Google experimentiert an neuen Login-Mechanismen
Google entwickelt intern mal wieder an der Verbesserung der Sicherheit von unseren Benutzerkonten. Nachdem man vor knapp 2 Jahren die 2-Faktor Authentifizierung einführte, bestehend aus Passwort und einem zeitlich begrenzten PIN, experimentiert man nun mit einem physikalischen Gerät, welches das normale Passwort ersetzten soll.
In einem Forschungsbericht, der Wired vorliegt, beschreiben zwei Google Mitarbeiter die Risiken der bisherigen Login-Verfahren. Passwörter und einfache Cookies seien in der heutigen Zeit nicht mehr ausreichend, um eine Kompromittierung des Accounts sicher zu verhindern.
Damit haben sie meiner Meinung nach vollkommen recht. Die Schwächen mit Benutzername/Passwort sieht man immer häufiger, wenn Millionen an Benutzerdaten gestohlen worden, weil die Passwörter zum einen relativ schwach waren, aber auch die viel leistungsfähigere Hardware plus mietbare Cloud-Ressourcen größeren Erfolg bei einem Brute-Force-Angriff versprechen.
Daher hat man sich für die Entwicklung eines verschlüsselten Chips entschieden, der beispielsweise in einem USB-Stick untergebracht werden kann. Auf diesem ist dann der geheime Schlüssel abgespeichert, der die Logindaten des Accounts enthält. Sobald man den Stick in den PC einsteckt, wird man über den Chrome Browser in seinem Google-Account angemeldet.
Hierfür arbeitet man mit der Firma Yubico zusammen, die ein solches Verfahren bereits mit Google Apps Accounts umsetzen.
In einem nächsten Schritt kann man sich auch drahtlose Techniken vorstellen. So erwähnt man beispielsweise das Smartphone oder einen Ring am Finger, der die Logindaten an den PC überträgt. Man werde zwar nicht gänzlich ohne Passwörter auskommen, jedoch soll die Zeit der schwer zu merkenden Passwörter beendet werden.
Man erhofft sich allerdings nicht alleine mit dem Versuch dazustehen, sondern will ein, bisher ohne konkreten Namen, offenes Protokoll veröffentlichen, damit jeder das neue Verfahren implementieren kann. Dies wird dann allerdings von einem Browser abhängig sein, der dieses Protokoll auch unterstützt.
Ich bin nicht gänzlich überzeugt von dem Konzept. Zwar ist ein Angriff, z.B. Phishing, von außen geschützt. Die Gefahr des Diebstahls oder Verlust des Schlüssels ist allerdings dennoch möglich. Die 2-Faktor-Authentifizierung finde ich aktuell attraktiver, allerdings dürfte sich Google einige Gedanken darüber gemacht haben und man sollte das fertige Produkt abwarten. [via, Quelle]
Wird geladen ...
Aha: „wird man über den Chrome Browser in seinem Google-Account angemeldet.“
Darum geht es. Man soll keinen anderen Browser ausser Chrome benutzen.
Glaube eher das goggle das System mit g+ verknüpfen wird 😉 .
ich denke es ist am Ende völlig egal welchen Browser man nutzt, solang er das Protokoll unterstützt… es ist wohl nur eine Umschreibung des Verfahrens
Ich halte von Hardware-basierten Authorisierungsverfahren garnichts, weil der Verlust des Key/USB-Sticks oder was auch immer, wesentlich wahrscheinlicher ist, als das Vergessen eines Master-Password für z.b. einen elektronischen Passwordsafe, worin man dann alle seine – hoffentlich sicheren, kryptischen – Passwörter ablegt.
Google will hier wieder exklusive Interfaces schaffen – nur um der lieben Sicherheit und Menschenfreudlichkeit wegen machen die das garantiert nicht.
Dongles sind aber glücklicherweise so unpraktikabel, das werden die wohl nie durchsetzen.
Kann Thomas da nur zustimmen. Als Erweiterung der 2-Faktorauthentifizierung sicherlich eine sinnvolle Lösung, aber ich möchte nicht, dass ich nur noch mit einem kleinen USB-Stick an meine Daten komme.
Aber ja, wir brauchen Passwortalternativen und es kann sicher nicht schaden, wenn in jede mögliche Richtung geforscht wird. Statt Ring am Finger dann vielleicht Chip im Finger.
Warum Chip im Finger? Dann doch einfach per Fingerabdruck oder Retina-Scan…das erübrigt die lästige OP zum Einpflanzen des Chips und eventuelle gesundheitliche Risiken.
Ich nutze bie Google bereits die 2-Faktor-Auth. per PW + SMS-Code, das ist für meine persönlichen, unwichtigen Daten sicher genug.
Dazu lagern alle Passwörter in einem sicheren Safe, damit ich mir die nicht alle merken muss.
