Die Menschheit hat eine uralte Geschichte der Passwortnutzung. Lassen Sie uns die Entwicklung von Passwörtern und Authentifizierungstechnologien (2FA, MFA, OTP, U2F, FIDO2) zusammenfassen. Außerdem finden Sie unser Handbuch, wie Sie 2020 passwortlos werden können.
Inhalt
Der Aufstieg (und Fall?) der Passwörter
Der Aufstieg (und Fall?) der Passwörter
Die Menschheit hat eine uralte Geschichte der Passwortnutzung. Vom Kampf zwischen den Stämmen Gilead und Ephraim, beschrieben im 12. Kapitel des biblischen Buches der Richter, wurden sie verwendet, um Verbündete zu authentifizieren und Feinde zu erkennen. Das Militär entwickelte den Prozess später weiter, indem es ein Passwort und ein Gegenpasswort verwendete, das als Challenge-Response-Modell fungierte.
Abgesehen davon, den physischen Zugang zu beschränken, wurden Passwörter verwendet, um eine Kommunikation oder einige Informationen geheim zu halten. Kein Wunder, dass Passwörter in den frühen Tagen der Computerentwicklung ein wesentlicher Bestandteil von Computern wurden. Der erste Passwort-Login in einem Computersystem wurde 1961 implementiert.
Allerdings erfolgte der erste Hack eines Computerpassworts nur ein Jahr nach deren Einführung. 1962 zeigte aufgrund eines Softwarefehlers eine Liste von Benutzern und ihren Passwörtern jedem, der sich ins System einloggte. Ups.
Trotz fortgesetzter Hacks und Leaks sind Passwörter heute überall – PCs, Telefone, Websites, Apps, Spiele, Banken usw. Und die Menschen haben unermüdlich nach Möglichkeiten gesucht, die Authentifizierung sicherer zu machen.
Authentifizierung 101
Heutzutage gibt es eine Vielzahl von Authentifizierungsmethoden. Lassen Sie uns die gängigsten Ansätze zusammenfassen:
- Ein-Faktor-Authentifizierung ist die einfachste und häufigste Form der Authentifizierung. Um auf einen Dienst oder ein System zuzugreifen, müssen Sie nur eine Authentifizierungsmethode bereitstellen, wie z.B. ein Passwort, eine PIN, eine PIV-Karte usw. Diese Einfachheit garantiert jedoch kein angemessenes Sicherheitsniveau, da Betrüger in den meisten Fällen die Anmeldeinformationen leicht erraten oder stehlen können.
- 2-Faktor-Authentifizierung wird allgemein zum Schutz von Konten empfohlen. Studien haben ergeben, dass 2FA 80 % der Datenverstöße verhindern kann. Sie fügt eine weitere Verifikationsebene hinzu, die eine PIN, ein Einmalpasswort, ein Hardware-Token usw. zusätzlich zum Passwort erfordert. Der Nachteil – 2FA erfordert einen zusätzlichen Schritt, was zusätzliche Zeit und kognitive Anstrengung bedeutet.
- Multi-Faktor-Authentifizierung ist die ausgeklügeltste Methode, bei der zwei oder mehr unabhängige Faktoren vom Benutzer bereitgestellt werden müssen. Normalerweise nutzt MFA zwei oder drei Elemente aus der Liste:
- Etwas, das Sie wissen– ein Passwort, eine PIN, eine Sicherheitsfrage;
- Etwas, das Sie haben– ein Hardware-Token wie Hideez Key, Mobiltelefon, Smartcard;
- Etwas, das Sie sind – Fingerabdruck, FaceID, Iris-Scan;
- Etwas, das Sie tun – Tippgeschwindigkeit, Standortinformationen usw.
Zusätzlich zu der Anzahl der Faktoren gibt es verschiedene Authentifizierungstechnologien und -protokolle auf dem Markt.
Der einfachste Weg, persönliche Anmeldeinformationen zu verwalten, besteht darin, sie aufzuzeichnen. Da Tagebücher nicht so sicher sind, wurden Passwort-Tresore eingeführt. Es gibt verschiedene Produkte – kostenlos oder im Abonnement mit verschlüsseltem Speicher in der Cloud oder auf lokalen Geräten. Passwort-Manager und -Tresore sind großartig, um Passwörter zu speichern, aber sie vereinfachen oder sichern den Authentifizierungsprozess nicht.
