Skip to content

Authentifizierung: Ein Faktor reicht nicht (mehr)

Bisher kam man bei der Authentifizierung mit einem Faktor aus, der Eingabe eines Passworts. Wer Benutzernamen und zugehöriges Passwort kannte, war mit ziemlich hoher Wahrscheinlichkeit der entsprechende Benutzer. Inzwischen gibt es so viele Möglichkeiten, Zugangsdaten auszuspähen, dass diese Annahme nicht mehr zwingend richtig ist. Also muss der bisher verfolgte Ansatz verbessert werden. Meist, indem ein zweiter Faktor hinzu genommen wird. Aber bevor es darum geht, gibt es eine sehr allgemeine Einführung in die Authentifizierung.

Authentifizierungsmethoden

Bei der Authentifizierung geht es darum, zu Überprüfen, ob eine bestimmte Entität (meist ein Mensch, mitunter aber auch zum Beispiel ein Server) der ist, der er zu sein vorgibt. Im folgenden gehe ich davon aus, dass ein Benutzer authentifiziert werden soll.

Generell gibt es für die Authentifizierung drei mögliche Methoden: Man kann einen Benutzer dran erkennen

  • was er weiß, also im klassischen Fall seinen Benutzernamen und das zugehörige Passwort oder die PIN beim Onlinebanking,
  • was er hat, zum Beispiel ein Token zum Erzeugen von Einmal-Passwörtern oder eine Smartcard am Geldautomaten und
  • was er ist, zum Beispiel indem ein biometrisches Merkmal wie ein Fingerabdruck geprüft wird.

Alle Methoden haben Vor- und Nachteile:

Wissen

  • Vorteile
    • Flexibel, leicht zu implementieren
    • Der Benutzer kann das Wissen zumindest in gewissen Grenzen frei wählen
  • Nachteile
    • Das Wissen, also zum Beispiel das Passwort, kann vergessen werden
    • Das Wissen kann beliebig kopiert und weitergegeben werden
    • Das Wissen kann auf einem kompromittierten Rechner (zum Beispiel mittels Spyware) oder in einer unsicheren Umgebung (zum Beispiel mit einer Kamera am Geldautomaten) ausgespäht werden
    • Das Wissen, insbesondere das Passwort, kann unter Umständen erraten oder durch einen Brute-Force-Angriff ermittelt werden

Besitz

  • Vorteile
    • Manche Merkmale, zum Beispiel Smartcards, können sich selbst aktiv ändern und dadurch ggf. schützen (zum Beispiel indem die Anzahl der Fehlversuche bei einer PIN-Eingabe protokolliert und die Karte bei Erreichen eines Schwellwerts gesperrt wird)
    • Das Merkmal kann bei Bedarf ersetzt werden
    • Das Merkmal kann evtl. für die Speicherung von Daten verwendet werden
  • Nachteile
    • Das verwendete Merkmal, zum Beispiel ein Token zum Erzeugen von Einmal-Passwörtern, muss angeschafft und verwaltet werden, was beides mit Kosten verbunden ist
    • Der Benutzer muss das Merkmal mit sich führen, was mit zusätzlichem Aufwand verbunden ist
    • Das Merkmal kann gestohlen werden
    • Das Merkmal kann verloren gehen oder so beschädigt werden, dass es nicht mehr funktionsfähig ist
    • Das Merkmal muss ggf. ersetzt oder ausgetauscht werden, was wiederum mit zusätzlichem Aufwand und Kosten verbunden ist
    • Das Merkmal kann weitergegeben werden, teilweise ist auch das Anfertigen einer Kopie möglich (zum Beispiel beim Einsatz einer Magnetkarte)

Sein (Biometrie)

  • Vorteile
    • Das Merkmal ist Bestandteil des Benutzers, kann also nicht vergessen oder weiter gegeben. unter Umständen aber gestohlen werden (Stichwort "abgehackter Finger")
  • Nachteile
    • Das Merkmal muss erfasst, verwaltet und ggf. verteilt werden
    • Das Merkmal kann nur mit zusätzlichen Aufwand, zum Beispiel einen Fingerabdruck-Sensor, geprüft werden
    • Das Merkmal lässt sich im Allgemeinen nur mit einer bestimmten Wahrscheinlichkeit prüfen - es besteht die Gefahr von False Positives (Unbefugte Dritte werden als befugte Benutzer erkannt) oder False Negatives (Befugte Benutzer werden abgewiesen)
    • Das Merkmal kann sich im Laufe der Zeit ändern, was eine Neuerfassung erforderlich macht
    • Das Merkmal kann nicht ersetzt werden
    • Personengruppen, denen das Merkmal fehlt, sind von der Nutzung ausgeschlossen bzw. erfordern eine zusätzliche Authentifizierungsmöglichkeit
    • Datenschutzprobleme

Kombination von Methoden

Durch eine Kombination der Methoden können die Nachteile zumindest teilweise kompensiert werden. Dabei kommt es aber auf die richtige Wahl der Methoden an. Weit verbreitet ist die Kombination von zwei Methoden im Rahmen einer sogenannten Zwei-Faktor-Authentifizierung, üblicherweise in Form von Wissen und Besitz.

