Identification and Authentication
Thema 1 Hassenstein
Thema 1 Hassenstein
Welche Protokolle wurden von der FIDO Allianz publiziert?
FIDO1:
- Universal Second Factor U2F - Second factor Experience
- Universal Authentication Framework UAF - Passwordless Experience
FIDO2: (ersetzt die älteren Porotkolle)
- WebAuthn / FIDO2.0
Auso welchen zwei Keys besteht der FIDO Authenticator?
Der Authenticator besteht aus zwei Keys:
Attestation -> fest im Device hinterlegt
Authentication -> Wird bei der Registrierung generiert
Eklären Sie was U2F ersetzen soll?
U2F soll das next generation OTP sein ohne die aktuell bekannten SIcherheitslücken zu beinhalten
Zwischen welchen zwei Phasen unterscheidet FIDO?
Registration: neues Keypair generieren um sich registrieren zu können (challenge signieren)
Authentication: relying party schickt ein eine challenge welche signiert werden kann damit sich der User anmelden kann.
Was ist eine Multi-Factor Cryptographic Software Authenticator?
Ist ein key welches auf einer Disk oder sonst einem Medium (Stick, Ext.Disk, NAS)abgelegt ist und durch "something you know" oder "something you are" aktivert werden muss.
Rest identisch wie restlichen Krypto Authenticators
Was ist ein Multi-Factor Cryptographic Device?
Gleich wie Multi-Factor Crypto Software, nurr das der Secret in einer tamper-resistant Hardware hinterlegt ist
Die Aktivierung braucht einen zweiten Faktor (something you know or something you are)
Die Hardware ist von unterschiedlichen Standard zertifiziert: fips 140-2, CC EAL usw
Was ist ein C/R Device oder CHIPTAN?
Ist ein Multi-Factor Cryptographic Device (Karte besitzt secret, PIN aktiviert es)
Was ist Mobile Signature Service (MSS) und wie funktioniert es?
Ist ein Verfahren um sich zu authentisieren per "SMS"
Der Authenticator ist in diesem Fall die SIMKARTE (key ist hier drin)
Challenge wird per versclüsseltem SMS an SIM geschickt. SIM signiert die Challenge nachdem sie mit dem PIN freigegeben wurde. Danach wird sie zurück geschickt
Füllen Sie diese Liste aus
Was ist Level of Assurance (LoA)?
Level Of Assurance beschreibt den Sicherheitsgrad für eine Applikation oder System für die Identifikation und Authentication.
z,B zwingend 2FA nötig, oder Registrierung nur persönlich
Wie werden die LOAs definiert und nennen sie ein paar Beispiele?
Unterrschiedlich:
ZB Patientendossier ist in der Schweiz vom Staat per Gesetz definiert (2FA zwingend)
Es gibt ISO Normen (ISO/IEC 29115) welche diverse LoA Stufen definieren
NIST unterscheidet sogar Zwischen (IAL:indentiät, AAL:authentisierung, FAL:staat)
Basierend auf was sollte man sich für einen LoA entscheiden?
Risikomanagement -> wie gross ist der Schaden wenn ein User/System kompromitiert wird?
Was ist das FIDO UAF-Protokoll und wie funktioniert es?
Das UAF(Universal Authentication Framework) Protokoll unterstützt das Passwortfreie Authentisieren mittels einem keypair welches mit einem Biometrischen Merkmal wie FIngerabdruck, Stimme, usw. aktivieren kann.
Ausserdem unterstützt UAF auch einen zweiten Faktor wie Beispielsweise PIN oder PW
Was ist der Unterschied zwischen FIDO U2F und UAF?
U2F soll nur die ZweitFaktor Problematik Lösen. Dagegen wird UAF die ganze Authentisierung ablösen
Gegen was kann FIDO U2F schützen im Gegensatz so einen SIngle Factor Crypto Device?
-Phishing Attacks
-MITM attacks
-cookie theft
-user anonymity gegenüber RP (relying party)
Das U2F Protokoll will nicht, dass die Private Keys beim User gespeicher sind. Wie wir das im Protokoll gelöst?