Für den Heimgebrauch sollte das sicher genug sein…
würde ich nur nutzen, wenn es als 2factor-auth genutzt werden könnte, d.h. ich username+password trotzdem noch manuell eingeben muss. aber als alleinige authentifizierung -> nöööö
ich bin jetzt seit knapp 3 Jahren yubico kunde und super zufrieden mit den produkten.kann man jedem der an etwas mehr sicherheits interessiert ist nur empfehlen.
achja
@hautschi der vorteil am chip ist doch gerade der, dass die schlüssel im chip gespeichert werden (physikalisch nicht über usb abfragbar sondern nur durch physikalische interaktion getriggert). das ist nicht möglich wenn die daten irgendwo auf deinem rechner gespeichert werden.
@asd – kannst du heute schon mit den ganz normalen yubikeys. im übrigen ist (ganz genau genommen) auch bei dem oben vorgestellten konzept, sollte es denn korrekt beschrieben sein, der key auch nur der zweite faktor. deine credentials musst du bei der erstmaligen anmeldung wohl trotzdem angeben – auch wenn sie danach auf dem lokalen rechner gespeichert werden ist das 2-factor-auth und im übrigen auch nicht weniger sicher. wenn du davon aus gehst das lokale daten geklaut werden (credentials) dann hat jemand zugriff auf deinen pc gehabt. demnach ist es auch kein problem keylogger zu installieren und deine eingabe abzufangen. daher: das speichern der credentials ist in diesem szenario nur dann sicherheitsrelevant, wenn der fremdzugriff zeitlich begrenzt ist.
@Patrick Meyhöfer
Ich befürchte in dem beitrag sind einige nicht unrelevante recherche-fehler:
1. „Auf diesem ist dann der geheime Schlüssel abgespeichert, der die Logindaten des Accounts enthält.“
–> Da sind keine Logindaten drauf gespeichert, sondern lediglich der private schlüssel um das OT-Token zu generieren. Um mit möglichst vielen systemen kompatibel zu sein, emuliert ein yubikey eine tastatur. durch berühren des usb sticks wird das OT-Token generiert und als tastaturausgabe abgesetzt.
2. „Hierfür arbeitet man mit der Firma Yubico zusammen, die ein solches Verfahren bereits mit Google Apps Accounts umsetzen.“
–> SAML ist kein verfahren von yubico sondern ein standard. Yubico hostet lediglich einen SAML service welcher in zusammenspiel mit dem OT-Token über claims based authentication einen login auf der google apps seite ermöglicht.
3. „In einem nächsten Schritt kann man sich auch drahtlose Techniken vorstellen“
Gibt es schon. Nennt sich yubikey neo und arbeitet mit NFC um so zb mit einem smartphone genutzt zu werden.
4. „Zwar ist ein Angriff, z.B. Phishing, von außen geschützt. Die Gefahr des Diebstahls oder Verlust des Schlüssels ist allerdings dennoch möglich“
Falsch und wieder falsch. Ein OT-Token schützt NICHT vor phishing. Es erschwert dieses maximal und selbst das in den wenigsten fällen. Ein OT-Token welches über einen Challange-Response Service abgewickelt wird würde gegen pishing schützen – das machen heute z.b. die allermeisten banken mit ihren e-tan generatoren.
Und jedes mir bekannte physikalische token besitzt eine reset funktion im verlustfall, z.b. über ein master passwort.
5. „Die 2-Faktor-Authentifizierung finde ich aktuell attraktiver,…“
wie bereits an hautschi geäußert, streng genommen ist auch diese technologie eine 2-faktor auth. Nur verstehen die meisten den begriff falsch – alà „ich muss zwei mal etwas machen um mich anzumelden“. DAS ist nicht die definition von 2-factor auth.
in zukunft wäre ich erfreut darüber, dass wenn man schon über ein thema schreiben muss in dem man offenkundig unsicher ist, man dieses besser recherchiert.
besonders wenn es um das thema sicherheit geht, liegt es irgendwo in der verantwortung der selbsternannten technologieexperten nicht noch mehr verwirrung in der allgemeinheit zu stiften.
die einzige für mich nützliche info in diesem beitrag war die zusammenarbeit von google und yubico – großartig!
Ralph liest auch nur das was er will und überspringt einen ganzen Absatz
„Man erhofft sich allerdings nicht alleine mit dem Versuch dazustehen, sondern will ein, bisher ohne konkreten Namen, offenes Protokoll veröffentlichen, damit jeder das neue Verfahren implementieren kann. Dies wird dann allerdings von einem Browser abhängig sein, der dieses Protokoll auch unterstützt.“
Das Teil wird Open Source.
@Michael das ‚Teil‘ ist schon Open Source – @masi hat’s erfasst. Google wird einen Teufel tun und was Anderes als SAML nehmen…
Bei uns im Unternehmen setzen wir die Yubikeys für eine 2 Faktor Authentifzierung ein.
