Risikobasierte und adaptive Authentifizierung - Prof. Dr. Norbert Pohlmann

N. Pohlmann, R. Riedel:
„Risikobasierte und adaptive Authentifizierung“.
In Proceedings der DACH Security 2018 Konferenz,
syssec Verlag,
2018

Die aktuellen Verfahren zur Authentifikation im Internet überfordern die digitale Gesellschaft zunehmend. Für immer mehr Dienste muss ein separater Registrierungs- oder Identifikationsprozess durchgeführt werden. Die Praxis zeigt: Sichere Passwörter sind für viele verschiedene Dienste inpraktikabel und hardwarebasierte digitale Identitäten schaffen aufgrund der fehlenden Akzeptanz bisher nur geringfügig Abhilfe. Ein vielversprechender Lösungsansatz für diese Problematik ist die Zentralisierung der Authentifikation durch sogenannte „Identity Provider“. Große Unternehmen wie Google, Facebook oder Amazon bieten schon seit längerer Zeit die übergreifende Nutzung der bereits erstellten Konten für die Authentifizierung bei externen Diensten an. Der Vorteil bei diesem Konzept ist, dass potentiell nur noch wenige Identitäten im Internet benötigt werden und somit die Authentifizierung sowohl clientseitig, als auch serverseitig, effektiver gestaltet werden kann. Die bestehenden Konzepte weisen jedoch Probleme hinsichtlich der Skalierbarkeit auf, denn die konkreten Verfahren für die Authentifizierung können in der Regel nicht an den Bedarfsfall gebunden werden. Dieser Artikel knüpft an die fehlende Berücksichtigung der Skalierbarkeit an. Es wird ein High-Level Design eines skalierenden „Identity Providers“ vorgestellt, der basierend auf einem berechneten Risikowert eine adaptive Auswahl der verwendeten Verfahren für die Authentifizierung ermöglichen soll. Die technologische Grundlage hierfür bildet ein vierter Faktor, der unter anderem aus „Device Fingerprints“, Verhaltensmustern, Netzwerkkennzahlen und Sensordaten besteht.
Die aktuell gängigsten Verfahren zur Authentifikation im Internet sind entweder unsicher oder sicher aber (sehr) komplex in der Handhabung. Als Beispiele hierfür kann die Authentifizierung mittels Passwort als unsicheres oder digitale Identitäten in Verbindung mit einem kostspieligen Kartenlesegerät als aufwändiges Verfahren betrachtet werden. Grundsätzlich bieten die bestehenden Verfahren nur eine grobe Unterscheidung von verschiedenen Sicherheitsniveaus: Für IT-Integratoren entsteht daraus das Problem, dass sie eine „Entweder-oder-Entscheidung“ treffen müssen und somit die Verwendung eines bestimmten Authentifikationsverfahrens nicht an den Sinn und Zweck einer Anwendung binden können.

…

Weitere Informationen zum Thema “Authentifikation”:

Artikel:
„Smartphone Bürger-ID – IT-Sicherheit als Wegbereiter für die Digitalisierung“

“Risikobasierte und adaptive Authentifizierung”

„Smart Authentication, Identification and Digital Signatures as Foundation for the Next Generation of Eco Systems”

“An Usable Application for Authentication, Communication and Access Management in the Internet Of Things”

„Die Zeit nach dem Passwort – Handhabbare Multifaktor-Authentifizierung für ein gesundes Eco-System”

„Abschied vom Passwort – Authentifikation für ein gereiftes Internet“

“Bring Your Own Device For Authentication (BYOD4A) – The Xign–System“

“Ein OpenID-Provider mit Proxy-Funktionalität für den nPA”

Vorträge:
„Smart Authentifikation, Identifikation und digitale Signaturen als Grundlage zukünftiger Ökosysteme“

„Restrisikoanalyse Online-Authentisierung“

Vorlesung: „Identifikation und Authentifikation“

Glossareinträge:

„Authentifikation“
“Multifaktor Authentifizierung“

Studie für das BMI: “Restrisiken beim Einsatz der AusweisApp auf dem Bürger-PC zur Online Authentisierung mit Penetrations-Test”

Informationen über das Lehrbuch: „Cyber-Sicherheit“