Zwei-Faktor-Authentifizierung
Alles, was Sie gelesen haben, betrifft die Identifizierung basierend auf dem, was der Anforderer weiß.Er kennt seine E-Mail-Adresse, weiß, wie er darauf zugreifen kann (d.h. kennt sein E-Mail-Passwort) und kennt die Antworten auf geheime Fragen.
„Wissen“ gilt als ein Authentifizierungsfaktor; zwei weitere gängige Faktoren sind etwas, das Sie haben, wie ein physisches Gerät, und wer Sie sind, wie Fingerabdrücke oder die Netzhaut des Auges.
In den meisten Fällen ist die Durchführung von biometrischen Identifikationen in der Praxis schwierig, insbesondere wenn es um die Sicherheit von Webanwendungen geht. Daher wird bei der Zwei-Faktor-Authentifizierung (2FA) normalerweise das zweite Attribut verwendet – „etwas, das Sie haben“. Eine der beliebten Varianten dieses zweiten Faktors ist ein physischer Token, wie z.B. :
Ein physischer Token wird häufig zur Authentifizierung in Unternehmens-VPNs und Finanzdienstleistungen verwendet. Für die Authentifizierung im Dienst müssen sowohl das Passwort als auch der Code auf dem Token (der häufig wechselt) zusammen mit der PIN verwendet werden. Theoretisch muss ein Angreifer das Passwort kennen, den Token besitzen und auch die PIN des Tokens wissen, um sich zu identifizieren. Im Szenario eines Passwort-Reset ist das Passwort offensichtlich unbekannt, jedoch kann der Besitz des Tokens zur Bestätigung des Kontoeigentums genutzt werden. Natürlich, wie bei jeder Sicherheitsimplementierung, , erhöht jedoch definitiv die Eintrittsbarriere.
Eine der Hauptprobleme bei diesem Ansatz sind die Kosten und die Logistik der Umsetzung; wir sprechen von der Übergabe physischer Geräte an jeden Kunden und der Schulung in einem neuen Prozess. Außerdem müssen die Benutzer ein Gerät bei sich haben, was bei physischen Tokens nicht immer der Fall ist. Eine weitere Möglichkeit besteht darin, die Zwei-Faktor-Authentifizierung über SMS zu implementieren, die im Falle von 2FA als Bestätigung dienen kann, dass die Person, die den Zurücksetzungsprozess durchführt, im Besitz des Mobiltelefons des Kontoinhabers ist. So macht es Google:
Es ist auch notwendig, , aber das bedeutet, dass Ihr Mobiltelefon beim nächsten Zurücksetzen des Passworts zum zweiten Faktor der Authentifizierung werden kann. Lassen Sie mich dies anhand meines iPhones demonstrieren, aus Gründen, die bald klar werden:
Nachdem die E-Mail-Adresse des Google-Kontos identifiziert wurde, stellt Google fest, dass 2FA aktiviert war, und wir können das Konto durch die Verifizierung zurücksetzen, die über SMS an das Mobiltelefon des Kontoinhabers gesendet wird:
Jetzt müssen wir den Beginn des Rücksetzungsprozesses auswählen:
Diese Aktion führt zum Versand einer E-Mail an die registrierte Adresse:
Diese E-Mail enthält die URL zum Zurücksetzen:
Beim Zugriff auf die URL zum Zurücksetzen wird eine SMS gesendet und die Webseite fordert zur Eingabe auf:
Hier ist die SMS:
Nach der Eingabe im Browser kehren wir zum klassischen Zurücksetzen des Passworts zurück:
Das mag etwas umständlich erscheinen, und das ist es auch, aber das Verfahren bestätigt, dass die Person, die zurücksetzt, Zugriff auf die E-Mail-Adresse und die Mobiltelefonnummer des Kontoinhabers hat. Dies kann jedoch bis zu neunmal sicherer sein als das Zurücksetzen des Passworts nur über E-Mail. Es gibt jedoch Probleme...
