Die Zwei-Faktor-Authentisierung (2FA), häufig auch Zwei-Faktor-Authentifizierung genannt, bezeichnet den Identitätsnachweis eines Nutzers mittels einer Kombination zweier unterschiedlicher und insbesondere unabhängiger Komponenten (Faktoren). Typische Beispiele sind Bankkarte und PIN beim Geldautomaten, Fingerabdruck und Zugangscode in Gebäuden, oder Passphrase und Transaktionsnummer (TAN) beim Online-Banking. Die Zwei-Faktor-Authentisierung ist ein Spezialfall der Multi-Faktor-Authentisierung[1].
Anwendung und Zweck
Insbesondere für sicherheitskritische Anwendungsbereiche wird die Zwei-Faktor-Authentisierung empfohlen, so beispielsweise vom deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinen IT-Grundschutz-Katalogen . BSI für Bürger und die Stiftung Warentest empfehlen Verbrauchern aber inzwischen, Zwei-Faktor-Authentisierung für möglichst viele webbasierte Dienste bzw. Online-Portale zu nutzen. Grund ist, dass Verbraucher häufig ungeeignete oder zu schwache Passwörter wählen und ein und dasselbe Kennwort für mehrere Benutzungskonten bzw. Web-Dienste nutzen. Einmalpasswörter werden nach wenigen Sekunden oder Minuten ungültig – dies wehrt Angreifer ab, die Passwörter erspähen wollen, z. B. durch Mitlesen von Passwörtern bei der Eingabe oder durch einen Keylogger.
Sicherheitsaspekte
Sicherheitsexperten geben zu bedenken, dass SMS-Spoofing und Man-in-the-Middle-Angriffe, bei denen ein Angreifer eine gefälschte Login-Seite präsentiert, verwendet werden können, um in Systeme mit Zwei-Faktor-Authentisierung, die auf Einmalkennwörtern basieren, einzubrechen. FIDO U2F bietet hier zusätzlichen Schutz.
Die beiden Faktoren sollten durch zwei getrennte Übertragungskanäle übermittelt werden. Der Forderung, dass sie nicht am gleichen Ort gespeichert bzw. aufbewahrt werden, wird heute oft nicht mehr nachgekommen, so nutzen zahlreiche Banken heute die E-Banking-App und die App für die Zwei-Faktor-Authentisierung per Einmalkennwort auf demselben Endgerät, sodass bei dessen Verlust nur noch ein etwaiger PIN-Code auf der 2FA-App die Banking-Anwendung schützt. Doch selbst wenn man die App für die Zwei-Faktor-Authentifizierung mittels TOTP[2] auf demselben Gerät installiert hat, auf dem man den 2FA-gesicherten IT-Dienst nutzt, stellt dies einen Zugewinn an Sicherheit gegenüber der Authentisierung durch lediglich Anmeldename und Passwort[3] dar – der sich aus der Einmaligkeit des Einmalpassworts ergibt. Die Nutzung der Authentisierungs-App über ein zweites Gerät verschafft jedoch zusätzlich die Sicherheit eines zweiten Faktors.
Außerdem erlauben die meisten Anbieter, bestimmte Rechner als vertrauenswürdige Clients zu definieren, von denen aus die Anmeldung ohne Einmalpasswort erfolgen darf. Kann ein Angreifer sich Zugang zu einem solchen Rechner verschaffen, ist der zusätzliche Schutz nicht mehr gegeben.
| Quellangabe: | wikipedia.org |
| Original-Titel: | Zwei-Faktor-Authentisierung |
-
Anmeldung mit Benutzername und Passwort:
Der Benutzer gibt zunächst seine Anmeldeinformationen (Benutzername und Passwort) ein. -
Überprüfung mit einem zweiten Faktor:
Anschließend wird eine zweite Überprüfung durchgeführt, beispielsweise per SMS oder E-Mail. -
Zugriff auf das Konto:
Wenn beide Überprüfungen erfolgreich sind, erhält der Benutzer Zugriff auf sein Konto.
Die 2FA bietet eine höhere Sicherheit, da es für einen Angreifer schwieriger ist, Zugriff auf das Konto zu erlangen, da er mindestens zwei Faktoren kompromittieren müsste.
