Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › RSA-Entwickler: Mit Honeywords gegen…

Wir müssen endlich weg von Passwörtern

Anzeige
  1. Thema
  1. 1
  2. 2
  3. 3

Neues Thema Ansicht wechseln


  1. Wir müssen endlich weg von Passwörtern

    Autor: jaykay2342 07.05.13 - 15:20

    Es gibt so viele sicherere Authentifikationsverfahren als Passwörter: Zertifikate, Smartcards und so weiter. Alles andere ist doch nur herumgeflickt an einer anfälligen Technik.

  2. Re: Wir müssen endlich weg von Passwörtern

    Autor: pylaner 07.05.13 - 15:29

    Du hast recht, aber sag das mal dem der es bezahlen soll.

  3. Und wer bezahlt das?

    Autor: fratze123 07.05.13 - 15:32

    Und wie soll das funktionieren?
    Ich habe noch nie davon gehört, dass Clients Zertifikate gegenüber einem Server nutzen.
    Und wie man Smartcards bei 'ner Webanwendung bei aktuellem Stand der Technik nutzen will, ist mir auch schleierhaft.

  4. Re: Wir müssen endlich weg von Passwörtern

    Autor: jaykay2342 07.05.13 - 15:35

    Daher kein Geld mehr in Projekte werfen die Passwörter sicherer machen sollen denn das klappt einfach nicht. Alte System wir so oder so kaum jemand umstellen egal auf was. Aber für neuen Kram sollte man dann doch wirklich sich was anderes als PWs einfallen lassen.

  5. Re: Und wer bezahlt das?

    Autor: jaykay2342 07.05.13 - 15:38

    fratze123 schrieb:
    --------------------------------------------------------------------------------
    > Und wie soll das funktionieren?
    > Ich habe noch nie davon gehört, dass Clients Zertifikate gegenüber einem
    > Server nutzen.
    Gibt es aber nutze ich jeden Tag um mich an System anzumelden.

    > Und wie man Smartcards bei 'ner Webanwendung bei aktuellem Stand der
    > Technik nutzen will, ist mir auch schleierhaft.
    Gibt Smartcards die Zertifikate speichern inklusive der Technik dass der Privatekey nicht von der Smartcard kopiert werden kann

  6. Re: Wir müssen endlich weg von Passwörtern

    Autor: Anonymer Nutzer 07.05.13 - 15:38

    Warum z.B. nicht den Crypto Stick weiterentwickeln? Mit dem hätte man alle Möglichkeiten...

  7. Re: Und wer bezahlt das?

    Autor: mav1 07.05.13 - 15:41

    fratze123 schrieb:
    --------------------------------------------------------------------------------
    > Und wie soll das funktionieren?
    > Ich habe noch nie davon gehört, dass Clients Zertifikate gegenüber einem
    > Server nutzen.
    > Und wie man Smartcards bei 'ner Webanwendung bei aktuellem Stand der
    > Technik nutzen will, ist mir auch schleierhaft.


    Verstehe deinen Satz nicht. Man kann sehr wohl Client-Zertifikate benutzen, um sich in einer Webapplikation zu authentifizieren. Nur ist die Konfiguration in den Browsern zu kompliziert für den Otto-Normal Benutzer (obwohl es nur 4 Klicks sind).



    1 mal bearbeitet, zuletzt am 07.05.13 15:42 durch mav1.

  8. Welches System?

    Autor: fratze123 07.05.13 - 15:42

    Das wird doch nie und nimmer 'ne "normale" Webanwendung sein.

    Smartcards brauchste mir nicht erklären. Kenn ich schon. Ich kenne nur keine Möglichkeit, sie ohne irgendwelchen Unsinn wie JAVA im Browser zu nutzen. Zugegeben: auch bei 'nem JAVA-Applet wüßte ich jetzt nicht, wie man damit auf lokale Ressourcen zugreifen will. Mag ja irgendwie gehn...

  9. Re: Und wer bezahlt das?

    Autor: slashwalker 07.05.13 - 15:45

    fratze123 schrieb:
    --------------------------------------------------------------------------------
    > Und wie soll das funktionieren?
    > Ich habe noch nie davon gehört, dass Clients Zertifikate gegenüber einem
    > Server nutzen.
    > Und wie man Smartcards bei 'ner Webanwendung bei aktuellem Stand der
    > Technik nutzen will, ist mir auch schleierhaft.


    Ich habe z.B. in meinem Browser verschiedene Zertifikate die ich nutze um mich z.B. an meinem PHPMyAdmin anzumelden. Ersetzt in meinem Fall htpasswd. Nur mit gültigem Client Zertifikat kommt man auf den PMA Login.

    fratze123 schrieb:
    --------------------------------------------------------------------------------
    > Das wird doch nie und nimmer 'ne "normale" Webanwendung sein.
    >
    > Smartcards brauchste mir nicht erklären. Kenn ich schon. Ich kenne nur
    > keine Möglichkeit, sie ohne irgendwelchen Unsinn wie JAVA im Browser zu
    > nutzen. Zugegeben: auch bei 'nem JAVA-Applet wüßte ich jetzt nicht, wie man
    > damit auf lokale Ressourcen zugreifen will. Mag ja irgendwie gehn...

