„Multi-Faktor-Authentisierung“ – Versionsunterschied
| [gesichtete Version] | [ungesichtete Version] |
Keine Bearbeitungszusammenfassung |
1nilsh (Diskussion | Beiträge) Grundlegende Informationen hinzugefügt (teilweise Überschneidungen mit Artikel Zwei-Faktor-Authentisierung) |
||
| Zeile 1: | Zeile 1: | ||
Die '''Multi-Faktor-Authentifizierung''' ('''MFA'''), auch Multifaktor-Authentisierung, ist eine Verallgemeinerung der [[Zwei-Faktor-Authentisierung]], bei der die Zugangsberechtigung durch mehrere unabhängige Merkmale (Faktoren) überprüft wird. |
Die '''Multi-Faktor-Authentifizierung''' ('''MFA'''), auch Multifaktor-Authentisierung, ist eine Verallgemeinerung der [[Zwei-Faktor-Authentisierung]], bei der die Zugangsberechtigung durch mehrere unabhängige Merkmale (Faktoren) überprüft wird. |
||
Das [[Bundesamt für Sicherheit in der Informationstechnik]] hat in seinen [[IT-Grundschutzkataloge]]n auch Empfehlungen zur Multi-Faktor-Authentisierung für Cloudanwendungen herausgegeben.<ref>{{Webarchiv |url=https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m04/m04441.html |wayback=20150912061915 |text=M 4.441 Multifaktor-Authentisierung für den Cloud-Benutzerzugriff}}, BSI, Stand: 14. EL Stand 2014</ref> |
Das [[Bundesamt für Sicherheit in der Informationstechnik]] hat in seinen [[IT-Grundschutzkataloge]]n auch Empfehlungen zur Multi-Faktor-Authentisierung für Cloudanwendungen herausgegeben.<ref>{{Webarchiv |url=https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m04/m04441.html |wayback=20150912061915 |text=M 4.441 Multifaktor-Authentisierung für den Cloud-Benutzerzugriff}}, BSI, Stand: 14. EL Stand 2014</ref> |
||
==Faktoren== |
|||
Möglich sind mehrere Faktoren. Verbreitet sind zur Zeit |
|||
* "knowledge", also "Wissen", etwas, das der Nutzer weiß (beispielsweise ein Passwort) |
|||
* "ownership", also "Besitz", etwas, das nur der Nutzer besitzt (beispielsweise ein Mobiltelefon) |
|||
* "inherence", also "[[Inhärenz]]", etwas, das der Nutzer ''ist'' (beispielsweise ein Fingerabdruck) <ref>{{cite book |
|||
|last=Saracino |
|||
|first=Andrea |
|||
|date=27 September 2019 |
|||
|title=Emerging Technologies for Authorization and Authentication |
|||
|url=https://doi.org/10.1007/978-3-030-39749-4 |
|||
|location=Luxembourg City |
|||
|publisher=Springer International Publishing |
|||
|page=140 |
|||
|isbn=978-3-030-39749-4 |
|||
}}</ref> |
|||
* "location", also "Ort", ein Ort an dem sich der Nutzer befindet<ref>{{Cite thesis |
|||
|last=Seema |
|||
|first=Sharma |
|||
|title=Location Based Authentication |
|||
|date=2005 |
|||
|publisher=University of New Orleans |
|||
|url=https://scholarworks.uno.edu/td/141/ |
|||
|language=en |
|||
}}</ref> |
|||
Als Beispiel für mehrere Faktoren kann das Geld abheben an einem Geldautomaten betrachtet werden: Der Bankkunde muss seine Bankkarte besitzen ("ownership") sowie seine PIN kennen ("knowledge") |
|||
==Angriffe== |
|||
Die häufige Authentisierung durch [[SMS]] kann über verschiedene Wege ausgehebelt werden. So können unter Android gefälschte Apps Zugriff auf eingegangene SMS erhalten und diese an Cyberkriminelle weiterleiten.<ref>{{cite web |
|||
|url=https://www.inside-it.ch/de/post/angriff-auf-sms-basierte-2-faktor-authentifizierung-20190617 |
|||
|title=Angriff auf SMS-basierte 2-Faktor-Authentifizierung |
|||
|last=Anz |
|||
|first=Philipp |
|||
|date=17 June 2019 |
|||
|website=Inside IT |
|||
|access-date=20 January 2021 |
|||
}}</ref> |
|||
