Authentifizierungsprotokoll

Ein Authentifizierungsprotokoll ist ein speziell für die Übertragung von Authentifizierungsdaten zwischen zwei Entitäten entwickeltes Computerkommunikationsprotokoll bzw. kryptografisches Protokoll . Es ermöglicht der empfangenden Entität, die verbindende Entität (z. B. einen Client gegenüber einem Server) zu authentifizieren und sich selbst gegenüber der verbindenden Entität (Server gegenüber einem Client) zu authentifizieren, indem es die für die Authentifizierung benötigten Informationen und deren Syntax deklariert. ^{[ 1 ]} Es stellt die wichtigste Schutzebene für die sichere Kommunikation in Computernetzwerken dar.

Mit der zunehmenden Menge an vertrauenswürdigen Informationen, die über das Netzwerk zugänglich sind, entstand der Bedarf, Unbefugte vor dem Zugriff auf diese Daten zu schützen. In der Computerwelt ist Identitätsdiebstahl möglich – daher wurden spezielle Verifizierungsmethoden entwickelt, um festzustellen, ob die Person oder der Computer, der Daten anfordert, tatsächlich die Person ist, für die er sich ausgibt. ^{[ 2 ]} Die Aufgabe des Authentifizierungsprotokolls besteht darin, die genaue Abfolge der für die Authentifizierung erforderlichen Schritte festzulegen. Es muss den wichtigsten Protokollprinzipien entsprechen:

1. Ein Protokoll erfordert die Beteiligung von mindestens zwei Parteien, und alle am Protokoll Beteiligten müssen das Protokoll im Voraus kennen.
2. Alle beteiligten Parteien müssen das Protokoll befolgen.
3. Ein Protokoll muss eindeutig sein – jeder Schritt muss präzise definiert sein.
4. Ein Protokoll muss vollständig sein – es muss für jede mögliche Situation eine festgelegte Vorgehensweise enthalten.

Eine Veranschaulichung der passwortbasierten Authentifizierung mithilfe eines einfachen Authentifizierungsprotokolls:

Alice (eine Entität, die verifiziert werden möchte) und Bob (eine Entität, die Alices Identität überprüft) kennen beide das vereinbarte Protokoll. Bob hat Alices Passwort zum Vergleich in einer Datenbank gespeichert.

1. Alice sendet Bob ihr Passwort in einem den Protokollregeln entsprechenden Datenpaket.
2. Bob vergleicht das empfangene Passwort mit dem in seiner Datenbank gespeicherten. Anschließend sendet er je nach Ergebnis ein Paket mit der Meldung „Authentifizierung erfolgreich“ oder „Authentifizierung fehlgeschlagen“. ^{[ 3 ]}

Dies ist ein Beispiel für ein sehr einfaches Authentifizierungsprotokoll, das anfällig für zahlreiche Bedrohungen wie Abhören , Replay-Angriffe , Man-in-the-Middle -Angriffe, Wörterbuchangriffe oder Brute-Force-Angriffe ist. Die meisten Authentifizierungsprotokolle sind komplexer, um gegen diese Angriffe resistent zu sein. ^{[ 4 ]}

Protokolle werden hauptsächlich von Point-to-Point-Protokoll- Servern (PPP) verwendet, um die Identität von Remote-Clients zu überprüfen, bevor ihnen Zugriff auf Serverdaten gewährt wird. Die meisten dieser Protokolle verwenden ein Passwort als Grundlage der Authentifizierung. In den meisten Fällen muss das Passwort im Voraus zwischen den Kommunikationspartnern ausgetauscht werden. ^{[ 5 ]}

Das Password Authentication Protocol (PAP) ist eines der ältesten Authentifizierungsprotokolle. Die Authentifizierung beginnt damit, dass der Client zu Beginn der Verbindung ein Paket mit den Anmeldeinformationen (Benutzername und Passwort) sendet und die Authentifizierungsanfrage so lange wiederholt, bis eine Bestätigung empfangen wird. ^{[ 6 ]} Es ist äußerst unsicher, da die Anmeldeinformationen unverschlüsselt und wiederholt übertragen werden, wodurch es selbst für einfachste Angriffe wie Abhören und Man-in-the-Middle -Angriffe anfällig ist. Obwohl PAP weit verbreitet ist, wird spezifiziert, dass eine Implementierung, die eine stärkere Authentifizierungsmethode anbietet, diese vor PAP bereitstellen muss . Eine gemischte Authentifizierung (z. B. durch denselben Client, der abwechselnd PAP und CHAP verwendet) ist ebenfalls nicht zulässig, da die CHAP-Authentifizierung durch die Übertragung des Passworts im Klartext durch PAP kompromittiert würde.

Der Authentifizierungsprozess dieses Protokolls wird stets vom Server/Host initiiert und kann jederzeit während der Sitzung, auch wiederholt, durchgeführt werden. Der Server sendet eine zufällige Zeichenkette (üblicherweise 128 Byte lang). Der Client verwendet das Passwort und die empfangene Zeichenkette als Eingabe für eine Hash-Funktion und sendet das Ergebnis zusammen mit dem Benutzernamen im Klartext. Der Server wendet dieselbe Funktion mit dem Benutzernamen an und vergleicht den berechneten mit dem empfangenen Hashwert. Die Authentifizierung ist erfolgreich, wenn die berechneten und empfangenen Hashwerte übereinstimmen.

