Eine starke Authentifizierung mit Hardware-Sicherheitsmodulen

Wie man die digitalen Identitäten von Benutzern und Geräten sicher bestätigt

Die Authentifizierung ist ein Prozess, der die Identität eines Benutzers oder eines Geräts überprüft. Das kann Teil eines umfassenderen Prozesses für das Identity and Access Management (IAM) sein, der Subjekte in einem System laufend authentifiziert.

Ist ein Subjekt wirklich das, was es vorgibt zu sein? Das bestätigt der Authentifizierungsprozess durch verschiedene Mechanismen. Um die von ihnen beanspruchte Identität zu bestätigen, bieten sich Anwendern folgende Möglichkeiten:

„Etwas, das sie wissen“, zum Beispiel Passwort, PIN oder Sicherheitsfragen
„Etwas, das sie haben“, zum Beispiel Smartcard, Token oder Smartphone zum Empfangen eines Einmalpassworts (One-Time Password, OTP)
„Etwas, das sie sind oder tun“, also biometrische Methoden, darunter Fingerabdruck, Gesichtserkennung, Iris und Unterschrift
„Was sie tun“, bezogen auf eine kontinuierliche Identitätsprüfung, die auf dem Benutzerverhalten und abweichenden Mustern basiert
Oder eine Kombination aus den oben genannten Methoden

Die zertifikatsbasierte Authentifizierung verwendet ein digitales Zertifikat zur Authentifizierung von Personen, aber auch von Maschinen, Geräten und IoT-Endpunkten. Sie bezieht sich also auf „etwas, das sie haben“. Diese Methode ist besonders benutzerfreundlich, da die Prozesse oft automatisiert und damit ohne Nutzereingriff ablaufen. Hinzukommt, dass sich Anwender oder Geräte gegenseitig mit dem Netzwerk oder System authentifizieren.

Aufgrund der oftmals gewaltigen Menge an Benutzern und Geräten in einem Netzwerk sowie der Zunahme von Cloud-basierten Diensten sind eine sichere Identifizierung und Authentifizierung heute kritisch für den Geschäftserfolg. Passwörter reichen nicht mehr aus, um den Zugang zu einem Netzwerk, System, einer Ressource oder Anwendung abzusichern. Darüber hinaus sind viele Vorschriften in Kraft getreten und branchenspezifische Standards entstanden, die stärkere Mechanismen zur Authentifizierung fordern oder voraussetzen.

Wichtige Konzepte rund um die Authentifizierung

Identifikation – Ein Subjekt, also eine Person oder ein Gerät, das eine Identität vorgibt.

Authentifizierung – Die Versicherung, dass ein Subjekt ist, was es vorgibt zu sein. Dazu ist es erforderlich, die vorgegebene Identität zu bestätigen – etwa durch Passworteingabe, Vorlage eines Zertifikats, eine Smartcard oder einen Fingerabdruckscanner. Es gibt verschiedene Arten, einen Nutzer zu authentifizieren – basierend auf dessen Wissen, Besitz, Biometrie oder Verhalten.

Ein-Faktor-Authentifizierung – Wenn nur ein einziger Authentifizierungsmechanismus verwendet wird, kann diese Methode angreifbar sein. Somit bietet sie wenig Schutz vor Betrug.

Zwei-Faktor-Authentifizierung – Verwendet mindestens zwei Mechanismen, aus zwei unterschiedlichen Kategorien, zur Authentifizierung. Folglich ist dieser Ansatz sicherer und es wird unwahrscheinlicher, dass ein Hackerangriff gelingt.

Starke Authentifizierung = Multi-Faktor-Authentifizierung – Dieser Ansatz berücksichtigt mehr als zwei Mechanismen unterschiedlicher Art, um die Identität eines Benutzers oder Geräts nachzuweisen.

Autorisierung – Sobald die Identität eines Benutzers oder Geräts bestätigt ist, gewähren oder verweigern die Autorisierungsmechanismen den Zugriff auf bestimmte Daten, Dateien oder Anwendungen.

Ob Sie Mitarbeiter oder deren Geräte in Ihrem Netzwerk authentifizieren müssen, Maschinen in Ihrer Produktionsumgebung, Kundenzugriffe auf eine Cloud-basierte Anwendung oder Zahlungstransaktionen – in all diesen Szenarien gewährleistet der Einsatz eines HSM als Hardware-Vertrauensanker maximale Sicherheit.

