Menschen und Geräte sicher erkennen
Die Zukunft der Authentifizierung
Die Zeit der statischen Kennwörter läuft endgültig ab. Neue, sicherere und bequemere Methoden der starken Authentifizierung werden bald zur Verfügung stehen. Die Bedeutung der Authentifizierung von Geräten im Netz nimmt zu.
Der Gartner Group zufolge wird sich innerhalb der nächsten fünf Jahre die starke
Authentifizierung, darunter vor allem die "Zwei-Faktor-Authentifizierung", bereits etabliert haben
und einen sicheren Zugang zu den meisten Internetdienstleistern gewährleisten, die zugleich den
Markt am stärksten vorantreiben werden. Den Analysten zufolge werden allein in den nächsten zwei
Jahren zwei Millionen Kunden in den USA von der "Zwei-Faktor-Authentifizierung" bei einigen
wichtigen ISPs und Online Communities Gebrauch machen.
Alle Unternehmen gewinnen durch die neuen Techniken neue Potenziale zum Öffnen ihrer Netzwerke,
wodurch sie weit intensiver mit Kunden und Partnern zusammenarbeiten können, als dies heute schon
geschieht. So könnte sich etwa ein Kunde erst bei MSN einloggen und mit derselben Kennung dann
nahtlos Zugang bei Ebay, Paypal und anschließend bei Amazon erhalten.
Formen starker Authentifizierung
Die verschiedenen Unternehmen und Institutionen werden dabei zwar unterschiedliche Verfahren
anwenden, wie etwa "Federated Identity Management", spezifische Identity- und
Access-Management-Lösungen (I&AM), weitere virtuelle "Federation Approaches" oder auch
Kombinationen aus ihnen. Aus technologischer Sicht wird dies aber kaum eine Rolle spielen, solange
im Kern die "Starke Authentifizierung" steht. Am Ende wird sich aus den ursprünglich einzelnen
Netzwerken ein übergreifendes Netzwerk herausbilden, das alle "Trusted Identities" akzeptiert.
Nicht eine einzige optimale Lösung, sondern eine große Bandbreite an Methoden wird nebeneinander
bestehen oder miteinander kombiniert werden. Bei der Entscheidung, welche Methode jeweils am
angemessensten ist, spielen folgende Aspekte eine wichtige Rolle: die Benutzerfreundlichkeit, die
Kosten und die möglichen Risiken, die man bereit ist, zu akzeptieren.
Wissensbasierte Authentifizierung
Ein mögliches Szenario wäre, dass sich Anwender in Zukunft stärker auf der Basis dessen
authentifizieren, was nur sie wissen. Der Anwender kann beispielsweise für die Anmeldung an einer
Ressource Informationen preisgeben, die sich auf persönliche Vorlieben oder seine Online-History
beziehen, und von denen sich annehmen lässt, dass sie ein Betrüger nicht kennen kann.
Entwickler denken dabei bereits über Authentifizierung nach, die auf zukünftigem Wissen und
damit auf dynamischer Information basiert. So ist es zum Beispiel vorstellbar, dass ein Buchhändler
wie Amazon Kunden nicht anhand der bereits gekauften Bücher identifiziert, sondern anhand
derjenigen, die sie aller Wahrscheinlichkeit nach in der Zukunft kaufen werden.
Bevor solche Methoden Realität werden, muss allerdings beispielsweise geklärt werden, wie das
Wissen geschützt werden soll, das die Anwender von sich preisgeben, und wer es verwalten darf.
Außerdem ist noch nicht hinreichend erforscht, wie sich die wissensgestützten Antworten des
Anwenders verifizieren lassen – und dies erst recht, wenn dabei Voraussagen auf zukünftiges
Verhalten im Spiel sind.