    Chrome ruft PHPMyAdmin auf, der Webserver (nginx, geht aber auch mit Apache) fragt bei Chrome nach dem Zertifikat. Im Chrome kommt dann ein Popup ob ich Zertifikat XY an den Webserver senden möchte. nginx prüft dann ob gewisse Werte im Zertifikat (CN, OU etc) passen und gut ist. Im Erfolgsfall kannst du auch Header setzen lassen, die du mittels PHP/Whatever ausliest und daran ausmachst ob ein User eingeloggt ist oder nicht. It's no rocket science ;)



    1 mal bearbeitet, zuletzt am 07.05.13 15:55 durch slashwalker.

  10. Re: Welches System?

    Autor: jaykay2342 07.05.13 - 15:45

    Einfachstes Beispiel Wiki(mediawiki) da mach ich täglich ein auth mit einem Zertifikat. Auch viele andere Webanwendungen können damit umgehen. Sag ja wir müssen da noch hin dass wir weg von passierter sind ... aber es geht.

  11. Hm?

    Autor: fratze123 07.05.13 - 15:46

    Welcher Browser? Sicher das du nicht von Server-Zertifikaten (SSL) redest? Falls du 'n Link oder Stichwort hast, würde ich mich gern man darüber informieren. Will ja nicht dumm sterben. ^^

    Client-Zertifizierung kenne ich nur bei Citrix und ähnlichem.

  12. Schon gefunden.

    Autor: fratze123 07.05.13 - 15:47

    Melde mich für heute ab. Muss lesen. :)

  13. Re: Wir müssen endlich weg von Passwörtern

    Autor: DrWatson 07.05.13 - 16:12

    Nur so eine Idee - gibt es wahrscheinlich schon in irgendeiner Form:

    1. Nutzer will sich auf Seite Registrieren
    2. Seite fragt Browser nach Public Key
    3. Browser fragt Nutzer: "Möchten Sie für diese Domain einen Key erstellen?"
    4. Nutzer Bestätigt
    5. Browser erzeugt pub. und private key und sendet pub key an seite


    Ab diesem Punkt kann sich der Nutzer auf der Seite mit seinem Namen einloggen, der Browser macht den Rest der Authentifizierung

  14. Re: Wir müssen endlich weg von Passwörtern

    Autor: slashwalker 07.05.13 - 16:22

    DrWatson schrieb:
    --------------------------------------------------------------------------------
    > Nur so eine Idee - gibt es wahrscheinlich schon in irgendeiner Form:
    >
    > 1. Nutzer will sich auf Seite Registrieren
    > 2. Seite fragt Browser nach Public Key
    > 3. Browser fragt Nutzer: "Möchten Sie für diese Domain einen Key
    > erstellen?"
    > 4. Nutzer Bestätigt
    > 5. Browser erzeugt pub. und private key und sendet pub key an seite
    >
    > Ab diesem Punkt kann sich der Nutzer auf der Seite mit seinem Namen
    > einloggen, der Browser macht den Rest der Authentifizierung

    Das Problem ist iirc das die Erzeugung des Keys in jedem Browser anders implementiert ist und man für den Browser ein anderes Script programmieren müsste.

    Hatte mich auch mal mit der automatischen Erzeugung beschäftigt, nach dem ich bei Comodo gesehen habe das die den Key für kostenfreie Mail Zertifikate auch im Browser erzeugen und man das fertige Zertifikat eben auch nur mit diesem Browser downloaden konnte.

    Aber für den täglichen Gebrauch (Forensoftware oder ähnliches) ist das durch die uneinheitliche Umsetzung in IE/Firefox/Chrome etc einfach unbrauchbar.

    Für meine privaten Zwecke (PHPMyAdmin / Server Admin Oberfläche etc) generiere ich eben auf der Shell mit openssl.

  15. Re: Wir müssen endlich weg von Passwörtern

    Autor: a user 07.05.13 - 16:28

    pylaner schrieb:
    --------------------------------------------------------------------------------
    > Du hast recht, aber sag das mal dem der es bezahlen soll.

    es gibt sehr viel günstigere alternativen, als teure smartcards, leider nicht auf dem freien markt (bringt ja weniger geld).

  16. Re: Wir müssen endlich weg von Passwörtern

    Autor: DrWatson 07.05.13 - 16:31

    slashwalker schrieb:
    --------------------------------------------------------------------------------
    > Für meine privaten Zwecke (PHPMyAdmin / Server Admin Oberfläche etc)
    > generiere ich eben auf der Shell mit openssl.

    Genau deshalb dachte ich mir, dass man das automatisieren und standardisieren könnte, denn das ist meiner Meinung nach der Beste Ansatz.

