Zwei-Faktor-Authentifikation (2FA) hat sicher jeder schonmal gehört und viele nutzen dies auch beispielsweise bei der Anmeldung an einer Börse oder anderen Online-Diensten.
2FA lässt sich Prinzipiell durch mehrere Möglichkeiten realisieren.
Ziel ist es Zwei der folgenden Verfahren zu kombinieren:
- Authentifikation durch Wissen
- Authentifikation durch Besitztum
- Authentifikation durch biometrische Eigenschaften
Eine sehr verbreitete Variante ist die Nutzung des Smartphones in Kombination mit einem Einmalpasswort.
Hierbei wird der Faktor Wissen (Passwort) mit der des Besitztums (Smartphone) kombiniert.
In diesem Artikel möchte ich diese Funktionsweise erläutern.
Quelle
Was ist ein Einmalpasswort
Ein Einmalpasswort (OTP) ist ein - wie der name schon sagt - Passwort, welches man nur einmal benutzen kann. Meist wird dies als zweiter Faktor für die Anmeldung oder Durchführung weiterer Transaktionen genutzt.
Prinzipiell gibt es zwei verschiedene Arten:
Kennwortliste
Wer vor ein paar Jahren Online-Banking gemacht hat, kennt die Liste der TAN's. Bei einer Überweisung muss nun eine TAN mit einer bestimmten Nummer angegeben werden, um zu beweisen, dass man im Besitzt des zweiten Faktors (Tanliste) ist.
Passwortgeneratoren
Bei Passwortgeneratoren werden die entsprechenden Passwörter dynamisch generiert. Hierbei unterscheidet man zwischen:
- Challenge-Response gesteuerten Verfahren
- Ereignis gesteuerten Verfahren
- Zeit gesteuerten Verfahren
Auf die Challenge-Response Verfahren möchte ich in einem seperaten Artikel genauer eingehen.
In diesem Beitrag möchte ich mich auf die zeitgesteuerten Verfahren beschränken. Oftmals wird hierzu das so genannte TOTP Verfahren genutzt, auf welches ich im Folgenden näher eingehen möchte.
Was ist TOTP
Mit dem Time-based One-Time Password Algorithmus lässt sich ein meist 30 sekündiges Einmalpasswort erstellen.
Die Funktionsweise lässt sich wie folgt vereinfacht ausdrücken:
- Sender und Empfänger vereinbaren einen privaten Schlüssel
- Aus diesem Schlüssel + Uhrzeit wird ein Hash gebildet (Zur Synchronisation der Zeit wird das NTP-Protokoll genutzt, die Zeit auf Sekunden gekürtzt)
- Das Einmalkennwort berechnet sich durch den gekürzten Hash nach einer Modulo Operation
Je nach Art der Modulo Funktion entsteht ein 6- oder 8-stelliges Kennwort
Authy vs. Google Authenticator
Quelle
Der Authenticator von Google ist die wohl bekannteste mobile Applikation, die eine 2FA Authentifizierung mithilfe des TOTP ermöglicht. Eine weitere nicht ganz so verbreitete Anwendung ist Authy.
Google Authenticator kann nur auf einem Gerät installiert werden.
Im Falle des Verlustes des Gerätes muss beim Google Authenticator jeder Dienst erneut aufgesetzt werden.
Beim Einrichten der 2FA Methode wird für jeden Dienst ein spezifischer Wiederherstellungscode generiert, der auch gut gesichert werden sollte. Bei der Neuinstallation auf einem anderen Gerät muss nun jeder Dienst manuell mithilfe dieses Codes neu hinzugefügt werden.
Dies führt zu einem hohen Aufwand die jeweiligen Codes zu sichern (was sich unter Umständen negativ auf die Sicherheit auswirkt). Abhängig von der Menge der genutzten Dienste ist es zudem sehr aufwendig und zeitintensiv alles wiederherzustellen.
Authy dagegen ermöglicht es ein Backup zu erstellen, dieses zu verschlüsseln und in der Cloud abzulegen.
Beim Verlust eines Gerätes kann weiterhin von einem anderen Gerät zugegriffen werden (sofern man dies so eingestellt hat).
Wer also Authenticator bei vielen Diensten nutzt sollte sich Authy zumindest einmal angesehen haben.
Quellen und weiterführende Links
https://de.wikipedia.org/wiki/Time-based_One-time_Password_Algorithmus
https://authy.com/
https://authy.com/blog/how-the-authy-two-factor-backups-work/
Vielen Dank fürs Lesen !