In der heutigen Zeit müssen wir uns andauernd authentifizieren; das heißt beweisen, dass wir der sind, für den wir uns ausgeben, sei es am Bankschalter mit einer EC-Karte und einer PIN, am PC mit einem Kennwort, an der Haustür mit einem Schlüssel oder auf einem Militärgelände mit unserer Iris. Diese zahlreichen Systeme und Methoden der Authentifizierung sollen in der Arbeit näher betrachtet werden.
Inhaltsverzeichnis
1. Authentifizierung
1.1 Einführung und Definition
1.2 Die drei Arten der Authentifizierung
1.2.1 Wissen
1.2.2 Besitz
1.2.3 Biometrie
1.2.4 Kombination
2. Biometrische Authentifizierung
2.1 Allgemeines zu biometrischen Authentifizierungssystemen
2.1.1 Anforderungen an ein biometrisches Merkmal und dessen technische Erfassung
2.1.2 Fehlerrate
2.1.3 Datenspeicherung
2.1.4 Konstanz der Merkmale als Problem
2.1.5 Lebenderkennung
2.2 Verschiedene biometrische Authentifizierungsmethoden im Vergleich
2.2.1 Iriserkennung
2.2.2 Gesichtserkennung
2.3 Authentifizierungsmethode im Detail: Fingerabdruck
2.3.1 Funktionsweise und technische Umsetzung
2.3.2 Sicherheit
3. Ausblick auf die Zukunft: DNS-Scanner
Literaturverzeichnis
Internetquellenverzeichnis
1. Authentifizierung
1.1 Einführung und Definition
Es war einmal vor vielen tausend Jahren: Die Menschen lebten noch in Höhlen und jeder Höhlenbewohner kannte seine Höhlengenossen. Wenn ein Fremder in die Höhle wollte, wusste man gleich, dass dieser nicht dazugehörte. Doch als die Menschen erste Siedlungen und Dörfer errichteten, war die Sache schon nicht mehr so einfach, deshalb nutzten sie Losungswörter oder bestimmte Kleidungsmerkmale, wie Federn und ähnliches, um sich bei ihren Kameraden zu authentisieren. Später wurden Schlösser entwickelt, um zum Beispiel sicherzustellen, dass nur der Besitzer eines Schlüssels Zugang zu einem Gebäude oder einem Behältnis hat.
In der heutigen Zeit müssen wir uns andauernd authentifizieren; das heißt beweisen, dass wir der sind, für den wir uns ausgeben, sei es am Bankschalter mit einer EC-Karte und einer PIN, am PC mit einem Kennwort, an der Haustür mit einem Schlüssel oder auf einem Militärgelände mit unserer Iris. Diese zahlreichen Systeme und Methoden der Authentifizierung sollen im Weiteren näher betrachtet werden.
Authentifizierung[1] beschreibt die Überprüfung der Authentizität eines Subjekts anhand von bestimmten Eigenschaften („Credentials"), über die eine eindeutige Identifizierung möglich ist. (vgl. Eckert 2008, S. 429)
Bei dieser Überprüfung gibt es immer zwei Parteien: den Klienten, also die Person oder den Prozess (in IT-Systemen), und den Server, der die Anfrage verarbeitet und die Authentizität des Klienten bestätigt oder ablehnt.
Je nach System sind für Klient, Server und Credential verschiedene Personen und Gegenstände möglich. So ist ein Verkehrspolizist, der einen Fahrer nach seinem Führerschein fragt, nichts anderes als ein „Server", der den Klienten nach einem bestimmten Besitz fragt, um diesen als einen bestimmten, zugelassenen Autofahrer zu authentifizieren.
1.2 Die drei Arten der Authentifizierung
Es gibt zahlreiche Arten von Authentifizierungssystemen und dementsprechend viele Möglichkeiten, diese zu gliedern. Am häufigsten trifft man aber auf die Unterscheidung zwischen der Authentifizierung durch Wissen („man weiß etwas"), durch Besitz („man hat etwas") und der durch Biometrie („man ist etwas"). Alle drei Arten haben ihre Vor- und Nachteile und sind in unterschiedlichen Situationen besser oder schlechter einsetzbar. Das nächste Kapitel gibt eine Übersicht über verschiedene Systeme und fasst abschließend deren Vor- und Nachteile zusammen.