Authentifizierung durch vernetzte Geräte
Eine starke Tendenz entwickelt sich hin zur Authentifizierung mit vernetzten Geräten wie etwa
USB-Tokens. In Zukunft werden zunehmend drahtlose Übertragungstechnologien wie Bluetooth, Infrarot,
RFID und sogar Schall miteinbezogen werden. Somit bergen auch Alltagsgegenstände wie Mobiltelefone
und PDAs, ja sogar Führerscheine oder Reisepässe mit integrierten RFID-Chips das Potenzial, als
Authentifizierungsmittel zu dienen.
Wechselseitige Authentifizierung
Authentifizierung wird sich zukünftig wechselseitig vollziehen. Sowohl der Anwender als auch das
Unternehmen beziehungsweise die Institution, mit der er kommuniziert, müssen sich gegenseitig
authentifizieren. Nur so können Phishing und andere neuartige Angriffsmethoden bekämpft werden, die
– nachdem die technischen Sicherheitsvorkehrungen durch Antivirus-programme, Intrusion Detection
und Spam-Filter verbessert wurden – allesamt verstärkt auf den Faktor Mensch abzielen. Deshalb ist
es von großer Bedeutung, Authentifizierungslösungen nicht gegen das menschliche Verhalten, sondern
in Einklang mit dem User zu gestalten.
Damit keine illegitime Seite in den Besitz von Passwörtern oder anderen persönlichen
Informationen gelangen kann, bedarf der Anwender bei deren Eingabe einer vertrauenswürdigen
Nahtstelle. Persönliche Authentifizierungsinformationen dürfen nicht mehr direkt an die abfragende
Anwendung geschickt werden, unabhängig davon, ob diese vertrauenswürdig ist oder nicht.
Authentifizierung über Trusted-Computing-Plattformen
Es wird nicht ausreichen, den Benutzer allein zu authentifizieren, obwohl dies von großer
Bedeutung ist. Zukünftige User werden sich über Trusted Computing Platforms authentifizieren, die
sie dann im Gegenzug gegenüber dem Netzwerk repräsentieren (siehe auch Beitrag "Die Rolle des
Clients für die Netzwerksicherheit" auf Seite 62). Noch lässt sich allerdings nicht genau sagen,
welche Arten von Geräten sich überhaupt mit dem Netzwerk verbinden lassen, ohne dass dadurch in
bestimmten Fällen das ganze Netzwerk geschwächt wird. Wenn ein Unternehmen eine vollständig
vertrauenswürdige Netzwerkumgebung schaffen möchte, muss es nicht nur bestimmte Personen von
unberechtigtem Netzwerkzugriff abhalten, sondern auch kontrollieren, welche Geräte überhaupt Zugang
erhalten sollen. Es besteht keinerlei Zweifel, dass im digitalen Zeitalter die Unternehmen und
Kommunikationsnetzbetreiber vermehrt Geräte zu authentifizieren haben.
Je weniger sich Authentifizierung auf "Wissen" und "Haben" verlässt und je mehr sie
Verhaltensprofile oder biometrische Informationen der unterschiedlichsten Art zur Personenerkennung
heranzieht, desto größere Probleme mit dem Datenschutz treten auf, denn die Historien und Listen
der Gewohnheiten müssen an den verschiedensten Orten gespeichert werden und können ganz nebenbei
auch anders ausgewertet werden, als es der zugehörigen Person angenehm ist.
Hier wird ein Prinzip interessant, das bei der Diskussion über Identity-Management-Ansätze
leider zu selten eine Rolle spielt: Die Position eines möglichen Daten-Treuhänders. Bei
Onlinegeschäften etwa könnte die Bank eines Käufers, die ja schon über eine Reihe persönlicher
Informationen verfügt und normalerweise das Vertrauen ihrer Kunden genießt, für eine ansonsten
anonymisierte virtuelle Identität ihres Geschäftspartners bürgen. Sie wäre dann die Institution,
die seine "Maske" zum "Ausweis" macht (siehe Editorial). Wird der Inhaber der so verbrieften
virtuellen Identität zum Betrüger, könnte die Bank im Rahmen eines Strafverfolgungsverfahren die
Verbindung zwischen realer und virtueller Identität wieder herstellen. Dr. Johannes Wiele
Lesen Sie mehr zum Thema