Keypair wird auf dem Token generiert.
Der Private Key wird dann mit dem Device Master Key verschlüsselt.
Der verschlüsselte Private Key wird dann mit dem Public Key an die RP(relying party) geschickt und abgelegt. Das nennt sich "key handle"
Zum Authentisieren, schickt nun die Relying Party den Key handle an den User mit einer CHallenge. Der User entschlüsselt nun den Private Key mit dem Master key und signiert die challenge. Damit beweisst er, das er den Dongle besitzt
Das U2F Protokoll will nicht, dass die Private Keys beim User gespeicher sind. Das U2F Protokoll bescheibt einen weg zu lösen. Wie wird es jedoch von Yubico gelöst?
Anders als beim "standard" U2F Protokoll, wird der Private Key weder auf dem USB Token noch auf der RP(relying party) abgelegt.
Der Yubikey besitzt eine interne Nounce welche bei der Herstellung eingebrannt wird.
DIe Nounce generiert in KOmbination mit der AppID einen secret key durch eine HMAC-SHA256 funktion.
Somit kann mit der AppID und der Nounce dieser secret Key immer wieder regeniert werden.
Der Client schickt nun die Nounce, eine MAC und den Public Key der Relying Party(RP) zum ablegen.
Beim Anmelden kann nun die RP einfach eine CHallenge dem User geschickt werden. DIeser kann dann mit der Nounce und der AppID den key wieder generieren und die Challenge signieren.
Welche vier Protokolle gibt es in UAF?
Registration:
- UAF erlaubt die Registrierung von einem FIDO Autenticator an einer RP(relying party) für den User. D
- Die RP(relying party) kann diverse Regeln definieren welche FIDO Devices genutzt werden dürfen
Authentication:
- UAF erlaubt es dem User sich mit dem Authenticator gegenüber der RP(relying party) anzumelden
Transaction Confirmation:
- UAF unterstützt die Funktion, dass ein User eine bestimmte Transaktion bestätigen muss mit dem Authenticator
Deregistration
- die RP(relying party) kann beauftragt werden, dass sie die key materials des Accounts löscht
Was ist FIDO2.0/Authn und was soll damit ersetzt werden?
FIDO2/Webauthn ist der Nachfolger von U2F und UAF und soll diese Protokolle komplett ersetzen.
FIDO2/Webauthn wurde von der W3C Spezifisiert und ist somit Standartisiert
Was ist das Online Security Transaction Protocol und wozu wird es verwendet?
Es wird verwendet um den Informationsausstausch bei FIDO zu gewährleistet.
Dabei wird geschaut welche Authentisierungsmöglichkeiten die RP hat und welche der User hat
Was ist eine Identität?
Ein Set an Attributen welche eine Person beschreiben (zB Name, Alter, Foto, Unterschift, Heimatort)
Was ist eine Identifikation ind der phyisischen Welt?
Der Prozess wie sich eine Person gegenüber jemanden authentisiert. (ZB, Führerschein, ID, Studentenkarte)
Was ist eine Identifkation/Authentication in der digital Welt
In der digitalen spricht man in der Regel von einer Authentication.
Die Authentification basiert darauf, dass man ein bestimmte Information (Zert, Passwort, usw) besitzt
Was ist ein Authentication Protocol und welche zwei Arten gibt es?
Ein Authentication Protokoll ist ein definierter Ablauf der Kommunikation zwischen einem Claimant und einem Verifier
unilateral: claimant beweist, dass er einen authenticator besitzt (einseitige Authentisierung)
mutual: beide beweisen deren Authentizität (beidseitige Authentisierung)
In was unterscheiden sich Authentisierung & Authentifizierung?
Authentisierung: Der Prozess die Identität zu beweisen
Authentifizierung: System prüft die behauptete Identität
in englisch: immer authentication für beides
In was unterscheiden sich Authentication & Authorization?
