Die biometrischen Authentifizierungsmethoden der Gegenwart und Zukunft Forscher entwickeln immer ausgefeiltere Methoden, die es Nutzern erlauben, sich mit individuellen Körpermerkmalen zu authentifizieren
Die Eingliederung von Handys und Tablets ins immer verzweigtere Unternehmensnetzwerk stellt die IT-Sicherheit seit geraumer Zeit vor Herausforderungen. Im Zuge dieser Entwicklung ist das Passwort als Authentifizierungsmethode obsolet, da es schnell verloren oder gestohlen werden kann, wodurch Außenstehende zu leicht Zugang zum System erhalten können.
Die Multi-Faktor-Authentifizierung gilt als deutlich probateres Mittel, da es einen mehrschichtigen Verifizierungsprozess voraussetzt. Der Zugriff auf ein System erfolgt anhand zweier oder mehrerer unabhängiger Berechtigungsnachweise. Bekannt ist diese Methode von Bankomaten. Erst die Kombination der EC-Karte mit dem PIN erlaubt den Zugriff auf das Geldkonto. Im Gegensatz zu rein passwortgeschützten Anwendungen erlaubt der Diebstahl der Kennzahl noch keinen Zugriff auf das Kennwort, da eine weitere Sicherheitsbarriere existiert. Durch den technologischen Fortschritt ergeben sich auch im Bereich der Multi-Faktor-Authentifizierung neue Möglichkeiten, die die Sicherheit zusätzlich erhöhen können.
Durch immer feinere Sensoren halten biometrische Merkmale zunehmend als Authentifizierungsfaktor im Alltag Einzug. Im Gegensatz zur EC-Karte oder dem PIN-Code können biometrische Faktoren nicht einfach verloren gehen oder gestohlen werden und stellen Hacker somit vor noch größere Probleme.
"Forscher entwickeln immer ausgefeiltere Methoden, die es Nutzern erlauben, sich mit individuellen Körpermerkmalen zu authentifizieren", sagt Jason Goode, Regional Director EMEA von Ping Identity. "Neben dem Sicherheitsaspekt ist allerdings die Nutzererfahrung ein wesentlicher Faktor. Eine Lösung, muss einfach zu bedienen sein und darf keinen großen Aufwand voraussetzen, wenn sie sich durchsetzen soll."
Ping Identity gibt eine Übersicht über die biometrischen Authentifizierungsmethoden der Gegenwart und Zukunft.
1. Fingerabdruck: Spätestens seitdem Apple das iPhone 5s mit einem Sensor zum Lesen des Fingerabdrucks ausgestattet hat, ist diese Authentifizierungsmethode salonfähig. Das simple Auflegen des Fingers ermöglicht eine bequeme und schnelle Authentifizierung. Besonders bei neueren Smartphones ist dies die gängige Methode, um die Bildschirmsperre aufzuheben. Diese Technik birgt allerdings Risiken, denn mehrmals konnte diese Technologie bereits überlistet werden.
2. Iris-/Netzhaut-Scan: In Agentenfilmen schon seit Jahren ein probates Verifizierungsmittel, hat der Scan der Netzhaut inzwischen Einzug in das tägliche Leben gehalten. Beispielsweise nutzt Samsung dieses Verfahren in seinem Galaxy S8. Dieses Verfahren gilt als besonders sicher, da die Beschaffenheit und Oberfläche der Netzhaut ähnlich wie der Fingerabdruck individuell ist und sich im Laufe eines Lebens nicht ändert. In zahlreichen Studien und Tests ist bisher auch noch kein fehlerhaftes Erkennen festgestellt worden. Allerdings ließ sich auch der Iris-Scanner des Galaxy S8 bereits austricksen.
3. Stimmerkennung: Die Authentifizierung der Stimme erfolgt über die Messung der Tonvibrationen und dem Vergleich mit bereits bestehenden Mustern. Die zu identifizierende Person muss hierzu bestimmte Worte oder Sätze hinterlegen, um sich per Vergleich authentifizieren zu können. Der Schwachpunkt ist die Anfälligkeit gegenüber Interferenzen und Hintergrundgeräuschen.
4. Handvene: Fujitsu hat eine Variante des Fingerabdrucks entwickelt. Mit PalmSecure registriert sich der Nutzer anhand seiner Hand, genauer gesagt anhand seiner Handvenen. Dabei analysiert der Scanner mithilfe eines Infrarotstrahls die Venenstruktur der Hand und vergleicht sie mit dem hinterlegten Muster. Laut Fujitsu ist diese Methode 100 Mal sicherer als der Abgleich mit einem Fingerabdruck.
5. Gehverhalten: Der individuelle Gehstil soll Authentifizierung in Zukunft sicherer machen. Data61 von der australischen Forschungseinrichtung CSIRO (Commonwealth Scientific and Industrial Research Organisation) hat in einer kleinen Gruppe die Genauigkeit des Gehverhaltens von Nutzern analysiert. Dabei nutzten sie die in Smartphones verbauten Beschleunigungssensoren. Bei ersten Tests konnten die Forscher bereits in 95 Prozent der Fälle die Person korrekt zuordnen. Allerdings nahmen in dieser Testreihe lediglich 20 Personen teil.
Fazit: Im Rahmen der Multi-Faktor-Authentifizierung ist biometrische Authentifizierung ein nicht zu unterschätzendes Element. Bereits heute versprechen diverse Verfahren eine hohe Sicherheit. Das Ende der Entwicklung ist dabei noch nicht erreicht. Mit den fortschreitenden technischen Möglichkeiten werden auch in Zukunft neue und noch sicherere Möglichkeiten erforscht werden, um die Einzigartigkeit des menschlichen Körpers zur Absicherung der digitalen Identität zu verwenden. Mindestens so wichtig wie der Sicherheitsaspekt ist und bleibt dabei der Benutzerkomfort. (Ping Identity: ra)
eingetragen: 06.09.17 Home & Newsletterlauf: 14.09.17
Ping Identity: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.
Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.
Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.
Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.
Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.
