PSS-07 Vertraulichkeit von Authentisierungsinformationen

Falls Passwörter als Authentisierungsinformationen für den Cloud-Dienst verwendet werden, stellt der Cloud-Anbieter den Cloud-Kunden die folgenden Verfahren zum Schutz der Vertraulichkeit der Passwörter zur Verfügung:

1. Cloud-Nutzer können das Passwort zunächst selbst erstellen oder müssen ein Initialpasswort bei der ersten Anmeldung am Cloud-Dienst ändern. Ein Initialpasswort verliert nach maximal 14 Tagen seine Gültigkeit;

2. Bei der Erstellung von Passwörtern wird die Einhaltung der Längen- und Komplexitätsanforderungen des Cloud-Anbieters (vgl. IAM-08) oder des Cloud-Kunden technisch erzwungen;

3. Der Cloud-Nutzer wird über die Änderung oder Zurücksetzung des Passworts informiert. Verfahren zum Zurücksetzen von Passwörtern sind höchstens 48 Stunden gültig. Nachdem das Zurücksetzungsverfahren verwendet wurde, ist das Passwort vom Cloud-Nutzer zu ändern; und

4. Die serverseitige Speicherung verwendet Hashfunktionen in Kombination mit Salt-Werten, die beide dem Stand der Technik entsprechen.

Ergänzende Informationen

Der Stand der Technik in Bezug auf kryptographische Hashfunktionen wird in der aktuellen Version der Technischen Richtlinie TR-02102-1 'Kryptographische Verfahren: Empfehlungen und Schlüssellängen' des BSI beschrieben.

Regeln und Empfehlungen werden den Cloud-Kunden so mitgeteilt, wie sie für die Cloud-Nutzer unter ihrer Verantwortung anwendbar sind. Der Cloud-Anbieter bietet den Cloud-Kunden Werkzeuge für die Verwaltung und Erzwingung dieser Regeln an.

Bei der Verteilung von Zugangsdaten überprüft der Cloud-Anbieter die Identität des Empfängers, validiert die Anfrage und schützt die Zugangsdaten durch den Einsatz zusätzlicher Sicherheitsmechanismen wie Multi-Faktor-Authentisierung.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie hinreichend sichere Passwörter verwenden (vgl. IAM-08) und die vom Cloud-Anbieter bereitgestellten Verfahren zum Schutz der Vertraulichkeit der Passwörter entsprechend ihrer eigenen Einschätzung einsetzen und dass die mit ihrer eigenen Wahl verbundenen Risiken unautorisierter Zugriffe getragen werden. Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, stellen sie mit geeigneten Kontrollen sicher, dass die Vertraulichkeit der Informationen auch bei der Zuweisung von Authentisierungsinformationen für die virtuellen Maschinen oder Container gewährleistet ist.