Weiterempfehlen Leserbrief
06.08.2008

Spear Phishing, Drive by Pharming und Man-in-the-Middle-Attacken

Sicherheit: Neues von Phishern und Pharmern

Jan Valcke, Gastautor

Angesichts steigender Bedrohungen sind die heute üblichen statischen Passwörter einfach nicht mehr zeitgemäß. Von Pishing und Account-Diebstahl schützt nur Strong Authentication zuverlässig. Unter diesem Fachbegriff werden Zugangssysteme zusammengefasst, die zur Identitätsprüfung mehrere Schritte verwenden. Am gängigsten sind dabei Zwei-Faktor-Authentisierungen.

Wer sich einloggen will, muss etwas besitzen, zum Beispiel eine spezielle Hardware oder ein Software Token, und etwas wissen, also eine PIN. Beim Digipass-System von Vasco zum Beispiel gibt der Anwender seine PIN in ein spezielles Gerät ein. Dieses errechnet dann ein dynamisches Einmal-Passwort (One Time Passwort, OTP). Es ändert sich alle 36 Sekunden. Ausspionierte Passwörter werden damit nutzlos, denn bei jedem Login ist ja ein neues im Einsatz. Die Passwörter braucht der Anwender weder im Kopf zu behalten noch muss er sie ständig selbst ändern.

Sicherheit nach Maß

Zwei-Faktor-Authentisierung und Einmal-Passwort basieren grundsätzlich auf einer Berechnung aus drei Faktoren:

− ein voreingestellter und geheim gehaltener Wert (Seed Value)
− ein Zeitsignal und/oder ein anderer Event
− ein öffentlicher Algorithmus.

Die Zeit- oder Event-Inputs für den Algorithmus werden intern generiert, um Manipulationen zu vermeiden. In die Berechnung des OTP können auch noch weitere Faktoren einbezogen werden, um die Sicherheit weiter zu erhöhen.

Wie bei jeder Authentisierung gilt es auch bei der Zwei-Faktor-Methode einen sinnvollen Kompromiss zwischen Sicherheitsniveau und Benutzerfreundlichkeit zu schließen. Wird nur ein relativ niedriges Sicherheitsniveau verlangt, zum Beispiel beim Abonnement von Online-Zeitungen, reicht ein rein Software-basiertes System. Dabei wird ein kleines Java-Applet auf Rechner, Handy oder PDA heruntergeladen. Es generiert dann das dynamische Passwort aus einem Cookie.

Bereits dieses Verfahren ist für viele Spionageprogramme ein unüberwindliches Hindernis, denn abgefangene Passwörter sind nach spätestens einer halben Minute wieder ungültig. Dennoch bleiben rein Software-basierte Systeme natürlich prinzipiell angreifbar.

Druckversion | Links zum Artikel | Kommentare

« zurück 1 | 2 | 3 | 4 weiter »

Mehr über: Sicherheit, Phishing, Verbraucherschutz

Digipass: Dynamische Passwörter für kleinere Betriebe
Unsichere Logins durch dynamische Verschlüsselungen ersetzen
Passwort vergessen: USB-Waage und Software helfen
Objekte helfen mit ihrem spezifischen Gewicht Passwörter zu merken
Tutorial: Das optimale Passwort
Passwörter richtig erstellen

Links zum Artikel

Diesen Artikel verlinken

Dieser Artikel steht unter einer Creative Commons-Lizenz.

Top Virenschutz-Programme

Sicher im Internet

Wer seiner Standard-Software traut, der sollte sich nicht wundern, wenn plötzlich ein Virus oder Trojaner entdeckt wird. Netzwelt erklärt, wie man ein PC-System absichert.

Top Anti-Virus Vollversionen

Virenschutz

Welche Software den PC wirklich vor Viren schützt und welche Updates Sie auf jeden Fall installieren sollten, zeigen wir Ihnen in unserem ausführlichen Special zum Thema Virenschutz.

Email Sicherheit

Phishing ist wohl das bekannteste Phänomem, wenn es um Sicherheit und Emails geht. Dabei ist es so einfach seinen Mailer richtig einzustellen und damit die größten Gefahren direkt abzuwehren.