1.2.1 Wissen
Der stattlichste der Räuber, den der Ali Baba für ihren Hauptmann hielt, näherte sich ebenfalls mit seiner Reisetasche auf der Schulter dem Felsen [...] und nachdem er sich durch einige Sträucher den Weg gebahnt, sprach er die Worte: ,Se- sam, öffne dich!' so laut und deutlich, dass Ali Baba sie hörte. Kaum hatte der Räuberhauptmann diese Worte ausgesprochen, so öffnete sich eine Tür. (Littmann, S. 134f)
Dieser Ausschnitt aus dem Märchen „Ali Baba und die 40 Räuber" zeigt die wohl älteste, aber auch heute noch am häufigsten angewandte Methode der Authentifizierung, nämlich der Authentifizierung durch Wissen - in diesem Fall durch ein Geheimnis. Im Beispiel ist der Räuberhauptmann der Klient und identifiziert sich beim Server, hier dem Felsen, durch ein Geheimnis, nämlich die Formel „Sesam öffne dich!". Hierbei fällt allerdings gleich ein gewaltiger Nachteil des von den Räubern verwendeten Systems auf. Ein Dritter kann leicht an das Geheimnis gelangen und sich so unerlaubt selber am Server authentifizieren, was Ali Baba im Märchen später dann auch tut.
Bei modernen Systemen wird die Identifikation anhand eines Geheimnisses meistens mit dem Passwortverfahren umgesetzt, allerdings mit einigen Optimierungen. Als Beispiel wird im Folgenden die Autorisierung am PC auf Windows-Systemen betrachtet.
Auch hier gibt es einen Klienten, nämlich den Benutzer, und einen Server, das Windows- Anmeldesystem. Jeder Benutzer hat einen (öffentlichen) Benutzernamen und ein (geheimes) Kennwort. Anders aber als beim Felsen, bei dem jede Person in der Nähe das
Passwort mitbekommt, wird es hier bei der Eingabe nicht angezeigt und kann so nur von sogenannten Keyloggern[2] abgefangen werden.
Ein Problem der Wissensauthentifizierung besteht darin, dass das Geheimnis, also das Passwort, lokal gespeichert werden muss, ohne dass nicht autorisierte Subjekte darauf Zugriff haben, während die Passwortüberprüfung reibungslos ablaufen soll. Dafür wird das Passwort meistens durch eine Einwegfunktion (z.B. MD5) verschlüsselt und zusammen mit dem Benutzernamen gespeichert. Sei k also das Passwort im Klartext und f eine Einwegfunktion, ist das verschlüsselte Passwort c = f(k). Da f nicht umkehrbar ist, ist die einzige Möglichkeit, das Passwort zu knacken, so lange Werte v in f einzusetzen, bis gilt: f (v) = c und das System den Benutzer als authentisch freigibt.
Durch immer größere Rechnerleistungen werden diese „Brute-Force-Attacken" (Schröder 2010) aber immer schneller und deshalb sollte sich jeder Benutzer in seinem eigenen Interesse lange Passwörter mit mehreren Sonderzeichen anlegen, da immer noch die Mehrheit aller Benutzer ein zu leicht zu knackendes Kennwort hat (vgl. Eckert 2008, S. 434f.).
1.2.2 Besitz
Vor allem für vergessliche Benutzer ist die Authentifizierung durch Besitz deutlich komfortabler. Man schiebt seinen Schlüssel ins Schloss, man zieht seine Karte durch ein Gerät oder man trägt einen Chip unter der Haut und schon ist die Identität bewiesen. Auch hier gibt es wieder das Server-Klient-Verhältnis. Der Server ist, je nach dem ob das System mechanisch oder elektronisch arbeitet, ein Schloss oder ein Gerät, zum Beispiel ein Kartenlesegerät an der Kasse. Ist der Besitz des Klienten, also der Schlüssel oder die Karte, authentisch, schnappt das Schloss auf, bzw. das elektronische System erteilt eine Freigabe.
Der Vorteil des Besitzes gegenüber dem Wissen liegt zum einen im höheren Komfort, da sich der Benutzer kein Passwort merken muss, zum anderen können die Daten auf einer Chipkarte durch einen Brute-Force-Angriff praktisch nicht erraten werden. Bei Chipkar- ten gibt es außer den „Speicher-Chipkarten", die nur einen Speicher enthalten, auf dem beispielsweise ein Schlüsselcode gespeichert wird, auch „intelligente Chipkarten", die einen eigenen kleinen Prozessor eingebaut haben und so durch kryptographische Funktionen die Sicherheit beträchtlich steigern können (vgl. Eppele).
Die Nachteile liegen jedoch ebenfalls auf der Hand. Wem ist es noch nicht passiert, die Schlüssel sind nicht mehr auffindbar, die EC-Karte wird gestohlen und man hat das Nachsehen.
