Methoden der 2-Faktor-Authentifizierung Token, Zertifikat, Fingerabdruck oder SMS als wirksamer Zugangsschutz

Sicherer Zugangsschutz zum Firmennetzwerk und zu Business-Anwendungen ist in Zeiten von Remote-Access und zunehmenden Hacker-Angriffen immer wichtiger. Die Sicherheits- und Datenschutzanforderungen steigen stetig, die Budgets leider nicht. IT-Verantwortliche müssen effiziente und sichere Authentifizierungsmethoden nutzen um alle Anforderungen erfüllen zu können. Wir stellen die wichtigsten Methoden zur 2-Faktor-Authentifizierung vor.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

ProSoft GmbH

Fast jede Woche liest man von gehackten Firmennetzwerken und veröffentlichten Listen mit Benutzernamen und Passworten. Trotzdem verlangen immer mehr Mitarbeiter einfachen Remote Access auf das Netzwerk des eigenen Unternehmens von Unterwegs oder aus dem Homeoffice. Die Sicherung des Zugangs zum Netz und zu den Businessapplikationen ist also von immer größerer Bedeutung für den IT-Verantwortlichen.

Die 2-Faktor-Authentifizierung ist mittlerweile der anerkannte Lösungsansatz für mehr Sicherheit bei Remote-Access-Anmeldungen. Für diesen Ansatz gibt es unterschiedliche Methoden. Diese bestehen, wie der Name schon sagt, immer aus zwei verschiedenen Faktoren. Die Bereiche können sich so aus „Sein“, „Haben“ oder „Wissen“ zusammensetzen. Der erste Faktor ist eigentlich immer das Passwort („Wissen“). Um sich erfolgreich zu authentifizieren fehlt also nur noch das „Haben“ oder „Sein“. Das „Haben“ könnte beispielsweise ein One Time-Password (OTP) sein, das „Sein“ eine biometrische Eigenschaft.

Methode 1: Der OTP-Token

Zuerst kann man bei Token zwischen Hardware- und Software-Token unterscheiden. Hardware-Token werden mit einem zusätzlichen OTP am Token des Anwenders generiert und vom Authentifizierungs-Server validiert. Stimmen das Anwender-Password („Haben“) und das OTP („Wissen“) überein, wird der Remote-Zugriff erlaubt.

Das OTP kann entweder, wie bei den sog. Push-Button-Token (vergleichbar mit einer TAN-Liste) nacheinander auf Knopfdruck, oder wie bei RSA-Token für eine bestimmte Gültigkeitszeit auf dem Gerätedisplay angezeigt werden. Der zweite Weg ist hier zu empfehlen, da die zeitliche Synchronisierung der RSA-Token komplexer und dadurch gegen Angriffe besser geschützt ist.

Hervorzuheben ist in dem Zusammenhang, dass der zweite Faktor in beiden Varianten bereits vor dem Login vorhanden ist (pre-issued Code). Das kann zu zusätzlichen Sicherheitsrisiken führen. Weiterhin ist zu beachten, dass die Verwaltung und die Verteilung der Token aufwändig und teuer ist.

Bei Software-Token ist das Verfahren ähnlich wie bei Hardware-Token. Allerdings sind sie variabler, da die Software zur Errechnung des Codes auf verschiedenen Devices wie Smartphones installiert werden kann. Dies ist zugleich aber auch ein großer Nachteil, da auf den vorhandenen Devices eine Software installiert und unterstützt werden muss. Die Software-Lösungen werden allerdings (im Gegensatz zu Hardware-Ansätzen) als unsicherer angesehen, da sie auch durch Malware angreifbar sind.

Inhalt:

• Seite 1: OTP-Token
• Seite 2: Biometrie und Zertifikate
• Seite 3: Token per SMS

Methode 2: Biometrie

Biometrische Eigenschaften, wie zum Beispiel der persönliche Fingerabdruck, die Netzhaut und Iris, das Venenmuster in der Handfläche, die Stimme oder auch das Tippverhalten sind eindeutig einer Person zuordenbare Faktoren. In diesem Fall spricht man vom Faktor „Sein“. Anfangs gab es viele Falschakzeptanzen (False Positive), doch mittlerweile wurde die Qualität der Scanner-Harware wesentlich verbessert. Ein negativer Punkt ist hingegen, dass die Erkennung von Faksimile, also von Kopien persönlicher Merkmale, schwierig ist und nur in hochwertigen Lösungen umgesetzt wird.

Da es sich bei biometrischen Eigenschaften um eindeutige, persönliche Merkmale handelt, ist die Biometrie als 2-Faktor-Authentifizierung umstritten. Schließlich lassen sich biometrische Charakteristika nicht wie Passwörter einfach austauschen. Problematisch ist allerdings, dass gestohlene und dann veröffentlichte biometrische Daten für die Betroffenen zum Problem werden können. Deshalb sollten Unternehmen bei der biometrische 2-Faktor-Authentifizierungen immer hinterfragen, welche Daten wie gescannt und gespeichert werden, ob der Datentransfer verschlüsselt und die Speicherung der biometrischen Daten besonders geschützt ist und ob sich persönliche Merkmale aus der Datenspeicherung rekonstruieren und missbräuchlich verwenden lassen.