Anwendungsszenarien – Zahlungsauthentifizierung und die PSD2

Im Banken- und Finanzdienstleistungssektor gelten die strengsten Sicherheitsvorschriften. Sicherheitsmechanismen zur Authentifizierung sind dort schon besonders lange an der Tagesordnung. Jüngste Verstöße und die anschließende Verschärfung der Sicherheitsmaßnahmen werden die Biometrie voraussichtlich in den Mittelpunkt der Suche nach einer zukunftssicheren Authentifizierung rücken.

Im Rahmen der zweiten EU-Zahlungsdiensterichtlinie (Second Payment Services Directive, PSD2, in Kraft seit 13. Januar 2018) wird die EU ab September 2019 strengere Anforderungen an die Authentifizierung von Online-Zahlungen stellen. Die sogenannte starke Kundenauthentifizierung (Strong Customer Authentication, SCA) ergänzt die PSD2 als Teil der Verordnung der Europäischen Kommission über technische Regulierungsstandards (Regulatory Technical Standards, RTS). Sie werden großen Einfluss darauf haben, wie Benutzer identifiziert und authentifiziert werden. Dabei kommen mindestens zwei von drei Authentifizierungsmethoden (Wissen, Besitz, Inhärenz) zum Einsatz. Biometrische Methoden (Inhärenz) wie Fingerabdrücke werden sich als hochsichere Identifizierungsmethode verbreiten. Wichtige Voraussetzungen dafür sind eine sichere Speicherung biometrischer Daten und eine Public-Key-Infrastruktur, idealerweise basierend auf einem HSM zur Verwaltung der kryptographischen Schlüssel. Mit diesen neuen Anforderungen will die EU dem Betrug und Identitätsdiebstahl bei Online-Zahlungen beikommen.

Anwendungsszenarien – Die Rolle von eIDAS

Ein standardisiertes, elektronisches Identifizierungssystem über die gesamte Europäische Union hinweg ermöglicht starke und unkomplizierte Authentifizierungsmechanismen. Die entsprechenden Standards im Sinne der eIDAS-Verordnung (EU) Nr. 910/2014 werden für eine maximale Sicherheit vollständig berücksichtigt, unter anderem mit qualifizierten Zertifikaten zur Website-Authentifizierung oder qualifizierten Zertifikaten für elektronische Siegel von Zahlungsanbietern.

Anwendungsszenarien – Zugangskontrolle

Identifizierungs- und Authentifizierungsmechanismen bilden die Voraussetzung für die Implementierung einer Zugangskontrolle (Conditional Access, CA). Ein sicher identifiziertes Subjekt erhält Zugang zu einem Netzwerk, System, zu Daten oder anderem, sofern es eine bestimmte Anzahl an Kriterien erfüllt.

Ein Erfolgsmodell: Microsoft bietet den Benutzerzugriff auf Grundlage von Geolokalisierung oder IP-Adresse (ortsbezogene Zugangskontrolle) und stellt sicher, dass nur registrierte und genehmigte Geräte Zugriff erhalten (gerätebezogene Zugangskontrolle). Modelle und Richtlinien für Zugangskontrolle sind tief in den Lösungen von Microsoft verankert. Sie verwalten den Zugriff auf Anwendungen vor Ort oder in der Cloud mit fein abgestuften Sicherheitskontrollen und basieren auf einer ganzen Reihe von Bedingungen.
In der Medien- und Unterhaltungsbranche fungieren Zugangskontrolle und digitale Rechteverwaltung (Digital Rights Management, DRM) als zwei Schlüsselkonzepte für die ordnungsgemäße Authentifizierung und Autorisierung. Beim TV-Streaming stellt die Zugangskontrolle sicher, dass nur Benutzer mit dem entsprechenden Empfangsgerät und dem gültigen Schlüssel einen Film- oder Medienstream entschlüsseln können. Somit können sie nur dann auf diese Inhalte zugreifen, wenn sie eine oder mehrere Bedingungen erfüllen. Die meisten Schlüssel sind nur für einen begrenzten Zeitraum gültig, so dass gestohlene Schlüssel grundsätzlich unbrauchbar sind – denn bis die Entschlüsselung abgeschlossen ist, wurde der Schlüssel bereits durch einen neuen ersetzt.

Anwendungsszenarien – Digitale Rechteverwaltung

Trotz Ähnlichkeiten zur Zugangskontrolle hinsichtlich der Absicht, den exklusiven Zugriff auf einen Inhalt auf die autorisierten, zahlenden Benutzer zu beschränken, schützt DRM normalerweise einen bestimmten gespeicherten Inhalt oder dessen Übermittlung. Es ermöglicht Benutzern den Zugriff auf Inhalte und legt unter anderem fest, wann, wie, wie lange, wie oft und auf welchen Geräten dieser erfolgen kann.