Die Vorteile der Zwei-Faktor-Authentisierung (2FA)) sind:
-
Erhöhung der Sicherheit:
Mit der Verwendung von 2FA wird das Risiko, dass Unbefugte auf sensibles Daten oder Konten zugreifen können, deutlich verringert. -
Schutz vor Phishing-Angriffen:
Ein Angreifer kann durch die Eingabe von Benutzername und Passwort alleine nicht mehr auf ein Konto zugreifen, wenn 2FA verwendet wird. -
Einfach zu verwenden:
Viele Anbieter bieten einfache Lösungen für 2FA an, die für den Benutzer einfach zu verwenden sind.
Die Nachteile von 2FA sind:
-
Zusätzlicher Aufwand:
Für den Zugriff auf ein Konto müssen Benutzer jetzt zwei Schritte ausführen, anstatt nur einen. -
Abhängigkeit von Geräten:
Wenn das Gerät, das für die Übertragung des zweiten Faktors verwendet wird, nicht verfügbar ist, kann der Zugriff auf ein Konto verwehrt werden. -
Fehlertoleranz:
Wenn die Übertragung des zweiten Faktors fehlschlägt, kann der Zugriff auf ein Konto verwehrt werden.
- [1]
- Multi-Faktor-Authentisierung (MFA) ist ein Verfahren zur Überprüfung der Identität von Benutzern, bei dem mindestens zwei unterschiedliche Komponenten verwendet werden, um die Authentizität zu überprüfen. Diese Komponenten können beispielsweise ein Passwort, ein Smartcard-Token, ein biometrisches Merkmal wie ein Fingerabdruck oder eine Gesichtserkennung sein. Die Verwendung von mehreren Faktoren erhöht die Sicherheit, da ein Angreifer mindestens zwei Faktoren kompromittieren müsste, um Zugang zu einem geschützten System zu erlangen.
- [2]
- TOTP steht für “Time-based One-Time Password“. Es ist eine Variante der Einmalpasswörter und wird verwendet, um die Authentifizierung von Benutzern zu verbessern. TOTP generiert automatisch ein Passwort, das nur für eine begrenzte Zeit gültig ist, und sorgt so für eine höhere Sicherheit als bei statischen Passwörtern. TOTP wird oft in Verbindung mit der Zwei-Faktor-Authentisierung (2FA) verwendet.
- [3]
- Ein sicheres Passwort sollte mindestens 10-12 Zeichen lang (je länger, desto besser) sein und sowohl Groß– [A-Z] als auch Kleinbuchstaben [a-z], Ziffern [0-9] und Sonderzeichen [!$%,.#] (Diese Sonderzeichen sind auf deutschen und englischen Tastaturen gleich belegt!) enthalten. Es ist auch wichtig, dass das Passwort nicht einfach zu erraten ist, wie beispielsweise Ihr Name, Geburtsdatum oder häufig verwendete Wörter, insbesondere keine einzelnen Worte, die in einem Wörterbuch stehen z.B. “Sternschnuppe”, “Alpenveilchen”. Idealerweise sollte das Passwort (regel)mäßig geändert werden und nicht für mehrere Konten verwendet werden. Es wird auch empfohlen, Passwörter mit einem Passwort-Manager zu generieren und zu speichern, um die Verwaltung sicherer Passwörter zu erleichtern.
Bei einem Zeichensatz mit 72 Zeichen aus 52 Buchstaben (groß und klein), zehn Ziffern und zehn Sonderzeichen ergeben sich die folgenden Möglichkeiten für ein zehnstelliges Passwort: 7210 = 3.743.906.242.624.487.424 (fast 4 Trillion). Versucht man, dieses Passwort mit einer Rechenkraft von vier Milliarden Berechnungen pro Sekunde zu knacken, benötigt man im längsten Fall 29,6 Jahre. Bei einem Passwort mit elf Zeichen können es 2.135 Jahre werden, bei einem Passwort mit 15 Zeichen rund 65 Milliarden Jahre.
Dieser Beitrag wurde bisher 67 mal gelesen.