Das Problem betrifft Smartphones. Das unten gezeigte Gerät kann nur einen Authentifizierungsfaktor bestätigen — es kann SMS empfangen, aber keine E-Mails:
Dieses Gerät kann jedoch SMS empfangen und E-Mails zum Zurücksetzen des Passworts empfangen:
Das Problem ist, dass wir E-Mail als den primären Authentifizierungsfaktor betrachten und SMS (oder sogar eine Token-Generator-App) als sekundären; jedoch sind sie heute in einem Gerät vereint. Das bedeutet, wenn jemand Zugriff auf Ihr Smartphone erhält, reduziert sich all dieser Komfort darauf, dass wir wieder zu einem einzigen Kanal zurückkehren; dieser zweite Faktor "etwas, das Sie haben" bedeutet, dass Sie auch den ersten Faktor haben. Und das alles ist durch einen vierstelligen PIN geschützt… vorausgesetzt, das Telefon hat überhaupt einen PIN. und Es wurde gesperrt.
Ja, die von Google implementierte 2FA-Funktion bietet definitiv zusätzlichen Schutz, aber sie ist nicht „narrensicher“ und hängt ganz sicher nicht von zwei völlig unabhängigen Kanälen ab.
Zurücksetzen über den Benutzernamen versus Zurücksetzen über die E-Mail-Adresse
Sollte das Zurücksetzen nur über die E-Mail-Adresse erlaubt werden? Oder sollte der Benutzer auch die Möglichkeit haben, über den Benutzernamen zurückzusetzen? Das Problem beim Zurücksetzen über den Benutzernamen besteht darin, dass es keine Möglichkeit gibt, den Benutzer über einen falschen Benutzernamen zu benachrichtigen, ohne dass jemand anderes ein Konto mit diesem Namen haben könnte. Im vorherigen Abschnitt gewährte der E-Mail-Zurücksetzen, dass der rechtmäßige Eigentümer dieser E-Mail immer Rückmeldungen erhält, ohne seine Existenz im System öffentlich offenzulegen. Nur mit einem Benutzernamen ist dies nicht möglich.
Deshalb ist die Antwort kurz: nur E-Mail. Wenn Sie versuchen, nur mit dem Benutzernamen zurückzusetzen, wird es Fälle geben, in denen der Benutzer verwirrt ist, was geschehen ist. oder Sie würden die Existenz von Konten offenbaren. Ja, es ist nur ein Benutzername, nicht eine E-Mail-Adresse, und ja, jeder kann einen beliebigen (verfügbaren) Benutzernamen wählen, aber es besteht dennoch eine hohe Wahrscheinlichkeit, dass Sie indirekt die Kontoinhaber offenbaren, aufgrund der Neigung der Benutzer zur Mehrfachverwendung von Namen.
Was passiert also, wenn jemand seinen Benutzernamen vergisst? Angenommen, der Benutzername ist nicht zugleich die E-Mail-Adresse (was oft der Fall ist), ähnelt der Prozess dem, wie ein Passwort zurückgesetzt wird – wir geben die E-Mail-Adresse ein und senden dann eine Nachricht an diese Adresse, ohne die Existenz derselben preiszugeben. Der einzige Unterschied besteht darin, dass diese Nachricht diesmal nur den Benutzernamen und nicht die URL für das Zurücksetzen des Passworts enthält. Oder, es könnte auch im E-Mail-Text stehen, dass für diese Adresse kein Konto existiert.
Identitätsprüfung und Genauigkeit der E-Mail-Adressen
Ein entscheidender Aspekt beim Zurücksetzen von Passwörtern ist, und wahrscheinlich auch der wichtigste Aspekt, die Identitätsprüfung der Person, die versucht, den Reset durchzuführen. Ist es tatsächlich der rechtmäßige Kontoinhaber, oder versucht jemand, ihn zu hacken oder dem Eigentümer Unannehmlichkeiten zu bereiten?
Es ist offensichtlich, dass E-Mail der bequemste und am weitesten verbreitete Kanal zur Überprüfung der Identität ist. Sie ist nicht vor unsachgemäßer Handhabung („von Dummköpfen“) geschützt, und es gibt zahlreiche Fälle, in denen die bloße Möglichkeit, E-Mails an die Adresse des Kontoinhabers zu empfangen, nicht ausreicht, wenn ein hohes Maß an Vertrauen in die Identifizierung erforderlich ist (deshalb wird 2FA verwendet). Dennoch ist sie fast immer der Ausgangspunkt des Zurücksetzprozesses.
Wenn E-Mail eine Rolle bei der Gewährleistung von Vertrauen spielt, muss zunächst sichergestellt werden, dass die E-Mail-Adresse tatsächlich korrekt ist. Wenn jemand ein Zeichen falsch eingegeben hat, wird der Reset offensichtlich nicht beginnen. Der Verifizierungsprozess der E-Mail-Adresse zum Zeitpunkt der Registrierung ist eine zuverlässige Methode zur Überprüfung der Korrektheit der Adresse. Wir haben das alle schon erlebt: Sie registrieren sich, erhalten eine E-Mail mit einem einzigartigen URL, auf den Sie klicken müssen, um zu bestätigen, dass Sie tatsächlich der Eigentümer dieser E-Mail-Adresse sind. Die Unfähigkeit, sich ins System einzuloggen, bis dieser Prozess abgeschlossen ist, stellt sicher, dass es einen Anreiz zur Bestätigung der Adresse gibt.
Wie bei vielen anderen Sicherheitsaspekten verringert ein solches Modell die Benutzerfreundlichkeit im Austausch gegen ein höheres Maß an Sicherheit, insbesondere in Bezug auf die Identifizierung des Benutzers. Dies kann akzeptabel sein für eine Website, deren Registrierung der Benutzer hochschätzt und bereitwillig einen zusätzlichen Schritt des Prozesses in Kauf nimmt (z. B. kostenpflichtige Dienste, Banking usw.), jedoch könnten solche Anforderungen den Benutzer abschrecken, wenn er sein Konto als „einmalig“ betrachtet und es beispielsweise nur als Mittel zum Kommentieren eines Beitrags nutzt.
Identifizierung, wer den Rücksetzungsprozess initiiert hat
Offensichtlich gibt es Gründe für den Missbrauch der Rücksetzungsfunktion, und Angreifer können diese auf verschiedene Weisen ausnutzen. Ein einfacher Trick, der uns helfen kann, die Quelle der Anfrage zu bestätigen (diese Methode funktioniert in der Regel) besteht darin, die IP-Adresse des anfragenden Benutzers in die E-Mail zum Zurücksetzen aufzunehmen. Dies bietet dem Empfänger einige Informationen zur Identifizierung der Anfragequelle.
Hier ist ein Beispiel aus der Rücksetzungsfunktion, die ich derzeit in ASafaWeb implementiere:
Der Link „find out more“ („Mehr erfahren“) führt den Benutzer zur Website , die Informationen wie den Standort und die Organisation des anfragenden Benutzers bereitstellt:
Natürlich haben alle, die ihre Identität verbergen möchten, zahlreiche Möglichkeiten, ihre echte IP-Adresse zu verschleiern, jedoch ist dies eine bequeme Methode, um eine teilweise Identifikation des Anfragenden hinzuzufügen, und in in den meisten manchen Fällen gibt es Ihnen ausreichende Informationen darüber, wer die Anfrage zum Zurücksetzen des Passworts stellt.