Das bekannteste Beispiel dürfte die Smartcard für die Nutzung von Geldautomaten sein: Der Benutzer identifiziert sich durch den Besitz der Smartcard und das Wissen der zugehörigen PIN. Die früher dafür üblichen Magnetkarten sind inzwischen unsicher, da sie im Rahmen des sog. Skimming ausgespäht werden können: Ein am Geldautomaten angebrachtes Lesegerät erfasst die Daten des Magnetstreifens, eine Kamera filmt die Eingabe der zugehörigen PIN. Die Kriminellen kopieren die Magnetstreifen-Daten auf einen Kartenrohling und können dann mit dieser gefälschten Karte und der ausgespähten PIN Geld abheben.

Durch den Einsatz einer Smartcard wird dieser Angriff zumindest theoretisch verhindert: Der Smartcard-Chip lässt sich nicht kopieren. Solange die Karten aber zusätzlich einen Magnetstreifen enthalten und es im Ausland Geldautomaten gibt, die nur den Magnetstreifen und nicht den Chip der Smartcard für die Authentifizierung verwenden, sind die Angriffe praktisch weiterhin erfolgreich. Erst wenn der Magnetstreifen nicht mehr zur Authentifizierung verwendet wird scheitern die Angriffe am nicht kopierbaren Chip. Angriffe auf Schwachstellen des Chip&PIN-Systems mal außen vor gelassen, darüber werde ich vielleicht in einem zukünftigen Text eingehen.

In der nächsten Folge geht es weiter um die Zwei-Faktor-Authentifizierung und mögliche Angriffe darauf. Den Anfang macht die Zwei-Faktor-Authentifizierung per SMS

Carsten Eilers


Übersicht über alle Artikel zum Thema

Authentifizierung: Sichere Passwörter
Authentifizierung: Passwortregeln, Teil 1
Authentifizierung: Passwortregeln, Teil 2
Authentifizierung: Ein Faktor reicht nicht (mehr)
Zwei-Faktor-Authentifizierung per SMS
Zwei-Faktor-Authentifizierung mit spezieller Hardware, Teil 1
Zwei-Faktor-Authentifizierung mit spezieller Hardware, Teil 2
Zwei-Faktor-Authentifizierung mit der Smartphone-App

Trackbacks

Dipl.-Inform. Carsten Eilers am : Kommentare zum iCloud-Angriff, Heartbleed-Angriffen und Angriffen über Werbung

Vorschau anzeigen
Heute gibt es mal wieder Kommentare zu neuen Entwicklungen bei altbekannten Problemen. Los geht es mit einem nicht besonders alten Problem, den aus der iCloud geklauten Promi-Nacktfotos: Die iCloud wurde nicht angegriffen, nur ihre Nutzer!

Dipl.-Inform. Carsten Eilers am : Drucksache: windows.developer Magazin 5.2015 - Windows 10 und die Sicherheit

Vorschau anzeigen
Im windows.developer 5.15 ist ein Artikel über die bisher bekannten Neuerungen rund um die Sicherheit von Windows 10 erschienen. Wie Windows 10 am Ende aussehen wird und welchen neuen Funktionen in der finalen Version vorhanden sind und

entwickler.de am : PingBack

Die Anzeige des Inhaltes dieses Trackbacks ist leider nicht möglich.

Dipl.-Inform. Carsten Eilers am : Die IoT Top 10, #2: Unsichere Authentifizierung/Autorisierung, Teil 18

Vorschau anzeigen
Weiter geht es mit der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP. Zur Zeit sind wir beim Punkt 2: "Insufficient Authentication/Authorization". Die ve

Dipl.-Inform. Carsten Eilers am : Die IoT Top 10, #6: Unsichere Cloud-Interfaces

Vorschau anzeigen
Bei der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP sind wir bei Punkt 6 angekommen: "Insecure Cloud Interface". Oder auf deutsch: Unsichere Cloud-Int

Dipl.-Inform. Carsten Eilers am : Die IoT Top 10, #7: Mobile Cloud-Interfaces

Vorschau anzeigen
Bei der Beschreibung der gefährlichsten Schwachstellen in den Geräten des IoT gemäß den Top IoT Vulnerabilities von OWASP sind wir bei Punkt 7 angekommen: "Insecure Mobile Interface". Oder auf deutsch: Unsichere Mobile-I