Drucksache: Windows Developer 11.16 - Zwei-Faktor-Authentifizierung
Im windows.developer 11.16 ist ein Artikel über die Zwei-Faktor-Authentifizierung erschienen.
Lange Zeit reichte die Kombination aus Benutzername und Passwort aus, um einen Benutzer sicher zu identifizieren. Inzwischen gelangen diese Zugangsdaten immer öfter in falsche Hände. Also muss ein zusätzlicher Faktor die Authentifizierung absichern, wenn man wirklich auf Nummer Sicher gehen will.
Dafür gibt es verschiedene Möglichkeiten wie z.B. Token oder Smartphone-Apps zum Erzeugen von Einmalpasswörtern. Und Windows 10 macht den eigenen Rechner zu einer Art zweiten Faktor.
Die Token zum Erzeugen von Einmalpasswörtern sind sicher (wenn der Hersteller nicht falsch spielt), aber teuer. Die Smartphone-Apps sind eine gute Alternative, so lange es noch keine spezielle Schadsoftware gibt, die sie angreift. Warum sollte man also nicht zum Google Authenticator greifen? Immerhin ist der sogar Open Source und man kann ziemlich sicher sein, dass keine Hintertür enthalten ist.
Und im Fall von Windows 10 ist der zweite Faktor sogar schon enthalten. Oder besser: Er enthält das System. Indem die Zugangsdaten an ein bestimmtes Gerät gebunden werden, werden ausgespähte Zugangsdaten für die Cyberkriminellen wertlos.
Wenn Sie also zum Beispiel für die Authentifizierung einer Webanwendung zuständig sind, verlassen Sie sich nicht mehr allein auf das Passwort, sondern sichern Sie den Zugriff durch einen zweiten Faktor ab.
Und hier noch die Links und Literaturverweise aus dem Artikel:
- [1] Carsten Eilers: "Passwörter speichern, aber richtig!"; PHP Magazin 6.2013
- [2] Carsten Eilers: "Onlinebanking: Cyberkriminelle reagieren auf Chip- und SMS-TAN"
- [3] Carsten Eilers: "Die smsTAN ist tot, der SMS-Dieb schon da!"
- [4] Carsten Eilers: "Angriffe auf mTAN, tibetische Aktivisten, Windows 8 und mehr"
- [5] erdgeist: "Chaos Computer Club konkretisiert Biometrie-Debatte an Schäubles Fingerabdruck"
- [6] Carsten Eilers: "Noch ein bekannter Advanced Persistent Threat: Der Angriff auf RSA"
- [7] Carsten Eilers: "Gezielter Angriff auf RSA mit unabsehbaren Folgen"
- [8] Carsten Eilers: "RSA und die unsicheren SecurID Token"
- [9] Google Authenticator
- [10] RFC 4226 - HOTP: An HMAC-Based One-Time Password Algorithm
- [11] RFC 6238 - TOTP: Time-Based One-Time Password Algorithm
- [12] Mary Branscombe; TechRadar: "Will Windows 10 mean the end of malware?"
- [13] J. Decker; Microsoft TechNet: "Microsoft Passport overview (Windows 10)"
- [14] Joe Belfiore; Windows Experience Blog: "Making Windows 10 More Personal and More Secure with Windows Hello"
- [15] Hari Samrat; Enterprise Mobility and Security Blog: "Microsoft Passport and Azure AD: Eliminating passwords one device at a time!"
- [16] FIDO Alliance - Specifications Overview
- [17] Carsten Eilers: "Windows 10: Sicherheit für Entwickler"; Windows Developer 12.15
Trackbacks