Infosecurity Europe: SecurEnvoy schließt die Hintertür für Datenspione
Wie Seed Records zum Sicherheitsrisiko für Unternehmen werden können
(pressebox) Frankfurt/London, 15.04.2014 - Wer durch die Hintertür kommt, hat oftmals etwas zu verbergen - das gilt auch im IT-Umfeld. So können Datenspione z.B. über sogenannte Backdoors in token-basierten Authentifizierungslösungen Informationen über Firmen ausspähen. Wie sich Unternehmen vor fremden Einblicken schützen können, erläutert SecurEnvoy im Rahmen der Infosecurity Europe (29. April bis 01. Mai, London) an Stand H10. In Vortrag "Revolutionising 2FA to enhance the user experience" beleuchten Andrew Kemshall und Phil Underwood am Markt erhältliche Zwei-Faktor-Authentifizierungslösungen. Außerdem gehen sie auf die Sicherheit von Seed Records ein, spezifischen Algorithmen zur Erstellung von Passcodes für die Nutzeridentifizierung.
An allen drei Messetagen findet im von SecurEnvoy gesponserten Technical Theatre jeweils von 11:20 bis 11:45 Uhr der Vortrag von Andy Kemshall, SecurEnvoy-Mitgründer, und Phil Underwood, Global Head of Pre and Post Sales, statt. Zunächst erfahren die Hörer mehr über die aktuell am Markt verfügbaren Varianten der Zwei-Faktor-Authentifizierungslösungen und deren Login-Möglichkeiten. Die Nutzererfahrung bzw. Bedienfreundlichkeit ("user experience", kurz UX) macht dabei einen wesentlichen Part aus. In puncto Sicherheit stehen die sogenannten Seed Records im Vordergrund. Dabei handelt es sich um spezifische Algorithmen, mit denen die Passcodes erstellt werden. Manche Anbieter speichern Kopien dieser Seeds. Das Problem dabei: Je nach Gesetzgebung können Regierungsbehörden ohne Erlaubnis des betroffenen Unternehmens Einsicht in diese Kopien verlangen. Danach ist es den Behörden möglich, die Seeds zu reproduzieren und unbemerkt von der jeweiligen Firma Login-Vorgänge nachzuvollziehen.
Zweigeteilter Seed Record erhöht Sicherheit
Um dies zu verhindern, splittet SecurEnvoy die Seed Records in zwei Teile. In ihrem Vortrag erläutern Kemshall und Underwood die genaue Vorgehensweise und stellen klar, warum keine Seed Records bei SecurEnvoy gespeichert werden. Stattdessen werden diese lokal beim Kunden generiert. Bei der von SecurEnvoy entwickelten, patentierten tokenlosen Zwei-Faktor-Authentifizierung werden Mobilgeräte als Token-Ersatz genutzt. Dadurch ergeben sich flexible Zustellungsoptionen des zur Identifizierung nötigen Passcodes. Der Nutzer kann ihn per SMS, E-Mail und Festnetzanruf erhalten oder in der Soft Token App generieren. In der kürzlich erschienenen Server-Version 7.2 ist die Option "One Swipe" neu hinzugekommen. Für sie benötigt der Nutzer weder Internet- noch Mobilfunk- oder Festnetzverbindung. Zur Authentifizierung generiert er in der Soft Token App für Smartphone einen einmalig gültigen QR-Code, den er anschließend mit der Webcam seines Laptops o.Ä. abfotografiert. So weist sich der User eindeutig aus.
Weitere Informationen zu Soft Tokens sind unter http://securenvoy.de/zwei-faktor-authentifizierung/was-sind-soft-tokens/ verfügbar.
An allen drei Messetagen findet im von SecurEnvoy gesponserten Technical Theatre jeweils von 11:20 bis 11:45 Uhr der Vortrag von Andy Kemshall, SecurEnvoy-Mitgründer, und Phil Underwood, Global Head of Pre and Post Sales, statt. Zunächst erfahren die Hörer mehr über die aktuell am Markt verfügbaren Varianten der Zwei-Faktor-Authentifizierungslösungen und deren Login-Möglichkeiten. Die Nutzererfahrung bzw. Bedienfreundlichkeit ("user experience", kurz UX) macht dabei einen wesentlichen Part aus. In puncto Sicherheit stehen die sogenannten Seed Records im Vordergrund. Dabei handelt es sich um spezifische Algorithmen, mit denen die Passcodes erstellt werden. Manche Anbieter speichern Kopien dieser Seeds. Das Problem dabei: Je nach Gesetzgebung können Regierungsbehörden ohne Erlaubnis des betroffenen Unternehmens Einsicht in diese Kopien verlangen. Danach ist es den Behörden möglich, die Seeds zu reproduzieren und unbemerkt von der jeweiligen Firma Login-Vorgänge nachzuvollziehen.
Zweigeteilter Seed Record erhöht Sicherheit
Um dies zu verhindern, splittet SecurEnvoy die Seed Records in zwei Teile. In ihrem Vortrag erläutern Kemshall und Underwood die genaue Vorgehensweise und stellen klar, warum keine Seed Records bei SecurEnvoy gespeichert werden. Stattdessen werden diese lokal beim Kunden generiert. Bei der von SecurEnvoy entwickelten, patentierten tokenlosen Zwei-Faktor-Authentifizierung werden Mobilgeräte als Token-Ersatz genutzt. Dadurch ergeben sich flexible Zustellungsoptionen des zur Identifizierung nötigen Passcodes. Der Nutzer kann ihn per SMS, E-Mail und Festnetzanruf erhalten oder in der Soft Token App generieren. In der kürzlich erschienenen Server-Version 7.2 ist die Option "One Swipe" neu hinzugekommen. Für sie benötigt der Nutzer weder Internet- noch Mobilfunk- oder Festnetzverbindung. Zur Authentifizierung generiert er in der Soft Token App für Smartphone einen einmalig gültigen QR-Code, den er anschließend mit der Webcam seines Laptops o.Ä. abfotografiert. So weist sich der User eindeutig aus.
Weitere Informationen zu Soft Tokens sind unter http://securenvoy.de/zwei-faktor-authentifizierung/was-sind-soft-tokens/ verfügbar.
