Authentisierung
Authentisierung
Authentisierung
-
- 1 / 20
-
Lernkarten
Was ist eine Authentisierung von Nachrichten? Wird dabei auch die Integrität des Inhalts geprüft?
Prüfung, ob eine Nachricht in der vorliegenden Form von einer bestimmten Identität stammt → Inhalt und Herkunft wird geprüft
Ja
Wenn Sie eine Nachricht erfolgreich authentisiert haben: Was wissen Sie dann unter welchen Bedingungen sicher?
Integrität sowie Herkunft
Wie sehen drei Variationen zur Benutzung von Hash-Funktionen zur Feststellung der Authentizität einer Nachricht bzw. eines Dokuments aus?
1. Gemeinsames Geheimnis auf beiden Seiten zu Verschlüsselung des Hashwerts benutzt
2. Prinzip der elektronischen Signatur
3. An die Nachricht wird ein Geheimnis, welches beide kennen, angehängt und den Hash über beide Teile gebildet
Beschreiben Sie das Grundprinzip des HMAC-Verfahren. Welche kryptographischen Verfahren sind dort vorgeschrieben?
RFC 2104
Was wird unter Salz im kryptographischen Sinne verstanden?
Für Angreifer notwendiges, aber nicht bestimmbares Element
Was wird unter Authentisierung verstanden, was unter Autorisierung und was unter Identifizierung?
Authentisierung: Prüfung der Identität eines Subjekts
Autorisierung: Zuordnung von Rechten an Subjekte auf Bezug von Objekten
Identifizierung: Bestimmung beteiligter Personen
Nennen Sie die drei grundsätzlich verschiedenen Verfahren zur Authentifikation von Personen und beschreiben Sie diese.
Passwörter = Prüfung erfolgt durch Vergleich von hash mit dem abgespeicherten Hash des definierten Passworts
Chipkarte = Inhaber identifiziert sich durch eine fälschungssichere Chipkarte
Token = kleines Gerät, das auf Knopfdruck einmalige Zahlen generiert und anzeigt
Welche Regeln sollten gute Passwörter einhalten? Nennen Sie mindestens drei.
Zufällig
Mindestens 8 Zeichen, besser 12
Ziffern und Sonderzeichen
Beschreiben Sie den Mechanismus eines Sicherheitstokens. Was läuft im Token und was im Login-Server ab?
Server und Token erhalten initial denselben Startwert
Bei jedem Login wird der nächste Startwert berechnet, eingegeben und mit dem berechneten Wert des Servers verglichen
Passwörter werden nur ein einziges Mal benutzt
Wie verläuft die Authentisierung mittels einer Smartcard prinzipiell ab?
Inhaber identifiziert sich mit einer Chipkarte
Warum sollten Lesegeräte für Smartcards mit einer eigenen Tastatur für die PIN-Eingabe zur Aktivierung der Karte versehen sein?
Um mit dem PIN sicherzustellen, dass der richtig Inhaber die Karte einliest
Beschreiben Sie die 3-Faktor-Authentisierung.
Nur richtige Person weiß etwas: Passwort
Nur richtige Person besitzt etwas: Token, Smartcard
Nur richtige Person ist etwas: Fingerabdruck, Stimme
Beschreiben Sie ein möglichst sicheres Verfahren, mit dem Sie feststellen können, mit wem Sie kommunizieren.
Challenge-Response-Verfahren
Wie arbeitet das Response-Challenge-Verfahren? Dabei wird eine Nachricht in der verschlüsselter und unverschlüsselter Form übertragen. Welche Art des Angriffs wird dadurch unterstützt?
Alice generiert eine Zufallsfolge und verschlüsselt diese und verschickt die an Bob
Bob entschlüsselt diese mithilfe des geheimen Schlüssels und schickt diese zurück an Alice
Alice vergleicht beide Texte
KnownPlainText-Angriff
Eine Variante des Response-Challenge-Verfahren ist das Proof-of Possession-Verfahren. Beschreiben Sie dieses.
POOP = Prüfung, ob eine Identität tatsächlich im Besitz des richtigen geheimen Schlüssels ist
Alice generiert Zeichenkette und schickt diese an Bob
Bob erstellt einen HashCode und verschlüsselt ihn mit dem geheimen Schlüssel und sendet die unterschriebene Zeichenkette zurück
Alice prüft die Unterschrift anhand des öffentlichen Schlüssels
Unterschrift korrekt → Bob hat den korrespondierenden Schlüssel
Sorgt Kerberos für Abhörsicherheit? Lassen sich mit Kerberos Personen authentifizieren?
Nein und Ja
Welche Funktion hat ein Ticket?
Ticket = Erlaubnis eines Authentifizierungsservers
Autorisierung
Warum wurde der Ticket Granting Server vorgesehen?
Stellt ticketgewährende Tickets aus
Verhindert Kerberos das Spoofing?
Ja
Kann ein kopiertes Ticket vor dessen Ablauf durch einen Fremden missbraucht werden? Falls ja, wie muss er dies realisieren?
Ja
