Zugangssicherheit: 2FA, MFA und FIDO2 erklärt
Das Passwort hat eigentlich ausgedient, weil mit FIDO2 ein phishingresistentes Log-in-Verfahren existiert. Wie erklären Ihnen die Funktionsweise.
- Jürgen Seeger
Sicherheit und Zugänglichkeit sind bekanntlich konkurrierende Anforderungen: Je sicherer, desto unbequemer. Logisch also, dass viele – wenn nicht die meisten – Benutzer schlampig mit ihren Passwörtern umgehen. Seien es die berühmt-berüchtigten Zettel unter der Tastatur, Trivial-Passwörter à la "12345678", immerwährend gleiche Phrasen für verschiedene Zugänge oder der Vorname der Tochter. Daran haben bislang auch erzieherische Maßnahmen wie der Welt-Passwort-Tag – jedes Jahr am ersten Donnerstag im Mai – wenig geändert.
Wer nationale Gedenktage mag, der kann am Änderere-dein-Passwort-Tag am 1. Februar alljährlich alle, so wirklich die Aufforderung, Passwörter ändern. Dabei ist das BSI von seinem Rat, man möge Passwörter häufig ändern, bereits 2020 abgerückt. Denn das führe nur zu einfachen und somit unsicheren Passwörtern. Hintergrund: Ist ein Bruce-Force-Angriff auf ein zehn Zeichen langes Passwort aus dem Ziffernraum von 0 bis 9 in 10 Sekunden erledigt, dauert dies bei gleicher Rechenleistung bei einem Zeichenraum von 96 (Klein- und Großbuchstaben, Ziffern, Sonderzeichen) über 2000 Jahre. Dabei ist das "Erraten" von Passwörtern mittels automatisierten Ausprobierens oder Wörterbüchern nur eine Variante der Kompromittierung von Zugangsdaten. Sie können auch schlicht abgefangen oder via Social Engineering beziehungsweise Phishing ausspioniert werden. Hinzu kommt die Arbeitsbelastung auf der Serviceseite: Anrufe wegen vergessener Credentials, Mechanismen zum Übermitteln neuer Passwörter und so fort.
Langer Rede kurzer Sinn: Allein die Kombination von Accountnamen und Passwort ist weder sicher noch bequem oder effizient. Ein weiteres Kennwort oder Merkmal zu fordern, ist zumindest aus der Sicherheitsperspektive betrachtet eine auf der Hand liegende Idee, also eine Zwei- oder Mehr-Faktor-Autorisierung (2FA/MFA). Zudem sollte dieser zweite Faktor nicht dauerhaft kompromittierbar sein, weil er nur für ein Log-in oder für einen begrenzten Zeitraum gilt.
Das war die Leseprobe unseres heise-Plus-Artikels "Zugangssicherheit: 2FA, MFA und FIDO2 erklärt". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.Immer mehr Wissen. Das digitale Abo für IT und Technik.
Workshop: Frontplatten mit System zum Selberbauen
Volvo EX30 im Test: Elektroauto mit überreichlich Power
Smartwatches im Vergleich: Huawei Watch Fit 3 und Xiaomi Watch 2
Insta360 X4 im Test: 360-Grad-Video in 8K-Auflösung
Kamerasensoren erklärt: So wird aus Licht ein Bild
Informatiker im Öffentlichen Dienst: Aufgaben, Gehälter und Verbeamtung
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Workshop: Frontplatten mit System zum Selberbauen
Volvo EX30 im Test: Elektroauto mit überreichlich Power
Smartwatches im Vergleich: Huawei Watch Fit 3 und Xiaomi Watch 2
Insta360 X4 im Test: 360-Grad-Video in 8K-Auflösung
Kamerasensoren erklärt: So wird aus Licht ein Bild