Cryptography Reference
In-Depth Information
21.3
Authentifizierung in Computernetzen
Nach unserem Ausflug in die Authentifizierung im Allgemeinen betrachten wir
nun, wie eine Authentifizierung in einem Computernetz (speziell im Internet)
ablaufen kann. Wie Sie sich vorstellen können, spielt das Thema Authentifizie-
rung gerade in diesem Zusammenhang eine wichtige Rolle, weil sich in einem
anonymen Netzwerk oft jeder für jeden ausgeben kann. Wir gehen im Folgenden
davon aus, dass Alice über das Internet mit der Kryptobank in Kontakt steht.
Bevor es einen Nachrichtenaustausch gibt, will die Bank sicher sein, dass sich am
anderen Ende der Leitung tatsächlich Alice (und nicht Bösewicht Mallory) befin-
det. Die Bank will also Alice authentifizieren. Möglicherweise will aber auch
Alice wissen, ob sie es tatsächlich mit der Bank zu tun hat oder ob etwa Mallory
sich als Kryptobank ausgibt. In manchen Fällen will also auch Alice die Bank
authentifizieren. Ist dies der Fall, dann sprechen wir von
gegenseitiger Authentifi-
zierung.
Zwar gelten im Internet ganz andere Regeln als im richtigen Leben, doch
die Authentifizierung können wir dafür nicht neu erfinden. Daher gilt auch im
Netz: Entscheidend ist etwas, was man ist, was man weiß oder was man hat.
21.3.1
Passwörter im Internet
Das Authentifizierungsmittel schlechthin im Internet ist das Passwort. Vom
Online-Banking über den Online-Einkauf bis zum E-Mail-Abruf geht nichts ohne
Passworteingabe.
Einfache Passwort-Authentifizierung
Wenn sich Alice und die Kryptobank keine größere Mühe machen, ist der Proto-
kollablauf einer Passwort-Authentifizierung denkbar einfach: Alice sendet ihr
Passwort über das Netz an die Bank. Diese überprüft die Korrektheit des Pass-
worts. Ist es echt, dann ist Alice erfolgreich authentifiziert. Es dürfte klar sein,
dass diese einfachste Form der Passwortabfrage für Mallory ein gefundenes Fres-
sen ist. Da er das Netzwerk abhören kann, gelangt er ohne Mühe an Alices Pass-
wort und kann es nach Belieben missbrauchen. Wir sollten uns daher nach besse-
ren Methoden umsehen.
Einmal-Passwörter
Eine naheliegende Möglichkeit, dem Abhören von Passwörtern zu begegnen, sind
Einmal-Passwörter
. Wie der Name schon sagt, müssen sich Alice und die Krypto-
bank in diesem Fall gleich auf mehrere Passwörter einigen, von denen jedes nur
einmal verwendet wird. Mallorys Hoffnung, ein erspähtes Passwort ein zweites
Mal zu verwenden, ist damit von vornherein zunichte gemacht. Einmal-Passwör-
ter kennen Sie vielleicht vom Online-Banking. Will Alice einen solchen Service bei
der Kryptobank nutzen, so erhält sie von dieser eine Liste mit Passwörtern (meist
