Authentifizierungsmechanismen

Um auf Computersysteme oder digitale Dienste zugreifen zu können, ist es in der Regel notwendig, sich erfolgreich zu authentifizieren. Dieser Prozess wird überlicherweise in zwei Vorgänge unterteilt. Im ersten Schritt, der Identifizierung, gibt der Nutzer an, wer er ist. Dies erfolgt überlicherweise durch Angabe eines eindeutigen Loginnamens, einer User-ID oder Emailadresse. Anschließend erfolgt die Verifikation seiner Angaben, in welcher der Anwender seine Identität nachweist. Bei der Authentifizierung kann zwischen drei Methoden unterschieden werden:

• ...what you know: Authentifizierung mittels Wissen
  Die wissensbasierte Authentifizierung erfodert ein spezielles Wissen des Benutzer, bspw. eine PIN, ein Passwort oder die korrekte Antwort auf eine vordefinierte Frage.

• ...what you have: Authentifizierung mittels Besitz
  Die besitzbasierte Authentifizierung setzt den persönlichen Besitz eines Objektes voraus. Dabei handelt es sich gewöhnlich um Schlüssel, digitale Zertifikate oder Zugangskarten, zunehmend in Form von Chip-Karten oder mit eingesetzter RFID-Technologie.

• ...who you are: Authentifizierung mittels dem Sein
  Mit Biometrische Merkmale, insbesondere mit Methoden zum Abgleich des Fingerabdrucks, der Stimme oder der Iris wird die Identität des Anwenders überprüft.

Auf einer Meta-Ebene dieser Klassifizierung lässt sich der Kontext als Methode zur Authentifizierung heranziehen. Mittels Umgebungsinformationen, wie bspw. die verwendete IP, die Nutzung lokaler oder nur für einen eingeschränkten Personenkreis zugänglicher Ressourcen oder aber durch die Unterscheidung verschiedener Sicherheitszonen und -level ergeben sich weitere Möglichkeiten zur Authentifizierung, ohne diese klar in die ergriffene Charakterisierung von Sicherheitsmechanismen einordnen zu können. So kann gemäß der Herkunft einer Anfrage die Entscheidung für den Zugriff auf sensible Daten oder die Ausführung von Methoden und Module getroffen werden. Insbesondere im Datenbankbereich oder bei der Kommunikation von Hardwaremodulen eines Gerätes kommen diese Authentifizierungsmechanismen vermehrt zum Einsatz, aber auch im alltäglichen Bereich, wo wir beim Betreten eines Büros nicht den Ausweis des unbekannten Personals verlangen, ehe wir unser Anliegen vortragen.

Trotz vieler alternativer Authentifizierungsmöglichkeiten gehört die Überprüfung der Identität anhand wissensbasierter Merkmale zu den gebräuchlichsten Methoden. Während die besitzbasierte Authentifizierung oftmals die kosten- und aufwandsintensive Erstellung von Magnet- oder Chipkarten voraussetzt, die kaputt oder verloren gehen bzw. sogar gestohlen werden können, stellen Passwörter die am einfachsten zu implementierende Authentifizierungsmethode dar. Im Gegensatz zur Verwendung biometrischer Verfahren müssen keine technischen Geräte beschafft und installiert werden, treten in der Regel keine Erkennungsfehler auf oder kommt es gar zu fehlerhaften Zurückweisungen. Ebenso handelt es sich bei Passwörtern nicht um veränderliche bzw. alternde Merkmale, deren Erkennung im Laufe der Zeit beeinträchtigt werden kann.

Während sich die Authentifizierung in der Biometrie grundsätzlich mit statistischen Fragestellungen auseinandersetzen muss, liefert die Überprüfung eines Passwortes stets ein eindeutiges Ergebnis. So ist bei der Überprüfung biometrischer Merkmale stets ein Abgleich gespeicherter Daten mit neu zu erfassenden Merkmalspunkten erforderlich, welcher oft durch den Einsatz optischer Sensoren bewerkstelligt wird. Sowohl bei der Erfassung der Originaldaten als auch die bei der Authentifizierung zu überprüfenden Merkmale werden dabei von technischen Geräten mit unterschiedlichem Fehlerverhalten und unterschiedlicher Varianz bei der Mustererkennung bestimmt, so dass das Resultat stets ein relativer Vergleich unter Berücksichtigung von Wahrscheinlichkeitswerten ist. Nutzerausfallraten, Falschakzeptanz, -rückweisungs, -identifikations, -match und -non-match-Raten bilden im Gegensatz zur reinen Vergleichsoperation auf die Identität zweier Zeichenfolge im Bereich wissensbasierter Authentifizierung ein komplexes, statistisches Model, das unter schlechten Bedingungen durchaus auch falsche Ergebnisse liefert. Die Performanz biometrischer Systeme ist darüber hinaus personenabhängig und hat dabei ebenso mit Erkennungsschwierigkeiten umzugehen, wie es auch im menschlichen Bereich bei der Unterscheidung von Personen ohne markante Eingenschaften vorkommt.

Passwörter können daher dazu verwendet werden, Schwachstellen alternativer Authentifizierungsmechanismen zu kompensieren und kommen daher oft in Kombination mit besitzbasierten Methoden zum Einsatz. Sowohl die Folgen des Verlustes besitzbasierter Authentifizierungsmerkmale als auch die klassischen Probleme von Passwörtern, die Möglichkeit sie unbefugt weiterzugeben, können somit effektiv eingeschränkt werden. In Anwendungsbereichen, wo hingegen höchste Zuverlässigkeit gewährt werden muss, wie sie auf Grund defekter Magnetkarten oder Biometrie mit einer statistischen Fehleranfälligkeit nicht garantiert ist, sind Passwörter unabdingbar. Das grundlegende Problem wissensbasierter Systeme stellt dabei jedoch das Vergessen sowie die Qualität bzw. Güte von Passwörtern dar, was im Folgenden unter Beachtung der HCI-Forschung analysiert wird.