Gesetzliche und betriebseigene Vorgaben  zwingen heute die Unternehmen zu mehr IT-Sicherheit. In den letzten Jahren haben die Angriffe auf die Unternehmensgateways durch Hacker-Aktivitäten dramatisch zugenommen.

Die 2-Faktor-Authentifizierung durch ein RSA Token ist dabei seit langem ein anerkanntes Verfahren bei RLA Anmeldung.  Aber auch Zertifikate auf Smartcards kommen schon seit geraumer Zeit zum Einsatz. Leider ist es Hackern jedoch im vergangenen Jahr bei beiden Systemen gelungen, die Sicherheitsmechanismen teilweise auszuhebeln. RSA hat auf Anfrage die Tokens ausgetauscht, die betroffene Root CA wurde von Netz genommen. Die ausgestellten Zertifikate waren somit wertlos.

Wann spricht man von einer 2-Faktor Authentifizierung?

Die 2-Faktor-Authentifizierungen bestehen immer aus zwei Faktoren aus den Bereichen „Wissen“, „Haben“ oder „Sein“.

• Passwort (Wissen) und OTP (Haben) oder
• Passwort (Wissen) und Fingerabdruck (Sein)

Es bleibt zu berücksichtigen, dass „Wissen“ gestohlen werden kann, ohne dass der Eigentümer davon etwas bemerkt (Passwort wird ausgespäht). Aber auch das „Haben“ kann ohne das Wissen des Benutzers missbraucht werden. So kann eine Grid-Karte einfach kopiert werden und der Eigentümer bemerkt es nicht. Ein verschwundenes Token oder Telefon wird in der Regel sehr schnell bemerkt.

Je verteilter nun die Kommunikationswege zwischen Empfang und Eingabe der  beiden Faktoren passiert, desto schwieriger gestaltet sich ein Angriff. Wird ein OTP zum Beispiel über Mail verschickt, ist ein Abfangen dieser Informationen einfacher, als wenn das OTP auf einem getrennten Kanal, z.B. als SMS verschickt wird.

Hard- und Soft-Token

Die bekanntesten, aber auch die ältesten Lösungen zur 2-Faktor-Authentifizierung sind Hardware-Token. Hier wird ein zusätzliches OTP am Token des Anwenders generiert und vom Authentifizierungs-Server validiert. Stimmen „Haben“ und „Wissen“ überein, so wird der Remote-Zugriff erlaubt.

Obwohl es einen Einbruch beim Token-Hersteller RSA gegeben hat, gelten die Token nach wie vor als sicher. Da Anwender jedoch ein zusätzliches Gerät mitführen müssen, sind diese jedoch eher unbeliebt. Es kommt dazu, dass sich die Verwaltung der Tokens aufwendig und teuer gestaltet.

Software-Token funktionieren ähnlich, sind aber im Bezug auf die Hardware variabler, da die Software zur Errechnung der Codes auf verschiedenen Devices installiert werden kann. Gleichzeitig ist das aber auch einer der großen Nachteile. Software Lösungen werden gegenüber Hardware-Token  als unsicherer angesehen.

SMS Lösungen

Im Gegensatz zu Token-Lösungen werden SMS-Lösungen immer wichtiger. Dabei wird das OTP als SMS auf das Handy geschickt. Die Vorteile hierbei sind, dass der Versand des OTP über das Mobilfunknetz und damit einem separierten Kanal erfolgt, Anwender im Normalfall Mobiltelefone als Standard-Arbeitsmittel nutzen, deren Vorteile also kennen und keine weitere Hardware benötigt wird. Die Relevanz und dadurch die Sorgfalt im Umgang mit Mobiltelefonen ist größer als bei Hardware, die nur der Authentifizierung dient. Da das Handy nur als SMS-Empfänger dient, ist von Seiten der IT keinerlei Verwaltung dieser Geräte notwendig.

Die Sorge, dass eine OTP-SMS nicht ankommt, ist meist unbegründet, da das SMS-Verfahren standardisiert ist. International tätige Unternehmen stehen lediglich in Teilen Asiens oder in Nordamerika vor der Herausforderung, dort auf andere Möglichkeiten als auf den SMS-Versand zu setzen, da manche Länder auf andere Standards setzen. Der Hersteller von SMS PASSCODE bietet dafür Alternativen zum OTP-Versand an.

Biometrie

Absolut eindeutige Faktoren sind biometrische Eigenschaften, wie zum Beispiel der persönliche Fingerabdruck oder die Iris. Da es sich bei biometrischen Eigenschaften um eindeutige persönliche Merkmale handelt, ist die Biometrie als 2-Faktor-Authentifizierung umstritten. Schließlich lassen sich biometrische Charakteristika nicht wie Passwörter einfach auswechseln, wenn sie kompromittiert wurden.

Zudem ist die Nutzung der Biometrie zur Authentifizierung auf Geräte beschränkt, wo Scanner integriert sind bzw. angeschlossen werden können. In einem Internetcafe oder Hotel ist dies meist ausgeschlossen.

Zertifikate

In zertifikatsbasierten Systemen erhält jeder Benutzer ein digitales Zertifikat, welches Angaben zu seiner Identität und dem öffentlichen Schlüssel enthält. Zertifikate bestehen aus einem Schlüsselpaar mit je einem privaten, geheimen und einem öffentlichen, nicht geheimen Schlüssel. Jedes Zertifikat ist von einer ausgebenden Stelle beglaubigt. Die Sicherheit wird durch kryptografische Verfahren sichergestellt und durch unabhängige Institutionen kontrolliert.

Im 2-Faktor-Verfahren bei  Remote-Zugriffen überprüft der Server zusätzlich zu den Login-Daten, ob er dem Zertifikat trauen kann. Die Anschaffung und der Betrieb von Zertifikaten sind mit hohen Kosten verbunden und stellt viele IT-Mannschaften vor eine nicht selbst lösbare Aufgabe.

Fazit

Dass eine 2-Faktor-Authentifizierung beim Zugriff auf Firmendaten heute unabdingbar ist, steht sicherlich außer Frage, da ein Diebstahl von Zugangsdaten nur zu leicht ist. Ebenso wichtig wie das Vorhandensein eines zweiten Faktors ist das Erkennen des Verlustes des zweiten Faktors um die entstandene Sicherheitslücke umgehend schließen zu können. Die Auswahl der richtigen Methode muss jedoch auf die Unternehmensstruktur und den jeweiligen Anwendungsfall abgestimmt sein.