Mitunter sind erhebliche Kriterien zu erfüllen, bis Betriebsräte überzeugt und gesetzliche Bestimmungen zur Speicherung persönlicher Merkmale erfüllt werden. Oft eignen sich auch die erforderlichen Datenmengen zur Übertragung des zweiten Faktors kaum für den mobilen Zugriff auf Unternehmensseiten. Es kann also festgehalten werden, dass obwohl biometrische Daten einen eindeutigen zweiten Faktor darstellen, die Integration nur unter Einhaltung hoher Datenschutzanforderungen legitim ist.

Methode 3: SmartCards und digitale Zertifikate

In zertifikatsbasierten Systemen erhält jeder Benutzer ein digitales Zertifikat. Dieses enthält Angaben zu seiner Identität und dem öffentlichen Schlüssel. Zertifikate bestehen immer aus einem Schlüsselpaar. Der erste Schlüssel ist privat und geheim, der zweite öffentlich. Jedes Zertifikat wird zudem von einer ausgebenden Stelle beglaubigt. Die Sicherheit bei dieser Methode ist auf ein kryptografisches Verfahren aufgebaut und wird durch unabhängige Institutionen kontrolliert. Software-Zertifikate dagegen sind kopierbar und damit nicht sicherer als statische Passwörter.

Bei Remote-Zugriffen überprüft der Server zusätzlich zu den Login-Daten, ob er dem Zertifikat trauen kann. Dafür wird das empfangene Zertifikat mit einer Liste der bekannten Zertifikate verglichen. Wird es verifiziert, wird die Anmeldung erlaubt.

Die Speicherung von Zertifikaten ist auf unterschiedlichen Devices wie SmartCards oder USB-Sticks möglich. Ein großer Nachteil ist vor allem, dass die Anschaffung und der Betrieb von Zertifikaten in großen Umgebungen mit hohen Kosten verbunden sind und die Umsetzung der Public-Key-Infrastruktur (PKI) sehr komplex ist.

Inhalt:

• Seite 1: OTP-Token
• Seite 2: Biometrie und Zertifikate
• Seite 3: Token per SMS

Methode 4: SMS-Verfahren

Im Gegensatz zu der bereits beschriebenen Token-Methode werden SMS-Lösungen, die Mobiltelefone als reinen Empfänger nutzen, immer interessanter, da sie bequem, einfach zu implementieren und günstig sind. Das OTP wird bei dieser Methode als SMS-Nachricht auf das Mobiltelefon des Nutzers geschickt. Der Vorteil ist, dass der Versand des OTP über das Mobilfunknetz und damit einen separierten Kanal erfolgt. Zudem sind Mobiltelefone in der Regel bei den Mitarbeitern bereits vorhanden. Auch der Umgang mit Mobiltelefonen ist oftmals sorgfältiger als bei Hardware, die nur der Authentifizierung dient. Zudem muss die IT-Abteilung die Geräte nicht verwalten, da das Telefon ja nur für das Empfangen von SMS genutzt wird.

Ein Beispiel für solch ein SMS-Verfahren ist das Tool SMS PASSCODE. Hier wird das OTP erst nach erfolgreicher Validierung durch Benutzername und Passwort gegenüber dem Anwenderverzeichnis in Echtzeit nach FIPS-Standard generiert und an die in der Datenbank hinterlegte Mobiltelefonnummer per Flash-SMS versandt. Dies steigert die Sicherheit. Da das OTP nur für die initialisierende Sitzung mit seiner eindeutigen ID gültig ist, ist Phishing zwecklos und das OTP beim nächsten Mal nicht mehr zu gebrauchen.

Ein weiterer Vorteil ist, dass der Code weder vorab vorhanden (pre-issued) ist, noch dass in die OTP-Generierung eingegriffen werden kann, denn dieser Vorgang läuft innerhalb des Unternehmensnetzwerks ab. Die Sorge, dass eine OTP-SMS nicht ankommt, ist unbegründet, denn die meisten SMS-Verfahren sind standardisiert. International tätige Unternehmen stehen lediglich in Teilen Asiens oder in Nordamerika vor der Herausforderung, dort auf andere Möglichkeiten als auf den SMS-Versand zu setzen, da manche Länder andere Standards haben.

Fazit

Eine 2-Faktor-Authentifizierung ist beim Zugriff auf sensible Daten über das Internet oder andere, nicht gesicherte Netze unverzichtbar. Es sollte bei den Unternehmen eine Entscheidung über die richtige Methode getroffen werden.

Da Login-Daten auf dem Faktor „Wissen“ basieren, können sie unbemerkt auch von anderen missbräuchlich genutzt werden. Der zweite Faktor vervielfacht daher die Zugangssicherheit durch die Abfrage eines zusätzlichen „Haben“ oder „Sein“.

Während ein Verlust des Faktors „Haben“ (z.B. PKI, Mobiltelefon) schnell erkannt und gemeldet wird, kann ein Verlust des Faktors „Sein“ schwerwiegende Folgen für den Betroffenen haben, schließlich lassen sich biometrische Daten nicht austauschen. Daher bietet sich vor allem eine Lösung mit dem Zweitfaktor „Haben“ an. Aufgrund des Sicherheitsproblems bei einem Token-Hersteller sollte hier aber zumindest über Alternativen nachgedacht werden.

Fest steht am Ende, dass die Auswahl der richtigen Methode immer auf die Unternehmensstruktur und den jeweiligen Anwendungsfall abgestimmt sein muss. Je verteilter zusätzlich der Empfang und die Eingabe der beiden Faktoren sind desto besser, da so Angriffe erschwert werden.

Inhalt:

• Seite 1: OTP-Token
• Seite 2: Biometrie und Zertifikate
• Seite 3: Token per SMS

(ID:2052583)