İki faktörlü kimlik doğrulama

Anahtarlık üzerinde YubiKey 4 güvenlik belirteci

İkili kimlik doğrulama ( 2FA sık olarak adlandırılan), iki öğeli kimlik doğrulama farklı ve daha özel olarak, bağımsız bileşenlerin (faktörleri) elde etmek için ikisinin birleşimi vasıtasıyla temsil eder, bir kullanıcının kimlik belgesi anılacaktır. Tipik örnekler banka kartı artı ATM'lerde PIN , parmak izi artı binalardaki erişim kodu veya çevrimiçi bankacılık için parola ve işlem numarasıdır (TAN) . İki faktörlü kimlik doğrulama, çok faktörlü kimlik doğrulamanın özel bir durumudur .

Uygulama ve amaç

İki faktörlü kimlik doğrulama Alman, örneğin Uygulamanın güvenlik-kritik alanlarda özellikle tavsiye edilir Bilgi Güvenliği Federal Ofisi onun içinde BT-Grundschutz katalogları . BSI für Bürger ve Stiftung Warentest, tüketicilere mümkün olduğunca çok sayıda web tabanlı hizmet ve çevrimiçi portal için iki faktörlü kimlik doğrulama kullanmalarını tavsiye ediyor. Bunun nedeni, tüketicilerin genellikle uygun olmayan veya zayıf şifreler seçmeleri ve birkaç kullanıcı hesabı veya web hizmeti için tek ve aynı şifreyi kullanmalarıdır. Tek seferlik şifreler birkaç saniye veya dakika sonra geçersiz hale gelir - bu, şifreleri gözetlemek isteyen saldırganları savuşturur, örn. B. Şifreleri girilirken okuyarak veya bir keylogger tarafından .

Bankacılıkta, AB Ödeme Hizmetleri Direktifi, 2018'de Avrupa Ekonomik Alanı için iki faktörlü kimlik doğrulamasını zorunlu hale getirdi . Amazon veya Google gibi web platformları ve mail.de ( 2012'den beri), posteo (2014'ten beri) ve mailbox.org gibi e-posta sağlayıcıları da kullanıcılara kullanıcı hesaplarını iki faktörlü kimlik doğrulama ile koruma seçeneği sunuyor.

Bileşenler

İki faktörlü kimlik doğrulama, yalnızca belirtilen iki bileşen veya faktör birlikte kullanıldığında ve her ikisi de doğruysa başarılı olur. Bir bileşen eksikse veya yanlış kullanılıyorsa erişim yetkisi kesin olarak belirlenemez ve erişim reddedilir.

Faktörler şunlar olabilir:

• Güvenlik belirteci , banka kartı , tek seferlik şifreler oluşturan bir uygulama (aşağıya bakın) veya fiziksel bir anahtar gibi gizlilik koruma öğesi (sahiplik) ,
• şifre , tek kullanımlık şifre , PIN veya işlem numarası (TAN) gibi gizli bilgiler ,
• parmak izi , iris deseni( iris tanıma ), insan sesi veya yürüyüş şekli gibi biyometrik özellikler (kalıtım) .

Dolaylı iki faktörlü kimlik doğrulama

Bir gizlilik öğesi olarak bir güvenlik belirteci aracılığıyla kimlik doğrulamanın dezavantajı , kullanıcı herhangi bir zamanda oturum açabilmek istiyorsa , her zaman taşınması gerektiğidir. Öğe çalınırsa, kaybolursa veya kullanıcının yanında yoksa, erişim imkansızdır veya çok fazla çaba gerektirir. Ayrıca, ilk satın alma ve gerekirse değiştirme satın alma maliyetleri vardır. Bu risklerden kaçınmak için alternatif olarak dolaylı iki faktörlü kimlik doğrulama geliştirilmiştir. Cep telefonları ve akıllı telefonlar gibi mobil cihazları bir gizlilik öğesi olarak kullanır, yani "kullanıcının sahip olduğu bir şey" (ama aynı zamanda kaybedebilir). Mobil cihaz bugünlerde birçok insan için sürekli bir arkadaş olduğundan, ek bir jeton satın alınmasına ve korunmasına gerek yoktur.

Kullanıcı kimliğini doğrulamak isterse, genellikle bir parola ve bir defalık geçerli, dinamik olarak oluşturulmuş bir defalık parola girmesi gerekir. Bu kodu mobil cihazında SMS veya e-posta yoluyla alır veya (daha iyisi) iki faktörlü kimlik doğrulama için ilgili uygulama mobil cihazda bir kerelik şifre oluşturur.

Kullanıcı bir basamak dizisi kullanmışsa, otomatik olarak silinir ve sistem mobil cihaza yeni bir kod gönderir. Belirlenen süre içerisinde yeni kod girilmezse sistem tarafından otomatik olarak değiştirilir. Bu sayede mobil bileşen üzerinde daha önce kullanılmış eski kodlar kalmaz. Daha da fazla güvenlik için, sistem erişimi engellemeden önce kaç tane yanlış girişe izin verileceğini belirleyebilirsiniz.

Kimliği doğrulayan kullanıcının artık manuel veri girişi yapması gerekmiyorsa, işlem yarı otomatik olarak kabul edilir . Bu, NFC yöntemi ile elde edilir . Bunun için önceden kişiselleştirilmiş bir mobil cihaz kullanılır.

İşlem, yalnızca kimliği doğrulayan kullanıcının artık herhangi bir işlem yapması gerekmediğinde tam otomatik olarak kabul edilir . Bu, uluslararası bir endüstri standardı olarak piconets ( Bluetooth ) kullanılarak elde edilir . Bunun için önceden kişiselleştirilmiş bir mobil cihaz kullanılır.