Authentication: Mechanismus um die User sicher zu authentisieren. (Wer ist der User und ist er es wirklich)
Authorization: Mechanismus um zu überprüfen welche Rechte/Rolle ein Benutzer hat (Admin, Readonly, Poweruser, etc)
Erklären sie folgende Begriffe aus der Welt der digitalen Authentisierung
- Subject/Entity
- Claimant
- Resource
- Credentials
- Identifier
- Authenticator
- Subject/Entity: Eine Person, Maschine, oder Programm welches eine Anfrage startet um inrgend eine Resource (zB Webseite) zuzugreifen
- Claimant: Antragsteller
- Resource: Die Resource auf welche man Zugreifen will (zB Webseite, DB, OS)
- Credentials: Die Daten welche einen Identität mit mit dem Authenticator verbinden (PW für Zertifikat)
- Authenticator: Etwas mit dem sich der Subject/Entity authentisieren kann. (Zertifkat)
Wie sieht das Digital Authentication Model aus
Was ist Authenticator und welche Inputs/Outputs hat dieser?
Ein Authenticator ist ein Ding welches der User besitzt um sich zu authentsieren.
Ein Authenticator wird in der Regel von einer CSP vergeben (keypair) (kann software oder auch hardware sein)
Ein Passwort ist auch ein Authenticator.
DIe Input Daten eines Crypto Authenticators sind: Input Value (Challenge zu lösen), Activation Data (Password um Key zu aktivneren)
Die Output Daten Sind: Output Value: Beweis, dass User den Authenticator besitzt
Eklären Sie folgende Authenticator Eigenschaften:
-Authenticator Secret
-Activation Data
-Authenticator Output
-Authenticator Function
-Input Values
Authenticator Secret: Der geheime Wert welches sich im Authenticator befinden (secret key)
Activation Data: PIN oder biometrische Daten um das Secret zu aktivieren
Authentication Output: Der Ouput welches vom Authenticator generiert wird. Beweis, dass man im Besitz und Kontrolle des Authenticators besitzt
Authenticator Function: Mathematische Funktion welche den Output generiert.
Input Values: Optionale Input Values für die Authenticator Function
Was ist 2FA (two factor authentication) / MFA (multi factor authentication) und welche sind drei elementare Faktoren?
Mehrere Authentisierungs Faktoren kombinieren um ein stärkeres Authentisierungssystem zu erhalten.
-Etwas was du weisst: zb pw
-Etwas was du besitzt: ID, Badge, Cryptokey
-Etwas was du bist: fingerprint, iris
Erklären Sie den Unterschied zwischen Server-side vs. Local Multi-Factor Authentication
Server-side: Mehrere Output Werte werden sequentiell dem Verifier präsentiert. Jedes Output wird aus einem independent authenticator generiert
local: single output wird dem verifier präsentiert. diverse lokale faktoren werden verwendet um das secret auf dem authenticator zu aktuvueren
Welche Vor und Nachteile gibt es bei biometrischen Faktoren?
Vorteile: kann nicht, enthüllt werden, verloren gehen, vergessen werden
Nachteile: Kosten, Installation, Wartung, ist nicht als Secret anerkannt, weniger Zuverlässig als Algorithmus (viele Messfehler), Speicherung der Referenzdaten, Revozieren
Biometrische Methoden können in zwei Klassen unterteilt werden. Wie heissen sie und wie unterscheiden sie sich?
-physiological static: Fingerprint, Eye, Gesichtserkennung, Wehnen (alles statisch)
-behavioral, dynamic: Unterschrift, Stimme (alles dynmaisch)
Was ist eines der grössten Nachteilen bei der Biometrischen Authentisierung?
Bei der Biometrischen Authentisierung ist eine 100%ige Übereinstimmung nie möglich.
Daher sind theoretisch False Positives möglich.
Zwischen FRR und FAR sieht man den Schnitt wo es möglich wäre eine False Positive zu erhalten
Welche Authentication Types gibt es?
-Memorize Secrets
-Lookup Secrets
-Out Of Band
-Single Factor OTP Device
-Multi Factor OPT Device
-Single Factor Crpyto Device
-MultiFactor Crpyto Device
-Mulit Factor Crytop Software
Was ist ein Memorized secret (Authenticator) und auf was sollte man dabei achten? (User und Systemsicht)
Ein Memorized Secret (Authenticator) ist ein geheimer Wert (Passwort, PIN) welcher von einer Person definiert und gemerkt wird.
