ANZEIGE
key2it.de   Der Schlüssel zur Informationstechnik
 Start

Grundlagen: Authentifizierung

Grundlagen: Authentifizierung basiert auf dem EDV-Info-Artikel "Grundlagen: Authentifizierung (v1)" aus dem Jahr 1998.

Dieser Artikel soll einen grundsätzlichen Überblick über Authentifizierung bieten. Er ist hierbei als möglicher Einstieg in das Thema gedacht bzw. als Grundlageninformation.

Copyright 1995, 1998 Nils F. Lohse


Was ist Authentifizierung?

Authentifizierungsverfahren dienen zur Identifikation des Benutzers (zum Beispiel eines Computersystems). Eine Reihe unterschiedlicher Methoden und Verfahren können einzeln und oder gemeinsam eingesetzt werden. Allgemein wird eine Zugangskontrolle von irgendjemanden (oder irgendetwas) zu irgendetwas angestrebt, die möglichst nicht zu umgehen ist.


Wissenbasierte Verfahren

Wissenbasierte Verfahren (Kennwort- oder Passwortverfahren) arbeiten nach dem Prinzip der Geheimnisteilung. Jeder Benutzer erhält als Zugriffsberechtigung zu einem System sein persönliches Passwort, das nur ihm und der jeweiligen Systemkomponente bekannt sein darf.
Vorteil des Passwortverfahrens sind die geringen Kosten, da keine zusätzliche Hardware (wie etwa ein Chipkartenleser oder ähnliches) benötigt wird. In vielen Systemen sind bereits Kennwortverfahren hard- oder softwaremässig integriert, zum Beispiel in Unix.
Der Verwaltungsaufwand kann zum Beispiel durch einen automatischen Wechsel der Passwörter oder durch Benutzersperrung gering gehalten werden. Soetwas ist standardmässig in vielen Netzwerkbetriebssystemen vorgesehen, zum Beispiel in Novell Netware.
Die Sicherheit des Verfahrens hängt sehr stark vom einzelnen Anwender ab. Kennwörter können leicht weitergegeben und durch technische Verfahren oder einfaches Zuschauen identifiziert werden. ("Tödlicher" Fehler: Das Notieren des Passworts oder der Kennnummer, am "besten" am Computermonitor oder auf der EC-Karte). Zusätzliche Risiken stecken in der Wahl des Passworts. Es besteht ein immanenter Konflikt zwischen Benutzerakzeptanz und der Wahl geeigneter (komplexer, wechselnder) Passwörter. Passwortverfahren bieten im Kontext anderer Maßnahmen einen Sicherheitsgewinn.
Das beste Passwort ist eine recht lange Folge von alphanumerischen Zeichen und Sonderzeichen, die keinen tieferen Sinn ergeben. Das Merken solcher Passwörter durch das menschliche Gehirn ist aber kaum möglich und daher werden in der Praxis oft Daten oder Namen aus dem unmittelbaren Bereich des Benutzers verwendet. Diese sind aber wiederum leicht zu "raten".


Besitzbasierte Verfahren

Besitzbasierte Verfahren bestehen in der Regel aus Kombination von Besitz (Schlüssel, Magnet-, Chipkarte, holographisches Medium etc.) und einem Passwort. Ein Beispiel für diese Kombination ist die EC-Automatenkarte.
Eine Prozessorchipkarte liefert einen relativ hohen Zugewinn an Sicherheit. Vorteil der besitzbasierten Verfahren ist die grosse Sicherheit, da Hardware- und Softwarelösungen nicht ohne weiteres nachgeahmt oder verfälscht werden koennen. Die Akzeptanz beim Anwender ist relativ hoch. Nachteilig sind Geräte- und Materialkosten (Lesegeräte, Karten etc.) sowie der Verwaltungsaufwand durch das Ausstellen, Personifizieren, Ausgeben und Sperren der Schlüsselmedien. Ferner ist das Preis-Leistungs-Verhältnis bei Hardware oft schlechter als bei Software. Außerdem belegt die Hardware Steckplätze und Interrupts (Bsp. PC-Technik).


