Sichere Authentifizierung im Internet – Mit der SmartCard durch den Passwort-Jungel - Prof. Dr. Norbert Pohlmann

M. Hertlein, N. Pohlmann:,
“Sichere Authentifizierung im Internet – Mit der SmartCard durch den Passwort-Jungel”,
IT-Sicherheit – Management und Praxis, DATAKONTEXT-Fachverlag,
4/2010

Persönliche Daten im Internet sind zu einem Handelsgut der virtuellen Welt geworden und nehmen einen immer höheren Stellenwert in unserer Gesellschaft ein. Die Flut an persönlichen Daten ergibt sich aus der Nutzung vieler, verschiedener Internet-Dienste. Aus der Masse der persönlichen Daten entsteht die Möglichkeit von Profilbildung und Tracking einzelner Personen. Daher gilt es, die persönlichen Daten vor unauthorisiertem Zugriff zu schützen. Besondere Herausforderungen für diese Aufgabe sind unter anderem keine gemeinsame Infrastruktur für die Identifikation/Authentikation der Nutzer der Internet-Dienst-Anbieter, das Fehlen von Landesgrenzen im Internet, unterschiedliche Rechtsräume und -auffassungen sowie ein eingeschränktes Unrechtsbewusstsein der Internet-Nutzer in der virtuellen Welt.

Der Passwortmechanismus ist zurzeit das meistverwendete Verfahren zur Verifikation der digitalen Identität, von Nutzern bei Internet-Diensten. Grundsätzlich bringt der Einsatz eines Passwortmechanismus zahlreiche Sicherheitsprobleme mit sich. Mit der steigenden Anzahl von genutzten Internet-Diensten wird die Sammlung von Passwörtern des Nutzers immer größer. Probleme, die hier in der Breite auftreten, sind die Verwendung von qualitativ schlechten Passwörtern, die Verwendung eines guten Passworts für unterschiedliche Dienste oder die Übertragung von Passwörtern im Klartext in http-Sessions oder in E-Mails. Häufig vorkommende Angriffsmethoden auf den Passwortmechanismus sind Trojanische Pferde mit Key-Logger-Funktionen auf den Zugangs-Computern (PC, Notebook, SmartPhone, Internet-Café-Rechner, …), Phishing-Webseiten und/oder Social Engeneering [1].

SmartCard als Schlüssel zum Internet
Seit Jahren ist die SmartCard ein bewährtes elektronisches Sicherheitsmedium im Banken- und Kreditkarten-Umfeld. Jedoch ist auffällig, dass die SmartCard nur in wenigen Einsatzbereichen zur Verifikation eines Nutzers verwendet wird. Eine SmartCard ist eine Plastikkarte in der genormten Größe einer EC-Karte (86 x 54 x 0,76 mm), in die ein Computer-System integriert ist und die dem Nutzer Sicherheitsdienstleistungen zur Verfügung stellt. Ein SmartCard-Computer enthält: eine CPU, RAM- und ROM-Speicher, ein „schlankes“ Betriebssystem im ROM, eine I/O-Schnittstelle, über die die gesamte Kommunikation stattfindet (Kontaktflächen oder kontaktloses Interface), ein EEPROM, auf dem die geheimen Schlüssel, zum Beispiel ein privater RSA-Schlüssel oder andere symmetrische Schlüssel, sowie persönliche Daten (Passwörter etc.) sicher gespeichert sind. Eine weitere Komponente in einer SmartCard kann zum Beispiel ein Co-Prozessor sein, der eine symmetrische oder eine asymmetrische Verschlüsselung sehr schnell durchführt.

…