Um mehrere Passwörter loszuwerden, haben Entwickler Single Sign-On (SSO) erfunden. Jetzt ist es eine der gängigsten Unternehmenslösungen, die es ermöglicht, ein Set von Anmeldeinformationen zu verwenden, um auf mehrere Dienste und Anwendungen zuzugreifen. Mitarbeiter sparen Zeit beim Eingeben von Passwörtern, und ein IT-Administrator erhält mehr Kontrolle über den Zugang zu Unternehmensdiensten und weniger passwortbezogene Anfragen. SSO kann das Risiko eines erfolgreichen Cyberangriffs verringern, indem die Anzahl der gefährdeten Anmeldeinformationen reduziert wird.
Da die Verwendung der Ein-Faktor-Authentifizierung in Sicherheitskreisen allgemein verpönt ist, wurden Einmal-Passwörter (OTP) zum Standard für die Zwei-Faktor-Authentifizierung (2FA) für Dienste mit sensiblen Informationen wie Online-Banking, medizinischen Portalen usw. In der Regel ist OTP eine Zahlenfolge, die für eine Sitzung oder Transaktion gültig ist. Da OTP die genaue Reihenfolge dynamisch ändert, ist diese Authentifizierungsmethode nicht anfällig für Wiedergabeangriffe. Es gibt mehrere Methoden zur Generierung von OTP:
- Zeit-Synchronisation zwischen dem Authentifizierungsserver und dem Client, der das Passwort bereitstellt, was bedeutet, dass OTPs nur für einen kurzen Zeitraum gültig sind.
- Ein mathematischer Algorithmus, der ein neues Passwort auf der Basis des vorherigen generiert und somit eine Kette bildet.
- Ein mathematischer Algorithmus, der ein neues Passwort auf der Basis einer Herausforderung (z. B. einer vom Authentifizierungsserver ausgewählten Zufallszahl oder Transaktionsdetails) bildet.
Um 2FA zu stärken und zu vereinfachen, entwickelten die Entwickler ein U2F (Universal Second Factor) Protokoll. Es verbindet ein Bluetooth-, USB- oder NFC-Gerät mit einem Online-Dienst und führt eine Challenge-Response-Authentifizierung unter Verwendung von Public-Key-Kryptographiemethoden und einem eindeutigen Geräteschlüssel durch. Auf der Benutzerseite ist es so einfach wie das Drücken einer Taste am Gerät oder das Antippen über NFC. Da U2F ein physisches Gerät für die Authentifizierung erfordert, ist es widerstandsfähig gegen Angriffe und schützt selbst vereinfachte Passwörter.
Ein neuer Ansatz
All diese Methoden klingen großartig und bieten tatsächlich eine bessere Sicherheit für Ihre Daten. Aber auf dem Weg zur Sicherheit gehen wir ständig Kompromisse bei der Benutzerfreundlichkeit ein. Daher hier ein Gedanke: "Können wir unsere Daten ohne Passwörter schützen?".
Eine Gruppe von Enthusiasten sagte "Ja" und entwickelte das FIDO2 Framework.
Es ersetzt Passwörter vollständig durch eine neue Art von Anmeldeinformationen, die nicht gestohlen werden können.
FIDO2 besteht aus dem W3C Web Authentication (WebAuthn) Standard und dem FIDO Client to Authenticator Protocol (CTAP). Zusammen schaffen sie einen Prozess, bei dem ein benutzerkontrollierter kryptographischer Authentifikator über einen Webnutzer-Agenten (einen Browser) mit einer WebAuthn Relying Party (einem FIDO2-Server) verbunden wird.
Während der Registrierung wird ein Paar aus privaten und öffentlichen Schlüsseln generiert. Der private Schlüssel wird auf dem Gerät gespeichert, während der FIDO2-Server den öffentlichen Schlüssel in einer Datenbank registriert. Während der Authentifizierung wird der öffentliche Schlüssel für den Webdienst eingegeben und mit dem privaten Schlüssel verifiziert, der durch eine Benutzeraktion entsperrt wird.
