Token, Zertifikat, Fingerabdruck oder SMS als wirksamer Zugangsschutz

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

ProSoft GmbH

Methode 4: SMS-Verfahren

Im Gegensatz zu der bereits beschriebenen Token-Methode werden SMS-Lösungen, die Mobiltelefone als reinen Empfänger nutzen, immer interessanter, da sie bequem, einfach zu implementieren und günstig sind. Das OTP wird bei dieser Methode als SMS-Nachricht auf das Mobiltelefon des Nutzers geschickt. Der Vorteil ist, dass der Versand des OTP über das Mobilfunknetz und damit einen separierten Kanal erfolgt. Zudem sind Mobiltelefone in der Regel bei den Mitarbeitern bereits vorhanden. Auch der Umgang mit Mobiltelefonen ist oftmals sorgfältiger als bei Hardware, die nur der Authentifizierung dient. Zudem muss die IT-Abteilung die Geräte nicht verwalten, da das Telefon ja nur für das Empfangen von SMS genutzt wird.

Ein Beispiel für solch ein SMS-Verfahren ist das Tool SMS PASSCODE. Hier wird das OTP erst nach erfolgreicher Validierung durch Benutzername und Passwort gegenüber dem Anwenderverzeichnis in Echtzeit nach FIPS-Standard generiert und an die in der Datenbank hinterlegte Mobiltelefonnummer per Flash-SMS versandt. Dies steigert die Sicherheit. Da das OTP nur für die initialisierende Sitzung mit seiner eindeutigen ID gültig ist, ist Phishing zwecklos und das OTP beim nächsten Mal nicht mehr zu gebrauchen.

Ein weiterer Vorteil ist, dass der Code weder vorab vorhanden (pre-issued) ist, noch dass in die OTP-Generierung eingegriffen werden kann, denn dieser Vorgang läuft innerhalb des Unternehmensnetzwerks ab. Die Sorge, dass eine OTP-SMS nicht ankommt, ist unbegründet, denn die meisten SMS-Verfahren sind standardisiert. International tätige Unternehmen stehen lediglich in Teilen Asiens oder in Nordamerika vor der Herausforderung, dort auf andere Möglichkeiten als auf den SMS-Versand zu setzen, da manche Länder andere Standards haben.

Fazit

Eine 2-Faktor-Authentifizierung ist beim Zugriff auf sensible Daten über das Internet oder andere, nicht gesicherte Netze unverzichtbar. Es sollte bei den Unternehmen eine Entscheidung über die richtige Methode getroffen werden.

Da Login-Daten auf dem Faktor „Wissen“ basieren, können sie unbemerkt auch von anderen missbräuchlich genutzt werden. Der zweite Faktor vervielfacht daher die Zugangssicherheit durch die Abfrage eines zusätzlichen „Haben“ oder „Sein“.

Während ein Verlust des Faktors „Haben“ (z.B. PKI, Mobiltelefon) schnell erkannt und gemeldet wird, kann ein Verlust des Faktors „Sein“ schwerwiegende Folgen für den Betroffenen haben, schließlich lassen sich biometrische Daten nicht austauschen. Daher bietet sich vor allem eine Lösung mit dem Zweitfaktor „Haben“ an. Aufgrund des Sicherheitsproblems bei einem Token-Hersteller sollte hier aber zumindest über Alternativen nachgedacht werden.

Fest steht am Ende, dass die Auswahl der richtigen Methode immer auf die Unternehmensstruktur und den jeweiligen Anwendungsfall abgestimmt sein muss. Je verteilter zusätzlich der Empfang und die Eingabe der beiden Faktoren sind desto besser, da so Angriffe erschwert werden.

Inhalt:

• Seite 1: OTP-Token
• Seite 2: Biometrie und Zertifikate
• Seite 3: Token per SMS

(ID:2052583)