Biometrische Verfahren

Für eigenschaftsbezogene Verfahren (biometrische Verfahren) gibt es mittlerweile viele Techniken und Geräte, die individuelle Merkmale (eines Menschen) bestimmen wie Fingerabdrücke, Handgeometrie, Retinamuster (Augenhintergrund) oder Sprache.
Die Sicherheit solcher Verfahren ist im Vergleich zu anderen sehr hoch. Der Verlust von Passwörtern (Vergessen) und Chipkarten ist ausgeschlossen. Der Verwaltungsaufwand ist - abhängig vom Verfahren - relativ gering. Nachteilig wirken sich die sehr hohen Kosten und die teilweise fehlende technische Reife aus. Die Benutzerakzeptanz variiert, zum Teil werden Fehlfunktionen oder körperliche Schädigungen (etwa bei der Messung des Augenhintergrunds) befürchtet. Die Kontrolle persönlicher Merkmale wird von manchen Menschen als unangenehm empfunden, besonders da Referenzmuster erfasst und auf dem System hinterlegt werden müssen.


Zero-Knowledge-Protokolle

Unter Zero-Knowledge-Protokollen versteht man Authentifizerungsverfahren, die es ermöglichen, daß der Benutzer (derjenige, der Zugang zu irgendetwas haben will) den Authentifikator (derjenige, der verifiziert, daß dem Benutzer der Zugang gestattet ist) davon überzeugt, daß er (der Benutzer) ein gewisses Geheimnis (den Zugangscode) besitzt, ohne dem Authentifikator auch nur das Geringste über das Geheimnis zu verraten.
Ein Beispiel für einen Zero-Knowledge-Algorithmus ist das Fiat-Shamir-Protokoll, welches die israelischen Mathematiker Adi Shamir und Amos Fiat 1986 vorstellten. Es handelt sich hierbei um ein Protokoll zur Rechner-Rechner-Authentifikation, wobei einer der Rechner die Chipkarte eines Benutzers sein kann.


Quellen:
- - Nils F. Lohse: Authentifizierung, Ein Ueberblick, FH Hamburg 1995
- - Albrecht Beutelspacher: Kryptologie, vieweg-Verlag, 1994
- - Sicherheit im Netz, PC Professionell, Ziff Verlag, Ausgabe Mai 1995

Querverweise:
- - Nils Lohse: Grundlagen: Kryptologie, EDVInfo, 1998
- - Yorck Schneider-Kuehnle: Pegasus Mail: Integration von PGP, EDVInfo, 1997
- - Yorck Schneider-Kuehnle: PGP: Schluesselgenerierung, EDVInfo, 1997

-----BEGIN PGP SIGNATURE-----
Version: 2.6.3i
Charset: noconv

iQEVAwUBNOg0e1QH+Oh2/z4VAQGaEgf+KEgWW+eAFXZyyR0lyy4UrEavq8Uufbxr
9z0CbTmbmv4KS3u/8CSJu58zjh2OlopmB8aVyzhfKpmfPTn/qOO1q+IsZ2IrlHTI
C59Rdqlx8UiEzv2RM6K04V4wA5szwp8esdvDrC4d1H9XluEcDDkyqBywGwyanVZ1
zAjJGyo+AeZBHZGGy2o4oR19CUQfsKqaX2yZsWiQUhs79GrCGfM+xxi11MJMylSp
X8k6mywxhkVkt/PjWWhVZhzr6SVaEwZq5gxMiale0sJdxt6kWmB9OtRoqhQl1Emc
DFg4Ev2jlsFm2gsgNR3m45+XW8VDWaS0eaXpeJWSyHBmqkMPb/qWlQ==
=mwiG
-----END PGP SIGNATURE-----

Nils F. Lohse, 1998, Mo. 16.02.1998 13:47, aktualisiert Di. 08.08.2017 11:27

Kontakt | Impressum | © 2017 NFL / Opetus Software GmbH

Die Benutzung von Informationen und Hinweisen aus Artikeln, Meldungen u.a. dieser Website erfolgt auf eigene Gefahr! Die Autoren haften nicht für irgendwelche Schäden, die durch die Nutzung dieser Informationen, ob direkt oder indirekt, resultieren.

pmail32.de · mercury32.de · key2it.de · edv-nachrichten.de