Zamana dayalı tek seferlik parolalar (TOTP) kullanan iki faktörlü kimlik doğrulama uygulamaları

İlk olarak, kullanıcı bir veya daha fazla web tabanlı hizmete karşı dolaylı iki faktörlü kimlik doğrulama için kullanılacak olan ilgili uygulamayı mobil cihaza yükler. Web tabanlı bir hizmet daha sonra, uygulamayı hizmete ikinci bir faktör olarak kaydederek iki faktörlü kimlik doğrulama ile korunabilir. Bunu yapmak için, hizmetin güvenlik sunucusu ve uç cihaz, bir karakter dizisini gizli veya belirteç olarak değiştirir - örn. B. Mobil cihazla bir QR kodu tarayarak veya güvenlik sunucusu tarafından görüntülenen ilgili karakter dizisini manuel olarak girerek. Bu ilk adımdan sonra, sır ideal olarak yalnızca güvenlik sunucusu ve kullanıcının kişisel cihazı tarafından bilinir ve bu hafızayı asla bırakmamalıdır. İlgili bir fonksiyon testinden sonra, web hizmeti kullanıcı hesabı için iki faktörlü doğrulamayı etkinleştirir.

Kullanıcı şimdi web tabanlı hizmeti kullanmak isterse, kullanıcı adını ve şifresini girdikten sonra , kimlik doğrulama için ikinci bir faktör olarak uygulama tarafından oluşturulan bir kerelik şifreyi girmesi istenir . Uygulama, geçerli zamandan ve sırdan bir kerelik şifreyi hesaplar . Bu nedenle client ve server saatlerinin yaklaşık olarak senkronize olması gerekmektedir . Genellikle süreç uçak modunda da çalışır. Aşağıdaki sözde kod, her 30 saniyede bir yeni bir parola sağlar. Uygulamada, sunucu, istemcinin bir dakikaya kadar olan zaman sapmalarını karşılamak için öncül ve ardıl kodunu da kabul edecek şekilde programlanabilir. Tek kullanımlık parola oluşturmak için gereken sır artık iletilmez ve bu nedenle ele geçirilemez.

Bugün, bazıları çok sayıda platformda kullanılabilen TOTP aracılığıyla iki faktörlü kimlik doğrulama için bir dizi uygulama var. Bu uygulamalar, HOTP ( RFC 4226 ) ve TOTP ( RFC 6238 ) açık standartlarını uygular; bu, güvenlik sunucusu bu standartları uygulayan herhangi bir web hizmetiyle kullanılabilecekleri anlamına gelir.

Ayrıca LastPass , Bitwarden veya 1Password gibi şifre yöneticileri artık üçüncü taraflara iki faktörlü kimlik doğrulamayı destekliyor.

Evrensel iki faktörlü kimlik doğrulama

FIDO Alliance 9 Aralık 2014 tarihinde evrensel ve lisans gerektirmeyen standartların ilk versiyonunu başlattı U2F çeşitli yöntemler ve cihazlar ile uyumludur iki faktörlü kimlik doğrulama için yayınladı. Şubat 2015'te Microsoft , FIDO Alliance'ın İnternet üzerinde kimlik doğrulama için 2.0 standardının Windows 10 işletim sistemi tarafından destekleneceğini duyurdu .

Güvenlik yönleri

Güvenlik uzmanları , bir saldırganın sahte bir oturum açma sayfası sunduğu SMS sahtekarlığı ve ortadaki adam saldırılarının , tek seferlik şifrelere dayalı iki faktörlü kimlik doğrulama ile sistemlere girmek için kullanılabileceği konusunda uyarıyor . Fido U2F burada ek koruma sağlar.

İki faktör, iki ayrı iletim kanalı aracılığıyla iletilmelidir. Kaydedilmemeleri veya aynı yerde tutulmama gerekliliği artık çoğu zaman karşılanmamaktadır, bu nedenle bugün çok sayıda banka, aynı uç cihazda bir kerelik bir şifre aracılığıyla iki faktörlü kimlik doğrulama için e-bankacılık uygulamasını ve uygulamasını kullanmaktadır. Kaybolması durumunda, yalnızca 2FA uygulamasındaki olası bir PIN kodunun bankacılık uygulamasını koruyacağını. Ancak, TOTP kullanarak iki faktörlü kimlik doğrulama uygulamasını, 2FA güvenli BT hizmetini kullandığınız cihaza yüklemiş olsanız bile, bu, yalnızca bir oturum açma adı ve parola ile kimlik doğrulamaya kıyasla güvenlikte bir artış anlamına gelir. tek kullanımlık parolanın benzersizliği. Ancak, kimlik doğrulama uygulamasını ikinci bir cihazda kullanmak, ikinci bir faktör için de güvenlik sağlar.

Ayrıca çoğu sağlayıcı, belirli bilgisayarların, oturum açma işlemlerinin tek seferlik bir parola olmadan gerçekleştirilebileceği güvenilir istemciler olarak tanımlanmasına izin verir. Saldırgan böyle bir bilgisayara erişebilirse, ek koruma artık kullanılamaz.

İlgili Makaleler

• Çok faktörlü kimlik doğrulama

İnternet linkleri

• Ağda veri koruması: iki faktörlü kimlik doğrulama ile çift güvenlik. İçinde: Stiftung Warentest . 19 Mart 2019(konuyla ilgili ücretsiz erişilebilir hızlı test).; 8 Nisan 2020'de erişildi 

Bireysel kanıt