• Keine Ergebnisse gefunden

Kampf dem Passwort!Die Authentifizierung der Zukunft.

N/A
N/A
Protected

Academic year: 2022

Aktie "Kampf dem Passwort!Die Authentifizierung der Zukunft."

Copied!
44
0
0

Wird geladen.... (Jetzt Volltext ansehen)

Volltext

(1)

Linux höchstpersönlich.

Kampf dem Passwort!

Die Authentifizierung der Zukunft.

(2)

Heinlein Support

➞ IT-Consulting und 24/7 Linux-Support mit ~25 Mitarbeitern

➞ Eigener Betrieb eines ISPs seit 1992

➞ Täglich tiefe Einblicke in die Herzen der IT aller Unternehmensgrößen

➞ Macher hinter mailbox.org

➞ 24/7-Notfall-Hotline: 030 / 40 50 5 – 110

➞ 25 Spezialisten mit LPIC-1, LPIC-2 und LPIC-3

➞ Für alles rund um Linux & Server & DMZ

➞ Akutes: Downtimes, Performanceprobleme, Hackereinbrüche, Datenverlust

(3)

Linux höchstpersönlich.

➞ Warum eigentlich kämpfen?

➞ 2-Faktor-Auth bei mailbox.org

➞ Do-it-yourself (DIY)

➞ Universal 2 nd Faktor (Fido/U2F)

(4)

Kampf dem Passwort!elf!!!

(5)

Linux höchstpersönlich.

First things first:

Was bedeutet eigentlich Authentifizierung?!

(6)

Zugang oder Zugriff

Da darf nicht jeder einfach ran.

(7)

Linux höchstpersönlich.

Zugang oder Zugriff

Da darf nicht jeder einfach ran.

Ω

Authorisierung

Person XY darf da ran.

(8)

Zugang oder Zugriff

Da darf nicht jeder einfach ran.

Ω

Authorisierung

Person XY darf da ran.

Ω

Authentifizierung

Ich bin Person XY.

(9)

Linux höchstpersönlich.

Zugang oder Zugriff

Da darf nicht jeder einfach ran.

Ω

Authorisierung

Person XY darf da ran.

Ω

Authentifizierung

Ich bin Person XY.

(10)

Was bedeutet also Authentifizierung?

➞ Authentifizierung ist der Nachweis, dass man der ist, der man vorgibt zu sein.

➞ Ist dieser Nachweis glaubhaft, wird man von der Gegenstelle authentifiziert.

➞ Glaubhaftigkeit entsteht durch geheimes Wissen oder limitierten

Besitz – also z. B. Schlüssel oder Passwörter.

(11)

Linux höchstpersönlich.

Beispiel: Türschloss

(12)

Probleme der klassischen Authentifizierung

➞ Passwörter „besitzt“ man nicht, Passwörter weiß man.

(13)

Linux höchstpersönlich.

Probleme der klassischen Authentifizierung

➞ Passwörter „besitzt“ man nicht, Passwörter weiß man.

➞ „Wissen“ allein ist ein Problem!

➞ Leicht zu kopieren (Wire-Tapping, Replay-Attacks, Client/Server/DB Compromization)

➞ Leicht zu erraten (Bruteforce-Attacks, Dictionary-Attacks)

(14)

Probleme der klassischen Authentifizierung

➞ Passwörter „besitzt“ man nicht, Passwörter weiß man.

➞ „Wissen“ allein ist ein Problem!

➞ Leicht zu kopieren (Wire-Tapping, Replay-Attacks, Client/Server/DB Compromization)

➞ Leicht zu erraten (Bruteforce-Attacks, Dictionary-Attacks)

➞ Die Gegenstelle braucht das gleiche Wissen!

➞ Risiko des Datendiebstahls

➞ Salted HASHs in der Datenbank schützen nur bedingt

(15)

Linux höchstpersönlich.

➞ Smart-Cards und Dongles

➞ Sind die Schlüssel der digitalen Welt

➞ „Besitz“ statt „Wissen“

➞ Enthalten statisches Geheimnis

➞ Vorteil? Nachteil?

Alternativen zur klassischen Authentifizierung

(16)

➞ Smart-Cards und Dongles

➞ Sind die Schlüssel der digitalen Welt

➞ „Besitz“ statt „Wissen“

➞ Enthalten statisches Geheimnis

➞ Vorteil? Nachteil?

➞ One-Time-Passwords (OTP) (Yubikey/FreeOTP)

➞ Algorithmischer Generator für Einweg-Passwörter

➞ Eigentliches Geheimnis wird nie preisgegeben

➞ Jedes Passwort ist genau ein einziges Mal gültig

Alternativen zur klassischen Authentifizierung

(17)

Linux höchstpersönlich.

➞ „Besitz“ allein ist auch ein Problem!

➞ Diebstahl

➞ Verlust

➞ Defekt

Alternativen zur klassischen Authentifizierung

(18)

➞ „Besitz“ allein ist auch ein Problem!

➞ Diebstahl

➞ Verlust

➞ Defekt

➞ Lösung 2-Faktor-Authentifizierung →

➞ „Wissen“ und „Besitz“ vereint

➞ Die Nachteile beider wiegen sich auf

➞ Die Vorteile beider komplementieren sich

Alternativen zur klassischen Authentifizierung

(19)

Linux höchstpersönlich.

2-Faktor-Authentifizierung mit

Yubikey bei mailbox.org

(20)

Was ist ein Yubikey?

➞ Legacy USB-Tastatur

➞ Generiert 44-stelliges OTP

➞ Payload ist ein Zähler

(21)

Linux höchstpersönlich.