Zudem können Angriffe direkt auf das im Mobilfunknetz verwendete [[Signalling System 7]]-Protokoll (SS7) abzielen: Angreifer können SMS, die zur Authentisierung bestimmt sind, auf ein von ihnen kontrolliertes Mobiltelefon umleiten und so den zusätzlichen Sicherheitsfaktor aushebeln.<ref>{{cite web |
|||
|url=https://www.zdnet.de/88214824/31c3-ss7-protokolle-ermoeglichen-angriffe-auf-mobiltelefone/ |
|||
|title=31C3: SS7-Protokolle ermöglichen Angriffe auf Mobiltelefone |
|||
|last=Kling |
|||
|first=Bernd |
|||
|date=29 December 2014 |
|||
|website=ZDNet |
|||
|publisher=ZDNet |
|||
|access-date=20 January 2021 |
|||
}}</ref> Auf diese Weise wurden 2017 bei einem groß angelegten Angriff Kunden des Mobilfunkanbieters O2 durch unberechtigte Abbuchungen von ihren Bankkonten betrogen.<ref>{{cite web |
|||
|url=https://www.zdnet.de/88294773/hacker-raeumen-bankkonten-von-o2-kunden-leer/ |
|||
|title=Hacker räumen Bankkonten von O2-Kunden leer |
|||
|last=Schmoll-Trautmann |
|||
|first=Anja |
|||
|date=3 May 2017 |
|||
|website=ZDNet |
|||
|publisher=ZDNet |
|||
|access-date=20 January 2021 |
|||
}}</ref> |
|||
==Gesetzgebung== |
|||
===Europäische Union=== |
|||
Seit dem 1. Januar 2021 sind europäische Kreditinstitute dazu verpflichtet, dem Kunden eine "starke Kundenauthentifizierung" anzubieten. Die bedeutet, dass Transaktionen durch zwei unabhängige Merkmale aus den Kategorien Wissen, Besitz und Inhärenz bestätigt werden müssen.<ref>{{cite web |
|||
|url=https://web.archive.org/web/20210105092256/https://www.bundesbank.de/de/aufgaben/unbarer-zahlungsverkehr/psd2/psd2-775434 |
|||
|title=PSD2 |
|||
|website=Deutsche Bundesbank |
|||
|publisher=Deutsche Bundesbank |
|||
|access-date=20 January 2021 |
|||
}}</ref> |
|||
==Patente== |
|||
Der Unternehmer und Internetaktivist [[Kim Dotcom]] behauptete 2013 öffentlichkeitswirksam, die [[Zwei-Faktor-Authentisierung]] erfunden und im Jahr 2000 zum Patent<ref>{{Patent |
|||
|Land=US |
|||
|V-Nr=6078908 |
|||
|Titel=Method for authorizing in data transmission systems |
|||
|Erfinder=Schmitz, Kim |
|||
}}</ref> angemeldet zu haben. Ebenso hielt er ein europäisches Patent. Die Europäische Union entzog ihm jedoch im Jahr 2011 das Patent, unter Anderem, weil [[AT&T]] ebenfalls ein Patent auf die Technologie angemeldet hatte, jedoch bereits 1995. |
|||
Dotcoms Patent in den USA hat zwar weiter bestand, jedoch hält AT&T auch dort ein älteres Patent.<ref> {{cite web |
|||
|url=https://arstechnica.com/information-technology/2013/05/kim-dotcom-claims-he-invented-two-factor-authentication-but-he-wasnt-first/ |
|||
|title=Kim Dotcom claims he invented two-factor authentication—but he wasn't first |
|||
|access-date=20 January 2021 |
|||
|first=Jon |
|||
|last=Brodkin |
|||
|date=23 May 2013 |
|||
|website=[[Ars Technica]] |
|||
|archive-url=https://web.archive.org/web/20190709090048/https://arstechnica.com/information-technology/2013/05/kim-dotcom-claims-he-invented-two-factor-authentication-but-he-wasnt-first/ |
|||
|archive-date=9 July 2019 |
|||
}} </ref> |
|||
==Verwandte Artikel== |
|||
* [[Zwei-Faktor-Authentisierung]] |
|||
== Einzelnachweise == |
== Einzelnachweise == |
||
Version vom 20. Januar 2021, 22:07 Uhr
Die Multi-Faktor-Authentifizierung (MFA), auch Multifaktor-Authentisierung, ist eine Verallgemeinerung der Zwei-Faktor-Authentisierung, bei der die Zugangsberechtigung durch mehrere unabhängige Merkmale (Faktoren) überprüft wird. Das Bundesamt für Sicherheit in der Informationstechnik hat in seinen IT-Grundschutzkatalogen auch Empfehlungen zur Multi-Faktor-Authentisierung für Cloudanwendungen herausgegeben.[1]
