Wenn über Zero Trust in der Praxis gesprochen wird, fällt schnell der Name BeyondCorp. Google hat ab 2014 in mehreren Aufsätzen beschrieben, wie das Unternehmen den Zugriff auf interne Anwendungen vom Netzwerkstandort entkoppelt hat. Die technische Seite ist gut dokumentiert. Hängen geblieben sind bei mir die Stellen, an denen es nicht um Technik geht.
Die erste: Das Team ging davon aus, dass sich das VPN von selbst erledigen würde, sobald die Alternative bereitsteht. Das passierte nicht. Das VPN erwies sich als tief in der Arbeitskultur verankert – Leute nutzten es aus Gewohnheit weiter, auch wo es nichts mehr beitrug. Am Ende brauchte es eine Regel: Wer seinen Zugang 45 Tage nicht nutzt, wird gewarnt; nach weiteren 30 Tagen wird er entzogen. Ein Zero-Trust-Projekt ist damit mindestens genauso ein Change-Management-Projekt.
Die zweite Stelle finde ich handwerklich elegant: Fehlermeldungen sind abgestuft. Wer als vertrauenswürdig eingestuft ist, bekommt eine hilfreiche Meldung, die erklärt, woran der Zugriff scheiterte. Wer es nicht ist, bekommt eine nichtssagende. Das ist unbequem für den Support, aber es verhindert, dass die Fehlermeldung selbst zum Aufklärungswerkzeug für Angreifer wird.
Die dritte: Zugriff setzt ein verwaltetes Gerät mit hinterlegtem Zertifikat voraus. Private Geräte sind ausgeschlossen, und zwar nicht als Übergangsregel, sondern als Konstruktionsprinzip. Das ist eine Konsequenz, die viele Organisationen nicht ziehen wollen – und ohne die der Rest des Modells wackelt.
Bemerkenswert ist zuletzt, wie weit die Praxis von der Lehrbucharchitektur abweicht. In der Referenzarchitektur sind Entscheidungspunkt und Durchsetzungspunkt sauber getrennt, ebenso Steuerungs- und Datenebene. Bei BeyondCorp verschwimmt das: Die Zugriffsentscheidung sitzt im Proxy, der die Metadaten gleich als HTTP-Header weiterreicht. Die Grundhaltung bleibt gewahrt, das Diagramm nicht. Das fand ich beruhigend zu lesen – saubere Modelle überleben den Kontakt mit einer gewachsenen Infrastruktur selten unverändert.
Leseempfehlungen
- Rory Ward, Betsy Beyer: BeyondCorp. A New Approach to Enterprise Security, USENIX ;login: Dezember 2014 – der Ausgangstext, sechs Seiten. usenix.org
- Luca Cittadini, Batz Spear, Betsy Beyer, Max Saltonstall: BeyondCorp Part III. The Access Proxy, USENIX ;login: Winter 2016 – hier steckt die eigentliche Architektur. usenix.org
- Victor Escobedo, Betsy Beyer, Max Saltonstall, Filip Żyźniewski: BeyondCorp 5. The User Experience, USENIX ;login: Fall 2017 – der Teil über Gewohnheiten und Akzeptanz. usenix.org
- Alle Aufsätze der Reihe sind bei USENIX frei zugänglich, ohne Paywall.
Dieser Text geht auf eine Seminararbeit zurück, die ich im Studium zum Thema Netzwerkperimeter und Zero Trust geschrieben habe. Was hier steht, ist meine Einordnung aus Lektüre und Beschäftigung mit dem Thema – keine eigene Forschung und kein Anspruch auf Vollständigkeit.