Was ist ein Yubikey?

➞ Standard

➞ NANO (ultra-small)

➞ NEO (mit NFC)

(22)

Wie funktioniert Yubikey OTP?

(23)

Linux höchstpersönlich.

Yubikey bei mailbox.org

(24)

DIY Beispiele:

Yubikey zum selber hacken

(25)

Linux höchstpersönlich.

DIY: Yubikey zum selber hacken

(26)

DIY: Yubiserver

(27)

Linux höchstpersönlich.

DIY: Yubiserver

➞ Kleiner Python Daemon

➞ Bei den gängigen Distros enthalten

➞ Webserver auf Port 8000

➞ Nimmt GET Requests mit Parametern entgegen

➞ Führt Yubikey OTP-Validierung durch

➞ Antwortet mit ASCII-Response

(28)

DIY: Yubiserver

(29)

Linux höchstpersönlich.

DIY: libpam-yubico

(30)

DIY: libpam-yubico

(31)

Linux höchstpersönlich.

DIY: libpam-yubico

(32)

Universal 2 nd Factor:

Die Fido Alliance

(33)

Linux höchstpersönlich.

Fido/U2F

➞ Fido Alliance

➞ Google

➞ Yubico

➞ NXP Semiconductors

➞ Universal 2 nd Factor (U2F)

➞ Industrie-Standard für eine allgemein anwendbare 2-Faktor-Authentifizierung

➞ Free and Open-Source Software

(34)

Fido/U2F

➞ Standard: U2F

➞ Universal 2

nd

Faktor

➞ Protokoll: UAF

➞ Universal Authentication Framework

(35)

Linux höchstpersönlich.

Middleware lebt direkt im Browser

(36)

Middleware lebt direkt im Browser

(37)

Linux höchstpersönlich.

Fido/U2F: Besondere Merkmale

➞ Herstellerunabhängigkeit

➞ Betriebssystemunabhängigkeit

➞ Geräteunabhängigkeit

➞ Protokollunabhängigkeit

➞ Anbieterunabhängigkeit

➞ Lizenzfreiheit

➞ Unabhängigkeit von Patentinhabern

➞ Öffentlich zugängliche Verfahrensbeschreibung

(38)

Fido/U2F: Links

➞ Nützliche Links

➞ http://de.wikipedia.org/wiki/U2F

➞ http://fidoalliance.org/news/item/fido-1.0-specifications-published-and-final

➞ http://www.yubico.com/products/yubikey-hardware/fido-u2f-security-key/

➞ http://www.test.de/Internetsicherheit-Yubikey-Standard-kleiner-Schluessel-fuer-grossen-Schutz-4807972-0/

(39)

Linux höchstpersönlich.

➞ Natürlich und gerne stehe ich Ihnen jederzeit mit Rat und Tat zur Verfügung und freue mich auf neue Kontakte.

➞ Peer Heinlein

➞ Mail: p.heinlein@heinlein-support.de

➞ Telefon: 030/40 50 51 – 42

➞ Wenn's brennt:

➞ Heinlein Support 24/7 Notfall-Hotline: 030/40 505 - 110

(40)

Ja, diese Folien stehen auch als PDF im Netz...

(41)

Linux höchstpersönlich.

Soweit, so gut.

Gleich sind Sie am Zug:

Fragen und Diskussionen!

(42)

Wir suchen neue Kollegen für:

Helpdesk, Administration, Consultanting!

Wir bieten:

Spannende Projekte, Kundenlob, eigenständige Arbeit, keine Überstunden, Teamarbeit

...und natürlich: Linux, Linux, Linux...

(43)

Linux höchstpersönlich.

Und nun...

➞ Vielen Dank für's Zuhören...

➞ Schönen Tag noch...

➞ Und viel Erfolg an der Tastatur...

Bis bald.

(44)

allen Fragen rund um Linux-Server

HEINLEIN AKADEMIE

Von Profis für Profis: Wir vermitteln die oberen 10% Wissen: geballtes Wissen und umfang-

reiche Praxiserfahrung.

HEINLEIN CONSULTING

Das Backup für Ihre Linux-Administration:

LPIC-2-Profis lösen im CompetenceCall

Notfälle, auch in SLAs mit 24/7-Verfügbarkeit.

HEINLEIN HOSTING

Individuelles Business-Hosting mit perfekter Maintenance durch unsere Profis. Sicherheit und Verfügbarkeit stehen an erster Stelle.

HEINLEIN ELEMENTS

Hard- und Software-Appliances und speziell für

den Serverbetrieb konzipierte Software rund

ums Thema eMail.

Referenzen

ÄHNLICHE DOKUMENTE

In fact, data collected for the Energy Infrastructure Attack Database (EIAD) -- a dataset for reported attacks by non-state actors on EI since 1980, which was developed by the

Especially un- shielded cables are very vulnerable to this attack, but also the U/FTP, F/UTP, and SF/UTP cables allow to achieve error-less frame decodings of at least half of

Lastly, we proposed a method for the detection of a PRA based on certain statistical properties as well as a mitigation mechanism that performs adaptive reporting via sampling the

Einerseits mag es tatsächlich daran liegen, dass die Kleider nicht mehr sitzen, dass sie zu eng oder zu weit sind, andererseits aber kann auch der Wunsch nach Veränderung

public static void main(String[] argv) { Socket socket;..

public static void main(String[] argv) { Socket socket;.

 Peakflow TMS sends clean Traffic Back to Core.  Traffic

(Nearest police station; Police cybercrime unit; Office for the Protection of the Consti- tution; Federal Office for Information Security (BSI); State Data Protection Commis-