Es passiert viel im Hintergrund, aber der Benutzer muss nur die Taste drücken, einen Fingerabdruck scannen oder eine andere Authentifizierungsaktion durchführen. Der einzige Nachteil des FIDO2-Frameworks ist, dass es noch nicht weit verbreitet unterstützt wird.
Zurück zur Realität
Der wahre passwortlose Ansatz ist in der realen Welt unerreichbar, weil wir zu viele Systeme, Plattformen und Dienste haben. Es gibt keine Allzwecklösung, die alle Anforderungen erfüllen, sicher und einfach sein könnte. Es ist wie das gut-schnell-günstig Paradoxon. Was wir tun können, ist die grundlegende Idee der komplexen Hintergrundarbeit zu übernehmen, die durch eine einfache Aktion initiiert wird.
Es ist ähnlich wie bei der Funktionsweise von Mobilfunknetzen. Sobald ein Telefon eingeschaltet wird, beginnt es, ein Signal von Basisstationen zu suchen. Um eine Verbindung herzustellen, sendet Ihr Telefon seine eindeutige Kennung an die Station. Sie halten den Kontakt durch periodischen Austausch von Paketen gemäß analoger (AMPS, NAMPS, NMT-450) oder digitaler (DAMPS, CDMA, GSM, UMTS) Protokolle.
Ein durchschnittlicher Telefonbesitzer hat keine Ahnung, wie es funktioniert. Er/sie hat einfach das Telefon eingeschaltet.
Der Game Changer
Was, wenn ich Ihnen sage, dass eine solche nahtlose Erfahrung bereits existiert? Ja, Sie haben richtig gehört. Sie können ein 'passwortloses' Erlebnis für Ihre Websites, Apps und sogar geschützten Dateien mit einer einfachen Lösung genießen. Hideez.
Hideez Enterprise Solution und Hideez Key für Einzelpersonen verwalten alle Authentifizierungsaufgaben im Hintergrund, während Sie nicht einmal an Passwörter denken müssen.
- Schritt 1. Hideez funktioniert als Passwort-Tresor und speichert all Ihre Passwörter (etwa 2.000 davon!) und sichert sie mit mehreren Verschlüsselungsschichten.
- Schritt 2. Hideez gibt Ihre Anmeldeinformationen in Sekunden ein. Es gibt mehrere Modi, die Sie verwenden können: a) Drücken Sie die Taste auf dem Hideez Key und b) verwenden Sie benutzerdefinierte Hotkeys. Voila!
-
Bonus: Sie müssen sich keine Sorgen um Phishing Angriffe mehr machen. Hideez wird Ihre Anmeldeinformationen nicht an eine gefälschte Website oder App weitergeben.
- Schritt 3. Sie können die Hideez-Lösung verwenden, um Ihren PC zu sperren und zu entsperren. Wieder gibt es mehrere Optionen: a) Nähe – nähern Sie sich Ihrem PC oder entfernen Sie sich; b) Berührung – tippen Sie auf unseren Bluetooth-Dongle, um den PC zu entsperren, und drücken Sie die Taste, um den PC zu sperren; c) RFID – entsperren Sie Ihren PC mit einem RFID-Lesegerät.
- Schritt 4. Hideez Enterprise Solution ermöglicht es Administratoren, die Passwörter der Mitarbeiter auf dem Server zu aktualisieren, sodass die Endbenutzer nicht einmal wissen, dass sich etwas geändert hat, und die IT-Abteilung des Unternehmens nicht mit mehreren Anfragen zur Zurücksetzung neu erstellter Passwörter umgehen muss.
- Schritt 5. Nach den besten Praktiken der Cybersicherheit und den NIST-Empfehlungen bietet Hideez 2FA mit einem eingebauten OTP-Generator.
Das war unser kurzer Leitfaden, wie Sie 2020 ein nahtloses passwortloses Erlebnis erreichen können.
Ein Schlüssel. Ein Knopf. Mehrere Anpassungen. Alle Ihre Anmeldeinformationen sind sicher und die Authentifizierung erfolgt im Hintergrund.
Wenn Sie nicht warten können, Hideez selbst zu testen, füllen Sie das untenstehende Formular aus. Geben Sie den Code "Passwortlos" ein, um ein Sonderangebot als Dankeschön für das Lesen dieses langen Textes zu erhalten :)
