SSO ermöglicht es Nutzern, sich mit ihren bestehenden Unternehmensanmeldedaten anzumelden, anstatt ein separates Tresorit-Passwort zu verwenden.
Authentifizierung und Verschlüsselung in Tresorit
Tresorit speichert die Verschlüsselungsschlüssel, die für den Zugriff auf die Inhalte eines Nutzers erforderlich sind, in einem verschlüsselten Container, dem sogenannten Benutzerprofil.
Wenn sich ein Nutzer auf einem neuen Gerät anmeldet:
- Der Client authentifiziert sich bei Tresorit.
- Das verschlüsselte Benutzerprofil wird heruntergeladen.
- Das Benutzerprofil wird lokal auf dem Gerät entschlüsselt.
- Die Verschlüsselungsschlüssel stehen für den Zugriff auf die Inhalte des Nutzers zur Verfügung.
Dadurch können Nutzer von mehreren Geräten aus auf ihre Daten zugreifen, während die Zero-Knowledge-Architektur von Tresorit erhalten bleibt.
Standardmäßige passwortbasierte Authentifizierung
Bei der passwortbasierten Authentifizierung werden sowohl die Authentifizierung als auch die Entschlüsselung des Benutzerprofils aus dem Tresorit-Passwort des Nutzers abgeleitet. Der Client erzeugt dabei separate kryptografische Werte:
- einen für die Authentifizierung
- einen für die Entschlüsselung des Benutzerprofils
Da diese Werte mithilfe kryptografischer Einwegfunktionen abgeleitet werden, kann das ursprüngliche Passwort nicht rekonstruiert werden. Das Passwort verlässt niemals das Gerät, und Tresorit erhält niemals die Schlüssel, die zur Entschlüsselung von Benutzerinhalten erforderlich sind.
SSO-Authentifizierung
Bei der Verwendung von SSO besitzen Nutzer kein Tresorit-Passwort. Die Authentifizierung erfolgt über den Identitätsanbieter, der auch den Zugriff auf die Informationen bereitstellt, die für die Entschlüsselung des Benutzerprofils erforderlich sind.
Wenn sich ein Nutzer mit SSO anmeldet:
- Der Nutzer authentifiziert sich auf der Anmeldeseite des Identitätsanbieters.
- Der Identitätsanbieter überprüft die Anmeldedaten und gibt eine signierte SAML-Assertion zurück.
- Tresorit validiert die Assertion und gewährt Zugriff auf das verschlüsselte Konto.
- Auf Basis der eingerichteten Vertrauensbeziehung erhält der Client die Informationen, die zur Entschlüsselung des Benutzerprofils erforderlich sind.
Die Entschlüsselung erfolgt weiterhin lokal auf dem Gerät. Tresorit erhält weder Passwörter noch Verschlüsselungsschlüssel im Klartext oder entschlüsselte Inhalte.
Im Vergleich zur passwortbasierten Authentifizierung verändert sich das Vertrauensmodell. Tresorit verlässt sich sowohl bei der Authentifizierung des Nutzers als auch beim Zugriff auf die Informationen, die während der Anmeldung zur Entschlüsselung des Benutzerprofils erforderlich sind, auf den Identitätsanbieter.
Identitätsanbieterspezifische Aspekte
| Azure AD | Speichert SSO-bezogene Informationen in einem Benutzerprofil-Erweiterungsattribut. Der Zugriff hängt von der Azure-AD-Konfiguration ab und wird durch Verzeichnisberechtigungen sowie die zugewiesenen Anwendungszugriffe gesteuert. |
| Google Workspace | Speichert SSO-bezogene Informationen in einer Datei (TresoritLoginKey) in Google Drive. Der Zugriff wird durch die Freigabeberechtigungen in Google Drive sowie die für Nutzer und Anwendungen erteilten Zugriffsrechte gesteuert. |
| Okta | Speichert SSO-bezogene Informationen als Benutzerprofilattribut. Der Zugriff wird durch das rollenbasierte Berechtigungsmodell von Okta sowie die von Administratoren definierten Berechtigungen gesteuert. |
Infrastrukturbezogene Aspekte
Die Service-Infrastruktur von Tresorit, einschließlich der Speicherung verschlüsselter Benutzerinhalte, basiert auf Microsoft Azure. Dies kann bei der Bewertung von Azure AD als SSO-Anbieter berücksichtigt werden.
Risikominderung
Organisationen, die mit besonders sensiblen Informationen arbeiten, können SSO-bezogene Verfügbarkeits- und Wiederherstellungsrisiken reduzieren, indem sie die folgenden Funktionen in Tresorit nutzen:
- Erweiterte Kontrolle – Mit Erweiterter Kontrolle benötigen Admins weiterhin ihr Tresorit-Passwort für administrative Aktionen, selbst wenn SSO aktiviert ist. Wenn der Zugriff über den Identitätsanbieter verloren geht (z.B. aufgrund eines Ausfalls des Identitätsanbieters, einer Kontosperrung oder -löschung), können Administratoren ihre Tresorit-Zugangsdaten verwenden, um wieder Zugriff auf Daten zu erhalten. Dadurch wird das Risiko reduziert, dass Daten aufgrund der SSO-Abhängigkeit nicht mehr zugänglich sind.
- Selektive SSO-Bereitstellung – SSO kann über Richtlinienvorlagen nur für bestimmte Gruppen aktiviert werden. Dadurch lässt sich SSO auf ausgewählte Nutzer beschränken, während andere weiterhin die passwortbasierte Authentifizierung verwenden. Dies reduziert die Abhängigkeit vom Identitätsanbieter.