Zwei-Faktor-Authentisierung

Inhaltsverzeichnis

• Zwei-Faktor-Authentisierung
• Anwendung
• Komponenten
• Mittelbare Zwei-Faktor-Authentisierung
• Universelle Zwei-Faktor-Authentisierung

Bei der Zwei-Faktor-Authentisierung (2FA) – auch bekannt als Zwei-Faktor-Authentifizierung – handelt es sich um ein Verfahren zur Anmeldung, bei dem eine Person ihre Identität anhand zweier unterschiedlicher und unabhängiger voneinander Merkmale verifiziert. Die Kombination aus Bankkarte und PIN am Geldautomaten, der Fingerabdruck mit dem Zugangscode für Gebäudehttps://de.wikipedia.org/wiki/Zutrittssteuerung oder die Passphrase mit der Transaktionsnummer (TAN)https://de.wikipedia.org/wiki/Transaktionsnummer beim Online-Banking sind typische Beispiele dafür. Bei der Zwei-Faktor-Authentisierung handelt es sich um eine spezielle Art der Mehr-Faktor-Authentisierung.

Anwendung

Im Geschäftsverkehr empfiehlt das Bundesamt für Sicherheit in der Informationstechnik: Die relevanten Teile des IT-Grundschutz-Kompendiumshttps://de.wikipedia.org/wiki/IT-Grundschutz-Kompendium für normalen Schutzbedarf setzen eine Zwei-Faktor-Authentifizierung für Apple-ID-Konten, die Nutzung der iCloud-Infrastruktur und die Absicherung der Adminzugänge voraus. Bei hohem Schutzbedarf sollten Organisationen eine Multi-Faktor-Authentifizierung überall verwenden.

Stiftung Warentest empfiehlt Verbrauchern, Die Zwei-Faktor-Authentisierung in so vielen Bereichen wie möglich anzuwenden, aus dem Grunde, das Benutzer oft schlechte oder zu schwache Passwörter erstellen. Ebenso ein Problem ist das Benutzer oft für mehrere Konten das gleiche Passwort haben. Die schlechte Passwortsicherheit soll also durch Zwei-Faktor-Authentisierung ausgeglichen werden.

Seit 2018 ist beim Online-Banking die Zwei-Faktor-Authentisierung durch die EU-Zahlungsdienstrichtlinie verpflichtend. Auch andere Webplattformen wie Amazon, Google und mail.de bieten Nutzern die Sicherung ihres Kontos mit der Zwei-Faktor-Authentisierung an.

Komponenten

Für die erfolgreiche Durchführung der Zwei-Faktoren-Authentifizierung müssen zwei vordefinierte Authentifizierungsmittel aus verschiedenen Kategorien (Eigenschaft, Wissen, Besitz) bei der Prüfung kombiniert verwendet werden. Jedes Authentifizierungsmittel muss das Authentifizierungsprotokoll erfolgreich durchlaufen. Ist ein Faktor nicht vorhanden oder wird ein Faktor inkorrekt genutzt, kann die Authentizität nicht eindeutig bestimmt werden und der Zugang zum System wird verweigert.

Die Einflussgrößen können sein:

• Geheimnisshütender Gegenstand (Besitz), wie etwa ein Sicherheits-Token, eine Bankkarte, eine App zur Generierung von Einmalkennwörtern oder ein physischer Schlüssel
• Geheimes Wissen, wie etwa ein Passwort, ein Einmalkennwort, eine PIN oder eine Transaktionsnummer (TAN).
• biometrische Merkmale (Inhärenz), wie zum Beispiel ein Fingerabdruck, das Muster der Regenbogenhaut (Iris-Erkennung), die menschliche Stimme oder das Gangmuster.

Mittelbare Zwei-Faktor-Authentisierung

Wenn der Nutzer sich anmelden möchte, muss ein Sicherheits-Token als geheimnishütendes Gegenstand immer vorhanden sein. Der Zugriff ist unmöglich bzw. es entsteht ein hoher Aufwand, wenn der Gegenstand gestohlen, verloren oder vom Benutzer einfach nicht dabei ist. Darüber hinaus entstehen auch Ausgaben für die Erstbeschaffung und gegebenenfalls für Ersatzbeschaffungen. Um diese Gefahren zu vermeiden, wurde eine alternative Methode namens mittelbare Zwei-Faktor-Authentisierung entwickelt. Diese verwendet Mobilgeräte wie Mobiltelefone und Smartphones als geheimnishütende Gegenstände, also „etwas, was der Nutzer besitzt“ (aber auch verlieren kann). Es ist nicht nötig, ein zusätzliches Token anzuschaffen und zu beschützen, da das Mobilgerät heutzutage bei vielen Menschen ein ständiger Begleiter ist.

Der Benutzer muss in der Regel eine Passphrase und ein einmalig gültiges, dynamisch generiertes Einmalkennwort eingeben, um sich zu authentisieren. Mit der entsprechenden Zwei-Faktor-Authentisierungs-App kann er diesen Code per SMS oder E-Mail auf sein Mobilgerät senden oder (besser) das Einmalkennwort auf dem Mobilgerät generieren lassen.

Eine Ziffernfolge wird vom Benutzer automatisch gelöscht, und das System schickt dem Mobilgerät einen neuen Code. Wenn der neue Code nicht innerhalb eines vorgegebenen Zeitraums eingetragen wird, wird er vom System automatisch ersetzt. Auf diese Art und Weise bleiben auf der mobilen Komponente keine bereits verwendeten Codes erhalten. Um die Sicherheit zu erhöhen, kann bestimmt werden, wie viele falsche Anmeldungen toleriert werden, bevor das System den Zugriff blockiert.

Der Prozess wird als halbautomatisiert betrachtet, wenn der sich authentisierende Benutzer keine manuelle Dateneingabe mehr benötigt. Das ist durch die Verwendung der NFC-Methode möglich. Dafür wird ein Mobilgerät benutzt, das zuvor personalisiert wurde.

Erst wenn der authentisierende Benutzer überhaupt keine Handhabung mehr benötigt, wird der Prozess als vollautomatisiert betrachtet. Dies wurde erreicht, indem Piconetze (Bluetooth) als internationaler Industriestandard eingesetzt wurden. Dafür wird ein Mobilgerät, das zuvor personalisiert wurde, verwendet.

Universelle Zwei-Faktor-Authentisierung

Am 9. Dezember 2014 hat die FIDO-Allianz die erste Version des lizenzfreien und universellen Standards U2F für die Zwei-Faktor-Authentisierung veröffentlicht. Dieser unterstützt verschiedene Methoden und Geräte. Der Standard 2.0 der FIDO-Allianz für die Authentifizierung im Internet wird vom Betriebssystem Windows 10 unterstützt, wie Microsoft im Februar 2015 angekündigt hat.