1.2.3 Biometrie
Wer immer wieder seine Passwörter vergisst, seine Schlüssel verliert oder hohe Sicherheit ohne Einbußen beim Komfort möchte, für den sind biometrische Systeme eine gute Alternative zu den klassischen Methoden.
Die Vor- und Nachteile der biometrischen Authentifizierung werden später genau erläutert. An dieser Stelle kann bereits gesagt werden, dass sie gegenüber den beiden oben besprochenen Methoden den Vorteil hat, dass die Merkmale nicht vergessen werden oder verloren gehen können und die biometrischen Merkmale meist eine höhere Sicherheit bieten, ohne dass im Idealfall der Anwendungskomfort beeinträchtigt wird.
1.2.4 Kombination
Höchste Sicherheit bei der Authentifizierung bieten Systeme, die zwei oder drei verschiedene Arten miteinander kombinieren. In Mittel- und Hochsicherheitsbereichen muss man sich mittlerweile nahezu überall auf mindestens zwei Arten authentifizieren, beispielsweise an einem Tresor mit einem Schlüssel und einem Zahlencode.
Die Kombination von Wissen und Besitz wird im Folgenden am Beispiel der EC-Karte gezeigt. Der Klient kauft etwas ein und steckt zur Bezahlung seine Karte in ein ECKartenlesegerät, das den Server darstellt, er authentifiziert sich also mit einem Besitz. Das Gerät verlangt nun eine PIN von ihm, der, je nach System, von der EC-Karte (bei einer „intelligenten Chipkarte") oder per Online- oder Telefonverbindung überprüft wird. Ist die PIN richtig, das Konto gedeckt und die Karte nicht gesperrt, wird die Zahlung durchgeführt.
Solange der Benutzer also seine PIN nicht auf die Karte schreibt oder sonst grob fahrlässig damit umgeht, ist es einem Angreifer nicht möglich, nur mit einem System, das heißt nur mit der PIN oder nur mit der Karte, auf das Konto des Benutzers zuzugreifen.
2. Biometrische Authentifizierung
Die Authentifizierung anhand biometrischer Eigenschaften (griechisch ßloq = Leben, ¡uérpov = Maß) ist die neuartigste Methode zur Überprüfung der Authentizität und diejenige, der momentan das höchste Potenzial zugeschrieben wird. Wie der Name schon sagt, wird hierbei nicht auf etwas Künstliches, wie einen Schlüssel oder ein Wort, zurückgegriffen, sondern auf etwas „Lebendiges", sprich eine bestimmte Eigenschaft am Körper des Subjekts. Die Vorteile liegen auf der Hand: Man führt die Credentials immer bei sich, ein Dritter kann sich diese im Idealfall nicht aneignen (siehe dazu aber auch 2.3.2 Sicherheit). Außerdem ist die Fälschungssicherheit biometrischer Systeme in der Regel den herkömmlichen Methoden deutlich überlegen.
2.1 Allgemeines zu biometrischen Authentifizierungssystemen
2.1.1 Anforderungen an ein biometrisches Merkmal und dessen technische Erfassung
Es gibt eine Fülle von Authentifizierungsmethoden mittels unterschiedlicher biometrischer Merkmale, und alle haben bestimmte Eigenschaften, Vor- und Nachteile. Damit sie alltagstauglich sind, müssen diese Merkmale jedoch eine Reihe von Kriterien erfüllen, wie Michael Behrens (2001) auf Seite 11 erläutert:
- Universalität: Jede Person verfügt über dieses Merkmal.
- Eindeutigkeit: Das Merkmal unterscheidet sich bei jeder Person.
- Konstanz: Ein Merkmal verändert sich mit der Zeit nicht.
- Messbarkeit: Ein Merkmal kann (elektronisch) erfasst werden.
[...]
[1] Häufig auch vom englischen authentification mit Authentifikation beschrieben; im Deutschen sind die Begriffe synonym. Im Folgenden wird aber zum besseren Verständnis nur von Authentifizierung gesprochen.
[2] Viren, die die Tastatureingaben des Benutzers abfangen
-
Upload your own papers! Earn money and win an iPhone X. -
Upload your own papers! Earn money and win an iPhone X. -
Upload your own papers! Earn money and win an iPhone X. -
Upload your own papers! Earn money and win an iPhone X. -
Upload your own papers! Earn money and win an iPhone X. -
Upload your own papers! Earn money and win an iPhone X. -
Upload your own papers! Earn money and win an iPhone X.