Die tokenbasierte Authentifizierung ist ein Protokoll, mit dem Benutzer ihre Identität verifizieren können und im Gegenzug ein eindeutiges Zugriffstoken erhalten. Während der Nutzungsdauer des Security Tokens haben die Benutzer Zugriff auf die Website oder Anwendung, für die das Token herausgegeben wurde. Sie müssen dann nicht jedes Mal ihre Anmeldedaten erneut eingeben, wenn sie auf dieselbe Webseite, Anwendung oder Ressource zugreifen, die durch das betreffende Token geschützt wird.

Authentifizierungstoken funktionieren wie ein gestempelter Fahrschein. Der Benutzer hat Zugriff, solange das Token gültig ist. Sobald sich der Benutzer abmeldet oder eine Anwendung beendet, wird das Token entwertet.

Die tokenbasierte Authentifizierung unterscheidet sich von der herkömmlichen passwort- oder serverbasierten Authentifizierung. Token bieten eine zusätzliche Sicherheitsschicht und Administratoren können zudem jede Aktion und Transaktion genau kontrollieren.

Die Verwendung von Token erfordert jedoch ein gewisses Maß an Programmierkenntnissen. Die meisten Entwickler werden schnell mit der Materie vertraut, es muss aber eine Lernkurve überwunden werden.

Anhand der nachfolgenden Informationen finden Sie schnell heraus, ob Token die richtige Wahl für Sie und Ihr Unternehmen sind.

Entwicklung von Authentifizierungstoken

Authentifizierung und Autorisierung sind zwei unterschiedliche Konzepte, gehören aber zusammen. Bevor es Authentifizierungstoken gab, wurden Passwörter und Server verwendet. Mithilfe herkömmlicher Methoden wurde sichergestellt, dass die richtigen Personen zur richtigen Zeit auf die richtigen Dinge zugreifen konnten, was jedoch nicht immer effektiv war.

Nehmen wir zum Beispiel Passwörter. In der Regel ist für Passwörter Folgendes erforderlich:

• Passwort generieren. Der Benutzer denkt sich eine Kombination aus Buchstaben, Zahlen und Symbolen aus.
• Passwort merken. Der Benutzer muss sich die eindeutige Kombination merken.
• Passwort wiederholen. Bei jedem Zugriff auf ein Objekt muss das Passwort erneut eingegeben werden.

Der Diebstahl von Passwörtern ist weit verbreitet. Einer der ersten dokumentierten Fälle von Passwortdiebstahl ereignete sich bereits im Jahr 1962. Da sich die meisten Menschen nicht alle ihre Passwörter merken können, greifen sie auf Hilfsmittel zurück, darunter:

• Passwörter notieren. Lose Zettel mit notierten Passwörtern sind ein Alptraum für jeden Sicherheitsverantwortlichen.
• Passwörter mehrfach verwenden. Benutzer neigen dazu, das gleiche Passwort für mehrere Bereiche zu verwenden. Wird dieses aufgedeckt, können gleich mehrere Konten angegriffen werden.
• Passwörter nur leicht abändern. Wenn Benutzer zum Aktualisieren ihres Passworts aufgefordert werden, ändern sie oft nur eine Zahl oder einen Buchstaben.

Für Passwörter ist außerdem eine Serverauthentifizierung erforderlich. Jedes Mal, wenn sich der Benutzer anmeldet, erstellt der Computer einen Datensatz zu der Transaktion. Die Speicherlast steigt dementsprechend.

Die tokenbasierte Authentifizierung funktioniert anders.

Bei der tokenbasierten Authentifizierung verifiziert ein zweiter Dienst die Anfrage eines Servers. Nach Abschluss der Verifizierung stellt der Server ein Token aus und antwortet auf die Anfrage.

Der Benutzer muss sich zwar weiterhin ein Passwort merken, jedoch bietet das Token eine andere Form des Zugriffs, die den Diebstahl des Passworts oder die Überwindung von Sicherheitsmechanismen deutlich erschwert. Zudem wird durch die Aufzeichnung der Sitzung kein Speicherplatz auf dem Server belegt.

3 Typen von Authentifizierungstoken

Alle Authentifizierungstoken ermöglichen den Zugriff, aber jeder Typ funktioniert etwas anders.

Es gibt drei gängige Typen von Authentifizierungstoken:

• Verbunden: Schlüssel, Datenträger, Laufwerke und andere physische Geräte werden in das System eingesteckt und bieten dadurch Zugriff. Sicherlich haben Sie sich schon einmal über ein USB-Gerät oder eine Smartcard an einem System angemeldet. In dem Fall haben Sie ein verbundenes Token verwendet.
• Kontaktlos: Das Gerät befindet sich so nahe an einem Server, dass die Kommunikation möglich ist, es wird jedoch nicht eingesteckt. Ein Beispiel für diesen Tokentyp ist der so genannte magische Ring von Microsoft.
• Getrennt: Das Gerät kann über große Entfernung mit dem Server kommunizieren, ohne je mit einem anderen Gerät in Berührung zu kommen. Wenn Sie mit Ihrem Smartphone schon einmal einen zweistufigen Authentifizierungsprozess durchlaufen haben, haben Sie diesen Tokentyp verwendet.

In allen drei Fällen muss der Benutzer aktiv werden, um den Prozess zu starten. Entweder muss er ein Passwort eingeben oder eine Frage beantworten. Selbst wenn er diese vorgelagerten Schritte erfolgreich absolviert hat, ist der Zugriff nur mithilfe eines Zugriffstokens möglich. 

Wie funktioniert Token Authentifizierung?

Bei Verwendung eines tokenbasierten Authentifizierungssystems werden die Anmeldeinformationen der Benutzer nur einmal verifiziert. Im Anschluss an die Verifizierung erhalten sie ein Token, das ihnen für einen von Ihnen festgelegten Zeitraum Zugriff gewährt.

So funktioniert der Prozess:

• Anfrage: Der Benutzer beantragt den Zugriff auf einen Server oder eine geschützte Ressource. Dies kann mit einer Anmeldung per Passwort verbunden sein oder einem anderen von Ihnen vorgegebenen Prozess.
• Verifizierung: Der Server bestimmt, ob die anfragende Person Zugriff erhält. Dies kann durch Abgleichen von Passwort und Benutzername oder einen anderen von Ihnen definierten Prozess erfolgen.
• Token: Der Server kommuniziert mit dem Authentifizierungsgerät, z. B. einem Ring, Schlüssel, Smartphone oder dergleichen. Nach erfolgter Verifizierung stellt der Server ein Token aus und übergibt es an den Benutzer.
• Speicherung: Das Token befindet sich innerhalb des Browsers des Benutzers, während der Benutzer aktiv ist.

Wenn der Benutzer versucht, auf einen anderen Bereich des Servers zuzugreifen, kommuniziert das Token erneut mit dem Server. Der Zugriff wird dann je nach Token gewährt oder verweigert.

Administratoren können Token mit Einschränkungen belegen. Ein Token für die einmalige Verwendung wird sofort nach dem Abmelden des Benutzers vernichtet. Das Token kann auch so konfiguriert werden, dass es sich nach Ablauf einer bestimmten Zeit selbst zerstört.