RUB-Forscher macht Single Sign-On deutlich sicherer

Quellcode, Code, Programmierung, Programmiersprache
Wissenschaftler der Ruhr-Universität Bochum (RUB) haben sich der grundlegenden Probleme des Single Sign-Ons angenommen und konnten nun eine Lösung vorlegen, die deutlich mehr Sicherheit bieten soll. Bisher war die Methode zwar bequem, aber auch problematisch.
Denn mit dem Komfort steigt die Gefahr - statt wiederholter Anmeldung ermöglicht Single Sign-On dem Nutzer mit nur einem Login den Zugriff auf all seine passwortgeschützten Bereiche und Webseiten. Doch auch Angreifer wissen um den Mehrwert, den eine einzige erfolgreiche Attacke hier für sie bereithält. Die zentrale Schnittstelle konnte nun sicherer gemacht werden.

Grundsätzlich scheint das System für jeden User traumhaft: "Einmal authentifiziert stehen ihm seine Informationen und Dienste sofort und ohne erneute lästige Passworteingabe zur Verfügung", so Andreas Mayer, Doktorand am Lehrstuhl für Netz- und Datensicherheit der RUB. Doch genau diese Konzentration potenziere den möglichen Schaden, der dem Nutzer durch einen Angriff entstehen könne. Ohne passgenaue Sicherheitskonzepte drohen Identitätsdiebstähle in bislang ungeahnter Größenordnung.

Dass die Einmal-Anmeldung längst nicht so sicher ist wie bislang angenommen, zeigten die Bochumer Wissenschaftler erst vor kurzem: Sie knackten 12 von 14 SSO-Systemen, die massive Sicherheitslücken aufwiesen. "Wir rechnen in naher Zukunft mit vermehrten Angriffen auf browser-basierte SSO-Lösungen wie Facebook Connect, SAML, OpenID und Microsoft Cardspace", so Mayer. "Es ist äußerst besorgniserregend, dass keines der aktuell eingesetzten und in den vergangenen zwölf Jahren entwickelten SSO-Protokolle wirksamen Schutz vor gezielten Angriffen bietet."

Bislang können die vielen Bedrohungs-Szenarien wie Phishing, Pharming, Man-in-the-Middle-Angriffe oder Cross-Site Scripting die steigende Popularität der SSO-Angebote nicht bremsen. Zu komfortabel ist das Modell, zu arglos oft der Nutzer. Der Gefahr steuert Mayer mit seinen Ergebnissen entgegen: Er implementierte das normierte "SAML Holder-of-Key Web Browser SSO Profile" erstmals im weltweit verbreiteten Open Source Framework "SimpleSAMLphp" - das ist eine Programmieranwendung rund um die Authentifikation.

"Dadurch bindet der Holder-of-Key alle kritischen Authentisierungs- und Autorisierungsinformationen - die sogenannten Security Tokens - kryptographisch an den Browser des rechtmäßigen Benutzers", erklärte Mayer. "Entstanden ist eine hochwirksame und quelloffene Lösung, die von allen gängigen Browsern unterstützt wird." Quellcode, Code, Programmierung, Programmiersprache Quellcode, Code, Programmierung, Programmiersprache
Diese Nachricht empfehlen
Kommentieren10
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!

Jetzt als Amazon Blitzangebot

Ab 00:00 Uhr Vera F. Birkenbihl - Führungskräfteseminar
Vera F. Birkenbihl - Führungskräfteseminar
Original Amazon-Preis
69,98
Im Preisvergleich ab
61,99
Blitzangebot-Preis
35,00
Ersparnis zu Amazon 50% oder 34,98

Video-Empfehlungen

WinFuture Mobil

WinFuture.mbo QR-Code Auch Unterwegs bestens informiert!
Nachrichten und Kommentare auf
dem Smartphone lesen.

Tipp einsenden