    > Das Problem ist iirc das die Erzeugung des Keys in jedem Browser anders
    > implementiert ist und man für den Browser ein anderes Script programmieren
    > müsste.

    Wie gesagt, das sollte als Standard in Broswern eingebaut sein. Wenn Google, Mozilla oder gar das WHATWG so was pushen, sollte das Erfolg haben. Dann müssen nur noch Google, Github etc die Werbetrommel rühren damit die Benutzer das auch nutzen.

  17. Re: Wir müssen endlich weg von Passwörtern

    Autor: ck2k 07.05.13 - 16:37

    ist ja alles schön und gut, aber wie verhindert Otto-Normal User, dass sich nicht jemand anders, der Zugang zu dem PC hat, sich mit seinen Daten anmeldet?
    Klar, man könnte das Zertifikat auf einem USB Stick speichern (den dann bitte nicht verlieren...) und bei jedem Login das Zertifikat neu importieren, hinterher wieder löschen und so, aber praktikabel ist anders.

    Für viele Leute ist es ja schon zu schwer in Facebook den Logout Button zu benutzen, erklär denen mal den korrekten Umgang mit Zertifikaten...

  18. Re: Wir müssen endlich weg von Passwörtern

    Autor: slashwalker 07.05.13 - 16:38

    Hatte mich vertan. Die Erzeugung eines CSR ist in allen Browsern unterschiedlich gelöst.
    http://stackoverflow.com/questions/9197484/generating-client-side-certificates-in-browser-and-signing-on-server

  19. www.mozilla.org/persona/

    Autor: dabbes 07.05.13 - 16:39

    An Identity System for the Web
    http://www.mozilla.org/persona/

  20. Re: www.mozilla.org/persona/

    Autor: ck2k 07.05.13 - 16:44

    thx, kannte ich noch nicht :)

  1. 1
  2. 2
  3. 3

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Anzeige
Stellenmarkt
  1. ASYS Automatisierungssysteme GmbH, Dornstadt bei Ulm
  2. Hemmersbach GmbH & Co. KG, Frankfurt am Main
  3. Zurich Gruppe Deutschland, Bonn
  4. W. Gessmann GmbH, Leingarten

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 399,00€ (Lieferung am 10. November)
  2. 299,00€


Haben wir etwas übersehen?

E-Mail an news@golem.de


MacOS 10.12 im Test: Sierra - Schreck mit System
MacOS 10.12 im Test
Sierra - Schreck mit System
  1. MacOS 10.12 Fujitsu warnt vor der Nutzung von Scansnap unter Sierra
  2. MacOS 10.12 Sierra fungiert als alleiniges Sicherheitsupdate für OS X
  3. MacOS Sierra und iOS 10 Apple schmeißt unsichere Krypto raus

X1D ausprobiert: Die Hasselblad für Einsteiger
X1D ausprobiert
Die Hasselblad für Einsteiger
  1. Modulares Smartphone Lenovo bringt Moto Z mit Moto Z Play nach Deutschland
  2. Hasselblad DJI hebt mit 50-Megapixel-Luftbildkamera ab

Rocketlab: Neuseeland genehmigt Start für erste elektrische Rakete
Rocketlab
Neuseeland genehmigt Start für erste elektrische Rakete
  1. Osiris Rex Asteroid Bennu, wir kommen!
  2. Raumfahrt Erster Apollo-Bordcomputer aus dem Schrott gerettet
  3. Startups Wie Billig-Raketen die Raumfahrt revolutionieren

  1. Hilfe von Google: Brian Krebs' Blog ist nach DDoS-Angriff wieder erreichbar
    Hilfe von Google
    Brian Krebs' Blog ist nach DDoS-Angriff wieder erreichbar

    Der größte bislang bekannte DDoS-Angriff hat Brian Krebs nur kurzzeitig offline genommen. Das Blog des Sicherheitsforschers wird künftig von Googles Project Shield geschützt.

  2. Filmdatenbank: Schauspieler lassen ihr Alter aus dem Internet entfernen
    Filmdatenbank
    Schauspieler lassen ihr Alter aus dem Internet entfernen

    In Kalifornien ansässige Schauspieler können künftig verlangen, dass ihr Alter aus Datenbanken der Branche entfernt wird. So will es ein Gesetz gegen Altersdiskriminierung, das in Kalifornien verabschiedet wurde. Kritiker sehen dadurch die Redefreiheit eingeschränkt.

  3. Fortwo, Fortwo Cabrio und Forfour: Ab 2017 gibt es alle Smarts als Elektroautos
    Fortwo, Fortwo Cabrio und Forfour
    Ab 2017 gibt es alle Smarts als Elektroautos

    Smart will laut Medienbericht ab 2017 alle Fahrzeuge seiner Modellpalette auch mit Elektromotoren anbieten. Dazu gehören der Fortwo, das Fortwo Cabrio und der Forfour.


  1. 13:45

  2. 13:30

  3. 13:00

  4. 12:30

  5. 12:03

  6. 11:49

  7. 11:37

  8. 11:30