Benachrichtigung über Änderungen per E-Mail
Dieser Beitrag beschäftigt sich mit einem Thema – Kommunikation; informieren Sie den Kontoinhaber so gut wie möglich über den Verlauf des Prozesses, ohne Informationen preiszugeben, die missbräuchlich verwendet werden könnten. Dasselbe gilt für die Situation, in der das Passwort tatsächlich geändert wurde – informieren Sie den Eigentümer darüber!
Die Gründe für die Änderung des Passworts können zwei Quellen haben:
- Änderung des Passworts nach dem Einloggen, weil der Benutzer ein neues Passwort wünscht
- Zurücksetzen des Passworts ohne Anmeldung, weil der Benutzer es vergessen hat
Obwohl dieser Beitrag hauptsächlich dem Zurücksetzen gewidmet ist, verringert die Benachrichtigung im ersten Fall das Risiko, dass jemand das Passwort ohne das Wissen des rechtmäßigen Eigentümers ändert. Wie kann so etwas geschehen? Ein häufiges Szenario ist, dass das Passwort des rechtmäßigen Eigentümers (ein wiederverwendetes Passwort, das aus einer anderen Quelle geleakt wurde; ein Passwort, das durch Keylogging erlangt wurde; ein leicht zu erratendes Passwort usw.) erhalten wird, und der Angreifer dann beschließt, es zu ändern, wodurch er den Eigentümer ausschließt. Ohne eine E-Mail-Benachrichtigung wird der echte Besitzer nicht über die Passwortänderung informiert.
Natürlich muss der Eigentümer im Falle eines Passwortzurücksetzens den Prozess selbst initiiert haben (oder die oben beschriebenen Identitätsprüfungen umgangen haben), daher wird die Änderung nicht eine Überraschung für ihn sein, jedoch wird die Bestätigung per E-Mail ein positives Feedback und eine zusätzliche Überprüfung bieten. Außerdem sorgt dies für Einheitlichkeit mit dem oben beschriebenen Szenario.
Ach ja, und für den Fall, dass es noch nicht offensichtlich ist — senden Sie das neue Passwort niemals per E-Mail! Das mag einige belustigen, aber :
Logs, Logs, Logs und noch mehr Logs
Die Passwort-Reset-Funktion zieht Angreifer an: Entweder möchte der Angreifer auf das Konto einer anderen Person zugreifen oder einfach nur dem Kontoinhaber/System Unannehmlichkeiten bereiten. Viele der oben beschriebenen Praktiken verringern die Wahrscheinlichkeit von Missbrauch, verhindern ihn jedoch nicht, und sie halten Menschen auch nicht davon ab, die Funktion unangemessen zu nutzen.
Eine absolut unbezahlbare Praxis zur Erkennung böswilligen Verhaltens ist das Logging, und damit meine ich sehr detailliertes Logging. Protokollieren Sie fehlgeschlagene Anmeldeversuche, Passwort-Resets, Passwortänderungen (d.h. wenn der Benutzer bereits eingeloggt ist) und praktisch alles, was Ihnen helfen kann, das Geschehen zu verstehen; dies wird Ihnen in der Zukunft sehr nützlich sein. Protokollieren Sie in den Logs sogar einzelne Teile Bei Prozessen, zum Beispiel, sollte eine gute Zurücksetzfunktion das Initiieren des Zurücksetzens über die Website umfassen (Dokumentation der Anfragen und Login-Versuche beim Zurücksetzen mit falschem Benutzernamen oder E-Mail), das Erfassen des Website-Besuchs über die Zurücksetz-URL (einschließlich der Versuche mit einem ungültigen Token), und anschließend das Protokollieren des Erfolgs oder des Fehlers bei der Beantwortung der geheimen Frage.
