Authentifizierung (3FA).
Bei uns beginnt die Sicherheit mit der Identität des Nutzers – vor dem Tunnel, bevor die Kommunikation startet - vor der Freigabe einer Anwendung oder Sicherheitsumgebung.
sayTRUST verbindet den zentralen UZE-Server mit hardware- oder softwarebasierten UZE-Clients. Freigegeben wird ausschließlich die jeweils autorisierte Kommunikationsbeziehung zu einer Anwendung, einem Dienst, einer Maschine oder einem definierten Standort. Der Benutzer erhält dabei keinen allgemeinen Zugriff auf das Unternehmensnetzwerk.
Die Sicherheitskette beginnt bei der eindeutigen Identifikation des Nutzers vor dem Rechner. Erst danach wird die geschützte Client-Umgebung aktiviert, Richtlinien und Sicherheitszustand geprüft und die konkret zugelassene Kommunikation aufgebaut.
Post Zero Trust bildet die gesamte sayTEC-Architektur;sayTRUST UZE ist die technische Plattform, die dieses Prinzip umsetzt.
Interne und externe Arbeitsplätze werden nach demselben Prinzip geschützt
sayTRUST UZE ist nicht nur für Homeoffice und mobile Nutzer konzipiert. Auch interne Arbeitsplätze, private Geräte, Dienstleister-zugänge und getrennte Netzwerkbereiche können nach derselben Sicherheitslogik behandelt werden. Entscheidend ist das Ineinandergreifen mehrerer Sicherheitsstufen. Dadurch bleiben Server und kritische Ressourcen gegenüber Endgeräten maximal abgeschirmt. Nicht autorisierte Systeme sind nicht sichtbar, nicht frei adressierbar und nicht direkt erreichbar.
Warum der Tunnel allein nicht genügt
Klassische VPN-Lösungen koppeln einen entfernten Rechner trotz Verschlüsselung technisch an ein Netzwerk oder einen Netzbereich. Wird der Client kompromittiert, kann diese Verbindung selbst zum Angriffsweg werden. Zero Trust und ZTNA verbessern die Kontrolle, sayTRUST UZE führt den Gedanken weiter: Es wird nicht mehr das Netzwerk geöffnet, sondern nur noch die autorisierte Kommunikationsbeziehung zu einer konkret freigegebenen Ressource – etwa zu einer Anwendung, einem Service, einem Maschinenzugriff oder einer Sprach- und Videokommunikation.
Der Passwort Manager für Single-Sign-On sorgt für höchste Sicherheit. Dabei werden über die verschlüsselte Datenbank des Anwenders die Anmeldungen auf verschiedenste Anwendungen und/oder Plattformen mit den jeweiligen Passwörtern durchgeführt. Bei Aufruf einer beliebigen Anwendung kümmert sich das Single-Sign-On Modul im Hintergrund um die sichere Authentifizierung. Die einzelnen Anwendungen bleiben natürlich weiterhin mit unterschiedlichen Passwörtern geschützt.
In Unternehmen wird so die Trennung in Vertrieb-, Produktions- und Verwaltungsnetz umgesetzt. Im Krankenhaus werden die z.B. Patientenakten nur für berechtigte Personen aus dem medizinischen Bereich und der Verwaltung zugänglich gemacht.
Bei den Sicherheitsmerkmalen wurden neben allgemein anerkannten Standards (SSL, TLS, X.509 Zertifikat mit 2048-Bit, Diffie-Hellman Perfect Forward Secrecy in Abhängigkeit des persönlichen Anwenderzertifikats) weitere Alleinstellungsmerkmale implementiert. Dazu gehört die Verbindung auf der Applikationsebene statt im Tunnel (statt des üblichen Layer 2 oder Layer 3 VPN). So wird Schadsoftware bereits am Eingang des Tunnels erkannt und abgewehrt. Mit der eigenen CA (Certificate Authority) werden Zertifikate „on demand“ erstellt und nicht über eine fremde Stelle bezogen.
Die gesamte Kommunikation wird aus dem verschlüsseltem Arbeitsspeicher (RAM) des Client-Rechners aufgebaut. So verbleiben auf dem Rechner und auf der Verbindungsstrecke keine Datenreste, die später eine Auswertung erlauben. Durch diesen Schutz ist ebenfalls die bei Hackern beliebte „Man-in-the-Middle-Angriff“ unmöglich.
Für die verschlüsselte Kommunikation ist keine eigene virtuelle Netzwerkkarte und auch keine separate IP-Adresse aus dem zu schützenden Netzwerk erforderlich. Von außen sind Netzwerk und dazugehörige Informationen unsichtbar. Auch auf dem Client-PC ist die Verbindung unsichtbar. Das Gerät hat und kennt keine Netzwerk-informationen vom zu schützenden Remote-Netzwerk.
Besonders angenehm für Anwender ist, dass sie ihre persönliche Arbeitsumgebung immer bei sich tragen. Sie können von jedem beliebigen PC aus hochsicher arbeiten.
Der Administrator konfiguriert zentral die Berechtigungen und damit die Arbeitsumgebung des Nutzers und den Zugriff auf Applikationen und Verzeichnisse. Einmal anmelden und der automatische Zugriff auf alle autorisierten Anwendungen ist gewährleistet, ohne lästige wiederholte Eingabe von Passwörtern.