Faktoren
Möglich sind mehrere Faktoren. Verbreitet sind zur Zeit
- "knowledge", also "Wissen", etwas, das der Nutzer weiß (beispielsweise ein Passwort)
- "ownership", also "Besitz", etwas, das nur der Nutzer besitzt (beispielsweise ein Mobiltelefon)
- "inherence", also "Inhärenz", etwas, das der Nutzer ist (beispielsweise ein Fingerabdruck) [2]
- "location", also "Ort", ein Ort an dem sich der Nutzer befindet[3]
Als Beispiel für mehrere Faktoren kann das Geld abheben an einem Geldautomaten betrachtet werden: Der Bankkunde muss seine Bankkarte besitzen ("ownership") sowie seine PIN kennen ("knowledge")
Angriffe
Die häufige Authentisierung durch SMS kann über verschiedene Wege ausgehebelt werden. So können unter Android gefälschte Apps Zugriff auf eingegangene SMS erhalten und diese an Cyberkriminelle weiterleiten.[4] Zudem können Angriffe direkt auf das im Mobilfunknetz verwendete Signalling System 7-Protokoll (SS7) abzielen: Angreifer können SMS, die zur Authentisierung bestimmt sind, auf ein von ihnen kontrolliertes Mobiltelefon umleiten und so den zusätzlichen Sicherheitsfaktor aushebeln.[5] Auf diese Weise wurden 2017 bei einem groß angelegten Angriff Kunden des Mobilfunkanbieters O2 durch unberechtigte Abbuchungen von ihren Bankkonten betrogen.[6]
Gesetzgebung
Europäische Union
Seit dem 1. Januar 2021 sind europäische Kreditinstitute dazu verpflichtet, dem Kunden eine "starke Kundenauthentifizierung" anzubieten. Die bedeutet, dass Transaktionen durch zwei unabhängige Merkmale aus den Kategorien Wissen, Besitz und Inhärenz bestätigt werden müssen.[7]
Patente
Der Unternehmer und Internetaktivist Kim Dotcom behauptete 2013 öffentlichkeitswirksam, die Zwei-Faktor-Authentisierung erfunden und im Jahr 2000 zum Patent[8] angemeldet zu haben. Ebenso hielt er ein europäisches Patent. Die Europäische Union entzog ihm jedoch im Jahr 2011 das Patent, unter Anderem, weil AT&T ebenfalls ein Patent auf die Technologie angemeldet hatte, jedoch bereits 1995. Dotcoms Patent in den USA hat zwar weiter bestand, jedoch hält AT&T auch dort ein älteres Patent.[9]
Verwandte Artikel
Einzelnachweise
- ↑ M 4.441 Multifaktor-Authentisierung für den Cloud-Benutzerzugriff ( vom 12. September 2015 im Internet Archive), BSI, Stand: 14. EL Stand 2014
- ↑ Andrea Saracino: Emerging Technologies for Authorization and Authentication. Springer International Publishing, Luxembourg City 2019, ISBN 978-3-03039749-4, S. 140 (doi.org).
- ↑ Vorlage:Cite thesis
- ↑ Philipp Anz: Angriff auf SMS-basierte 2-Faktor-Authentifizierung. In: Inside IT. 17. Juni 2019, abgerufen am 20. Januar 2021.
- ↑ Bernd Kling: 31C3: SS7-Protokolle ermöglichen Angriffe auf Mobiltelefone. In: ZDNet. ZDNet, 29. Dezember 2014, abgerufen am 20. Januar 2021.
- ↑ Anja Schmoll-Trautmann: Hacker räumen Bankkonten von O2-Kunden leer. In: ZDNet. ZDNet, 3. Mai 2017, abgerufen am 20. Januar 2021.
- ↑ PSD2. In: Deutsche Bundesbank. Deutsche Bundesbank, abgerufen am 20. Januar 2021. Fehler beim Aufruf der Vorlage:Cite web: Archiv im Parameter URL erkannt. Archive müssen im Parameter Archiv-URL angegeben werden.
- ↑ Patent US6078908: Method for authorizing in data transmission systems. Erfinder: Schmitz, Kim.
- ↑ Jon Brodkin: Kim Dotcom claims he invented two-factor authentication—but he wasn't first. In: Ars Technica. 23. Mai 2013, archiviert vom am 9. Juli 2019; abgerufen am 20. Januar 2021.