Wenn ich von Logging spreche, meine ich nicht nur die Aufzeichnung des Seitenaufrufs, sondern auch die Sammlung von so vielen Informationen wie möglich, sofern sie nicht vertraulich sind.Leute, bitte speichert keine Passwörter in den Logs! In den Logs sollte die Identität des authentifizierten Benutzers registriert werden (er wird authentifiziert, wenn er ein bestehendes Passwort ändert oder versucht, das Passwort eines anderen zurückzusetzen, nachdem er sich eingeloggt hat), sowie alle getesteten Benutzernamen oder E-Mail-Adressen und alle Reset-Tokens, die er versucht zu verwenden. Es ist jedoch auch sinnvoll, Aspekte wie IP-Adressen und, wenn möglich, sogar die Header der Anfragen zu protokollieren. Dies ermöglicht es Ihnen, nicht nur zu rekonstruieren, was Ein Benutzer (oder Angreifer) versucht, dies zu tun, aber auch wer er ist.
Die Verantwortung an andere Dienstleister delegieren
Wenn Sie glauben, dass dies eine enorme Arbeitslast darstellt, sind Sie nicht allein. Tatsächlich ist der Aufbau eines zuverlässigen Systems für den Umgang mit Konten keine einfache Aufgabe. Es liegt nicht daran, dass es technisch schwierig ist; es gibt einfach viele Besonderheiten. Es geht nicht nur um das Zurücksetzen von Passwörtern, es gibt einen ganzen Prozess der Registrierung, sichere Passwortspeicherung, die Verarbeitung mehrerer falscher Anmeldeversuche usw. Heute gibt es zahlreiche Drittanbieter, die gerne all diese Mühen übernehmen und alles in einem verwalteten Service abstrahieren. Zu diesen Diensten gehören OpenID, OAuth und sogar Facebook. Einige Menschen
glauben bedingungslos an dieses Modell es wörtlich als Albtraum empfinden. .
Ohne Zweifel löst ein Service wie OpenID viele Probleme für Entwickler, jedoch bringt er auch neue Herausforderungen mit sich. Haben diese eine Rolle? Ja, aber es ist offensichtlich, dass wir keine massenhafte Nutzung von Authentifizierungsdiensten beobachten. Banken, Fluggesellschaften und sogar Geschäfte implementieren ihre eigenen Authentifizierungsmechanismen, und es ist klar, dass es dafür triftige Gründe gibt.
Böswilliger Passwortreset
Ein wichtiger Aspekt jedes der oben genannten Beispiele ist, dass das alte Passwort nur dann als nutzlos angesehen wird, nachdem die Identität des Kontoinhabers bestätigt wurde. Dies ist wichtig, denn wenn ein Konto ohne Identitätsprüfung zurückgesetzt werden könnte, würde das vielfältige Möglichkeiten für böswillige Handlungen eröffnen. bis zu Identitätsprüfungen würden zahlreiche böswillige Handlungen ermöglichen.
Hier ist ein Beispiel: Jemand nimmt an einer Auktion teil und gegen Ende des Bietprozesses blockiert er die Wettbewerber, indem er den Rücksetzprozess initiiert, wodurch diese aus dem Bietverzeichnis entfernt werden. Offensichtlich kann eine schlecht gestaltete Rücksetzfunktion, die missbraucht werden kann, zu gravierenden negativen Ergebnissen führen. Es ist bemerkenswert, dass das Sperren von Konten durch falsche Anmeldeversuche eine ähnliche Situation darstellt, aber das ist bereits ein Thema für einen anderen Beitrag.
Wie ich oben erwähnt habe, wenn anonymen Benutzern die Möglichkeit gegeben wird, das Passwort eines beliebigen Kontos zurückzusetzen, nur indem sie die E-Mail-Adresse kennen, dann ist das eine ideale Situation für einen Denial-of-Service-Angriff. Das ist vielleicht nicht die Art von , über die wir normalerweise sprechen, aber es gibt keinen schnelleren Weg, um den Zugang zu einem Konto zu blockieren als durch eine schlecht durchdachte Passwort-Rücksetzfunktion.
Das schwächste Glied
Aus der Perspektive des Schutzes eines Kontos ist alles oben Gesagte großartig, jedoch müssen Sie immer das Ökosystem im Blick haben, das das Konto umgibt, das Sie schützen möchten. Lassen Sie mich ein Beispiel geben:
ASafaWeb wird von einem hervorragenden Service bereitgestellt, der von AppHarbor angeboten wird. Der Prozess zum Zurücksetzen des Hosting-Kontos gestaltet sich wie folgt:
Schritt 1:
Schritt 2:
Schritt 3:
Schritt 4:
Nachdem Sie alle vorherigen Informationen gelesen haben, wird es klar, welche Aspekte wir in einer idealen Welt anders gestalten würden. Allerdings möchte ich darauf hinweisen, dass, selbst wenn ich eine Website wie ASafaWeb bei AppHarbor veröffentliche, großartige geheime Fragen und Antworten erfinde, die Zwei-Faktor-Authentifizierung hinzufüge und alles nach den Regeln mache, dies nicht ausschließt, dass das schwächste Glied im Prozess alles gefährden kann. Wenn jemand sich erfolgreich bei AppHarbor authentifiziert, indem er meine Informationen nutzt, könnte er das Passwort für jedes ASafaWeb-Konto ändern, wie es ihm gefällt!
Es geht darum, die Robustheit der Sicherheitsimplementierung ganzheitlich zu betrachten: Es müssen Bedrohungen für jeden Zugangspunkt des Systems simuliert werden, auch wenn es sich um einen oberflächlichen Prozess handelt, wie den Zugang zu AppHarbor. Dies sollte mir einen guten Eindruck davon vermitteln, wie viel Aufwand ich in den Prozess zum Zurücksetzen des ASafaWeb-Passworts investieren muss.
Alles zusammenführen
Dieser Beitrag enthält eine große Menge an Informationen, daher möchte ich sie in einem einfachen visuellen Schema zusammenfassen:
Denken Sie daran, dass Sie für jeden dieser Punkte so detailliert wie möglich protokollieren sollten. Das ist alles, ganz einfach!
Ergebnisse
Mein Beitrag scheint umfassend zu sein, allerdings gibt es viele zusätzliche Materialien, die ich einfügen könnte , aber ich habe mich aus Gründen der Kürze entschieden, darauf zu verzichten: die Rolle der Rettungs-E-Mail-Adresse, die Situation, in der Sie den Zugang zur mit Ihrem Konto verknüpften E-Mail-Adresse verlieren (zum Beispiel, wenn Sie Ihren Job verlieren) und so weiter. Wie bereits gesagt, ist die Rücksetzfunktion nicht so kompliziert, es gibt nur viele Perspektiven darauf.
Obwohl das Zurücksetzen nicht kompliziert ist, wird es oft falsch umgesetzt. Weiter oben haben wir einige Beispiele gesehen, wo die Implementierung herausfinden, ob der Benutzer Animationseffekte deaktiviert hat und auch verschiedene Animationsmöglichkeiten auf der Website deaktivieren, wie beispielsweise den Wackeleffekt bei den Schaltflächen, die zur Aufmerksamkeit geworben werden; zu Problemen führen kann, und es gibt viele weitere Fälle, in denen ein falsches Zurücksetzen gibt es wirklich Probleme verursacht hat. Kürzlich wurde festgestellt, dass Das ist ein ernsthaft negatives Ergebnis!
Seien Sie daher vorsichtig mit Ihren Rücksetzfunktionen, an verschiedenen Punkten, und beim Entwerfen Ihrer Funktionen sollten Sie Ihren schwarzen Hut nicht abnehmen, denn es besteht eine hohe Wahrscheinlichkeit, dass ihn jemand anderes aufsetzt!
Im Auftrag der Werbung
VDSina bietet preiswerte mit täglicher Abrechnung, jeder Server ist an einen 500 Mbit Internetkanal angeschlossen und kostenlos gegen DDoS-Angriffe geschützt!
Quelle: habr.com
