Das Smartphone ist nicht mehr wegzudenken. Es ist zum täglichen Begleiter und zum digitalen Spiegelbild der eigenen Identität geworden.
Die gesellschaftlichen Implikationen zu erörtern ist heute nicht Thema. Wir nehmen einfach den Fakt wahr.
Das Smartphone als zweiter Faktor
Für viele Benutzer und Organisationen ist es deswegen auch naheliegend und attraktiv, das Smartphone für eine sichere oder auch bequemere Anmeldung zu nutzen. Mit Hilfe von Applikationen wie dem Google Authenticator soll das Smartphone zum zweiten Faktor bei der Anmeldung werden. Auch wenn wir das Smartphone nicht als einen sehr sicheren Faktor ansehen, so hat das privacyIDEA Authentication System seit jeher das Smartphone als zweiten Faktor unterstützt.
Werfen wir kurz einen Blick zurück auf die Sicherheit einer App wie dem Google Authenticator. Denn die Problematik, die beim Ausrollen dieses Faktors an die Benutzer entsteht, haben wir in einem früheren Blogbeitrag bereits diskutiert. Der einfache und aber auch sehr unsichere Rollout einer Smartphone-App hat uns lange umgetrieben und schließlich dazu bewegt, eine eigene Smartphone-App zu entwickeln. Wir stellen heute den privacyIDEA Authenticator vor, den wir ebenfalls transparent in einem Github-Repository entwickeln.
Sicherer Rollout
Das erste zentrale, neue Feature auf der langen Featureliste ist, den Rollout-Prozess der Smartphone-App sicherer zu machen. Dies erreicht der privacyIDEA Authenticator, indem beim Rollout auch das Smartphone selbst eine Schlüssel-Komponente generiert und der eigentliche OTP-Schlüssel aus der Server-Komponente und der Smartphone-Komponente zusammengesetzt wird.
Damit wird effektiv das leichte Kopieren des geheimen Schlüssels während des Rollouts verhindert. Durch das zu leichte Kopieren konnten Benutzer oder Angreifer einfach und unbemerkt das Authentifizierungsdevice und damit die Identität des Benutzers klonen. Mit der privacyIDEA Authenticator App gehört dies nun der Vergangenheit an.
Beta-Tests
Die privacyIDEA Authenticator App ist abwärtskompatibel zum Google Authenticator oder FreeOTP. Ihr volles Potential spielt der privacyIDEA Authenticator mit dem privacyIDEA Server ab Version 2.21 aus. Ab dieser Version ist der gerade beschriebene, sichere Rollout (Two-Step-Enrollment) möglich.
Die privacyIDEA Authenticator App befindet sich im Beta-Status. privacyIDEA 2.21 wird ebenfalls diesen Monat veröffentlicht werden. Im Python Package Index bzw. im Developer PPA repository für Ubuntu 14.04LTS und 16.04LTS sind die Release Kandidaten bereits verfügbar.
Das privacyIDEA Server pre-Release kann installiert werden wie folgt:
pip install privacyidea==2.21dev2
oder die Repositories einbinden via
add-apt-repository ppa:privacyidea/privacyidea-dev
Mehr Infos zur Installation enthält die Online-Dokumentation.
Wer die privacyIDEA Authneticator App testen möchte, ist herzlich eingeladen, Kontakt mit uns aufzunehmen. Sie haben die Mögichkeit im Vorfeld vor dem Release Einfluss auf die App zu nehmen. Der privacyIDEA Authenticator ist für Android verfügbar. Die Installlation im Beta-Test erfolgt ganz normal über den Playstore, so dass keine Änderungen an ihrem Smartphone nötig sind.
Kontaktieren Sie uns noch heute für die Teilnahme am Beta-Test.