EAP wurde ursprünglich für PPP (Point-to-Point Protocol) entwickelt, findet heute aber breite Anwendung in IEEE 802.3 , IEEE 802.11 (WiFi) und IEEE 802.16 als Teil des IEEE 802.1x -Authentifizierungsframeworks. Die neueste Version ist in RFC 5247 standardisiert. Der Vorteil von EAP liegt darin, dass es lediglich ein allgemeines Authentifizierungsframework für die Client-Server-Authentifizierung darstellt – die konkrete Authentifizierungsmethode wird in den verschiedenen Varianten, den sogenannten EAP-Methoden, definiert. Es existieren über 40 EAP-Methoden; die gängigsten sind:

• EAP-MD5
• EAP-TLS
• EAP-TTLS
• EAP-FAST
• EAP- PEAP

Komplexe Protokolle, die in größeren Netzwerken zur Überprüfung des Benutzers (Authentifizierung), zur Kontrolle des Zugriffs auf Serverdaten (Autorisierung) und zur Überwachung von Netzwerkressourcen und Informationen, die für die Abrechnung von Dienstleistungen benötigt werden (Abrechnung), verwendet werden.

Das älteste AAA-Protokoll nutzte IP-basierte Authentifizierung ohne Verschlüsselung (Benutzernamen und Passwörter wurden unverschlüsselt übertragen). Die spätere Version XTACACS (Extended TACACS) ergänzte diese um Autorisierung und Abrechnung. Beide Protokolle wurden später durch TACACS+ ersetzt. TACACS+ trennt die AAA-Komponenten, sodass diese getrennt und auf separaten Servern verarbeitet werden können (es kann sogar ein anderes Protokoll, z. B. für die Autorisierung, verwenden). Es nutzt TCP (Transmission Control Protocol) für den Transport und verschlüsselt das gesamte Paket. TACACS+ ist ein proprietäres Cisco-Protokoll.

Der Remote Authentication Dial-In User Service (RADIUS) ist ein vollständiges AAA-Protokoll, das häufig von Internetdienstanbietern verwendet wird . Die Anmeldeinformationen basieren meist auf einer Kombination aus Benutzername und Passwort, und es verwendet das NAS- und das UDP- Protokoll für den Transport. ^{[ 7 ]}

Diameter (Protokoll) entwickelte sich aus RADIUS und beinhaltet viele Verbesserungen, wie die Verwendung des zuverlässigeren Transportprotokolls TCP oder SCTP sowie eine höhere Sicherheit dank TLS . ^{[ 8 ]}

Kerberos ist ein zentralisiertes Netzwerkauthentifizierungssystem, das am MIT entwickelt wurde und als kostenlose Implementierung vom MIT sowie in vielen kommerziellen Produkten verfügbar ist. Es ist die Standardauthentifizierungsmethode in Windows 2000 und späteren Versionen. Der Authentifizierungsprozess selbst ist deutlich komplexer als bei früheren Protokollen: Kerberos verwendet symmetrische Kryptografie , erfordert eine vertrauenswürdige dritte Partei und kann bei Bedarf in bestimmten Phasen der Authentifizierung auch Public-Key-Kryptografie einsetzen. ^{[ 9 ] [ 10 ] [ 11 ]}

Aktuelle Forschung im Bereich der Authentifizierungsprotokolle hebt Fortschritte hervor, die auf die Absicherung ressourcenbeschränkter Umgebungen wie dem industriellen Internet der Dinge (IoT) abzielen. Diese modernen Protokolle nutzen fortschrittliche kryptografische Verfahren, darunter die Elliptische-Kurven-Kryptographie (ECC), um eine sichere gegenseitige Authentifizierung und den Austausch von Sitzungsschlüsseln bei gleichzeitig minimalem Rechen- und Energieaufwand zu ermöglichen. Datenschutzmechanismen wurden in die biometrische Authentifizierung integriert, um die Sicherheit zu erhöhen, ohne die Vertraulichkeit der Nutzerdaten zu beeinträchtigen. Ein weiterer Schwerpunkt liegt auf der Resistenz gegen Seitenkanal- und Replay-Angriffe sowie auf der Gewährleistung von Vorwärts- und Rückwärtsgeheimhaltung zum Schutz von Sitzungsschlüsseln in dynamischen Netzwerkszenarien. Diese neuen Technologien stellen einen bedeutenden Fortschritt für eine effizientere und sicherere Authentifizierung in sich stetig weiterentwickelnden digitalen Landschaften dar. ^{[ 12 ]}

• Auch bekannt als
• Grundlegende Zugriffsauthentifizierung
• CAVE-basierte Authentifizierung
• CRAM-MD5
• Verdauen
• Host Identity Protocol (HIP)
• LAN-Manager
• NTLM , auch bekannt als NT LAN Manager
• OpenID -Protokoll
• Passwortauthentifizierte Schlüsselaustauschprotokolle
• Protokoll zur Durchführung der Authentifizierung für den Netzwerkzugriff (PANA)
• Secure Remote Password Protocol (SRP)
• RFID-Authentifizierungsprotokolle
• Woo Lam 92 (Protokoll)
• SAML