Ich persönlich verwende den Google Authenticator als 2. Faktor. Auch als PAM Modul sehr gut zur zusätzlichen Absicherung geeignet.
Google Authenticator kann kopiert und damit kompromittiert werden. Man kann für jeden User beim SAMLServer ein ganz normales Passwort setzen. Somit ist auch dort 2-factor-auth implementiert. Eingeben muss man beim Login dann Passwort:yubikey.
Beim kritischen Beobachter schrillen angesichts dieser Forderungen unmittelbar sämtliche Alarmglocken. Wenn der weltgrößte Internetdienstleister eine Strategie gegen die Verwendung von Passwörtern veröffentlicht, dann geht es um weitaus mehr als um die Steigerung der Bequemlichkeit oder die Erhöhung der Sicherheit für die Nutzer. In jedem Fall steigt die Akzeptanz für die anvisierte Lösung und ebnet damit den Weg zur totalen Überwachung der Bürger wieder ein Stück mehr.
In der Tat ist die Authentifizierung im Internet mit Benutzername und Passwort bei den meisten unbedarften Anwendern ein Problem, wobei sich diese in den wenigsten Fällen überhaupt der potenziellen Gefahr von Missbrauch bewusst sind. Nicht selten werden lediglich einfachste Passwörter verwendet, die leicht erraten werden können.
Dazu kommt die höchst bedenkliche Angewohnheit, aus Bequemlichkeit bei sämtlichen genutzten Diensten im Internet, stets denselben Benutzerdaten und dasselbe Passwort zu verwenden. Diese, als grobe Fahrlässigkeit einzuordnende Marotte, ist leider äußerst weit verbreitet und die wenigsten Nutzer sind sich überhaupt bewusst, was sie hier tun.
Dabei gibt es durchaus praktikable und kostenlose Mittel und Wege, mit sicheren und durchgängig unterschiedlichen Benutzerdaten im Internet unterwegs zu sein, ohne sich alle diese Informationen auswendig merken zu müssen. Leider sind derartige Anwendungen aber oft nur von versierten Anwendern nutzbar, weil die Programme eine gewisse Komplexität besitzen und im dümmsten Fall wiederum entweder das Hauptpasswort zu unsicher gewählt oder sogar gänzlich verlegt wird.
Daher sind die Absichten der Sicherheits-Spezialisten von Google durchaus nachvollziehbar und auch tatsächlich im Sinne der meisten unbedarften Internetnutzer. Doch ihre Forderung nach einem “Hardware-Token” offenbart ganz klar, wohin die Reise schlussendlich gehen soll.
Denn auch ein kleiner USB-Datenträger, ein Ring oder ein anderes Schmuckstück mit einem RFID-Chip sowie ein Mobiltelefon mit NFC-Technik, können verloren gehen oder in die falschen Hände geraten. Der vermeintliche Sicherheitsgewinn ist daher lediglich vordergründig, denn auf diese Weise wird es Datendieben sogar einfacher gemacht, sobald sie sich im Besitz dieses “Schlüssels” befinden.
In letzter Konsequenz dürfte offensichtlich sein, was der nächste geforderte Schritt sein wird: Der “Schlüssel” bzw. der Chip müssen untrennbar mit der sie betreffenden Person verbunden werden, sprich, das Teil kommt unter die Haut. Damit würden dann – offiziellen Verlautbarungen zufolge – gleich mehrere Fliegen mit einer Klappe geschlagen:
Nicht nur die Internetauthentifizierung, sondern auch die persönliche Identifikation, die Gesundheitsdaten sowie der Bank- und Kontozugang und etliches mehr könnten auf diese Weise ganz einfach für jeden Träger eines solchen “intelligenten Chips” als perfekte und bequeme Lösung propagiert werden. Dass dies im Umkehrschluss das Ende jeglichen Datenschutzes bedeutet, werden viele Menschen sicherlich gerne hinnehmen, haben sie doch schließlich nichts zu verbergen.
Ob Google damit tatsächlich diesen Plan bzw. diese mittelfristige Strategie zur totalen Kontrolle über alle Bürger weltweit verfolgt, wissen wir nicht. Prinzipiell ist dies jedoch nicht auszuschließen, da der Konzern nachweislich enge Verbindungen zu den Bilderbergern und ähnlichen selbsternannten “Weltbeherrschern” pflegt. Und jene haben das klare Ziel, jeden Bürger zu “verchippen”.
Nichtsdestotrotz ist die Forderung nach sicherer Authentifizierung im Internet definitiv ein weiterer Sargnagel im Kampf der “Elite” gegen die Freiheit der Menschen. Und sie geschieht in keinem Falle rein zufällig: