Cryptography Reference
In-Depth Information
Methoden durch den Personalausweis erzielt wird, kann derzeit (trotz aller Kritik)
ebenfalls bejaht werden. Solange sämtliche Angriffsszenarien auf eine
Authentifikation mittels des elektronischen Personalausweises voraussetzen, dass
sich zum Zeitpunkt des Angriffs der Personalausweis zumindest in Reichweite
eines entsprechenden Lesegerätes befindet, ist dies eine Anforderung, die bei
Angriffen auf Authentifikationsmethoden mittels Benutzername und Passwort
nicht notwendig ist. Insofern bedeutet die Nutzung des Personalausweises eine
Erhöhung des Sicherheitsniveaus, welches durch Nutzung entsprechend gesicher-
ter Kartenleser mit PIN-Pad weiter erhöht werden kann. Ein Online-Diebstahl der
entsprechenden Credentials zur späteren missbräuchlichen Verwendung, wie dies
derzeit häufig bei gängigen Angriffen (zum Beispiel auch bei EC-Karten) der Fall
ist, ist aus heutiger Sicht nicht möglich.
Aber auch wenn sich der elektronische Personalausweis als Authentifikations-
mittel der Zukunft durchsetzt, wird noch einige Zeit vergehen, bis Systeme auf die
Verwendung schwächerer Authentifikationsmethoden wie Benutzername und
Passwort verzichten können. Da noch einige Zeit vergehen wird, bis der elektro-
nische Personalausweis eine ausreichende Verbreitung findet, um Systeme oder
einzelnen Funktionalitäten auf eine ausschließliche Authentifikation mittels
elektronischen Personalausweises umzustellen, werden Brückentechnologien
benötigt, die es ermöglichen, das Sicherheitsniveau derzeitiger Verfahren zu
erhöhen. Einige dieser innovativen Technologien werden im Folgenden aufgezeigt.
Höherer Sicherheitslevel durch Nutzung zusätzlicher Informationen
Im Rahmen eines Projektes wurden verschiedene Möglichkeiten untersucht, das
Vertrauen in die übermittelten Authentifikationsinformationen durch Nutzung
zusätzlicher Informationen zu stärken. Hintergrund ist, dass der Nutzer in den
meisten Fällen immer von demselben System auf einen Dienst zugreift. Daher
kann den Credentials, die von dem „üblichen“ System des Nutzers stammen ein
höherer Sicherheitslevel zugeordnet werden, als einem Nutzer, der sich von einem
neuen System aus zum ersten Mal anmeldet. Die einfachste Möglichkeit ist es, ein
persistentes Cookie auf dem Rechner des Nutzers zu speichern, welches dann bei
zukünftigen Aufrufen der Webseite automatisch gesendet wird.
Bei Anmeldung in einem Browser werden im Normalfall bereits im User Agent
des http-Headers Informationen über zum Beispiel Betriebssystem, Browser-
version und akzeptierte MIME-Typen übertragen. Diese Informationen genügen
bereits, um einen Großteil der Nutzersysteme unterscheiden zu können. Über
Javascript-Code können weitere Informationen (wie zum Beispiel Informationen
über plug-ins, Java oder Cookie-Aktivierung, Bildschirm-Auflösung) abgefragt
werden, die es ermöglichen, festzustellen, ob diese Systemparameter mit den
Systemparametern des von Nutzern üblicherweise genutzten Systems überein-
stimmen. Dabei wird im Prinzip ausgenutzt, dass das Sicherheitsbewusstsein der
Search WWH ::
Custom Search