Das secret sollte genug komplex sein damit es ein Hacker nid erraten kann. (System)
Das Passwort sollte gegen Offline Attacken sicher sein.
Erklären Sie Online/Offline attacken für memorized secrets
Online Attack: Passwort durch Bruteforce oder Dictionary erraten indem das System (verifier) abgefragt wird
Offline Attack: Man besitzt eine liste mit den gehashten Paswötern. EIne Funktion für alle Dictionary/bruteforce Wörter ausführen und dann mit der Liste vergleichen
Was sind mögliche Massnahmen gegen Online Attacken?
- Anzahl Versuche limitieren
- Delay in der Überprüfungszeit
- Account sperren
- Preauthentication (disabled rootlogin, port knocking)
- Intrusion detection
- 2FA
Was sind mögliche Massnahmen gegen Offline Attacken?
- Secure Channel für Authentication
- PW Salting
- Zugriff auf PW Hashes verweigern
- Keine einfachen Hashalgorithmen verwenden -> HMAC mit KDF
- Strengere Passwort Policy
-
- 1 / 54
-
Lernkarten
Was ist ein C/R Device oder CHIPTAN?
Ist ein Multi-Factor Cryptographic Device (Karte besitzt secret, PIN aktiviert es)
Was ist Mobile Signature Service (MSS) und wie funktioniert es?
Ist ein Verfahren um sich zu authentisieren per "SMS"
Der Authenticator ist in diesem Fall die SIMKARTE (key ist hier drin)
Challenge wird per versclüsseltem SMS an SIM geschickt. SIM signiert die Challenge nachdem sie mit dem PIN freigegeben wurde. Danach wird sie zurück geschickt
Füllen Sie diese Liste aus
Was ist Level of Assurance (LoA)?
Level Of Assurance beschreibt den Sicherheitsgrad für eine Applikation oder System für die Identifikation und Authentication.
z,B zwingend 2FA nötig, oder Registrierung nur persönlich
Wie werden die LOAs definiert und nennen sie ein paar Beispiele?
Unterrschiedlich:
ZB Patientendossier ist in der Schweiz vom Staat per Gesetz definiert (2FA zwingend)
Es gibt ISO Normen (ISO/IEC 29115) welche diverse LoA Stufen definieren
NIST unterscheidet sogar Zwischen (IAL:indentiät, AAL:authentisierung, FAL:staat)
Basierend auf was sollte man sich für einen LoA entscheiden?
Risikomanagement -> wie gross ist der Schaden wenn ein User/System kompromitiert wird?
Was ist das FIDO UAF-Protokoll und wie funktioniert es?
Das UAF(Universal Authentication Framework) Protokoll unterstützt das Passwortfreie Authentisieren mittels einem keypair welches mit einem Biometrischen Merkmal wie FIngerabdruck, Stimme, usw. aktivieren kann.
Ausserdem unterstützt UAF auch einen zweiten Faktor wie Beispielsweise PIN oder PW
Was ist der Unterschied zwischen FIDO U2F und UAF?
U2F soll nur die ZweitFaktor Problematik Lösen. Dagegen wird UAF die ganze Authentisierung ablösen
Gegen was kann FIDO U2F schützen im Gegensatz so einen SIngle Factor Crypto Device?
-Phishing Attacks
-MITM attacks
-cookie theft
-user anonymity gegenüber RP (relying party)
Das U2F Protokoll will nicht, dass die Private Keys beim User gespeicher sind. Wie wir das im Protokoll gelöst?
Keypair wird auf dem Token generiert.
Der Private Key wird dann mit dem Device Master Key verschlüsselt.
Der verschlüsselte Private Key wird dann mit dem Public Key an die RP(relying party) geschickt und abgelegt. Das nennt sich "key handle"
Zum Authentisieren, schickt nun die Relying Party den Key handle an den User mit einer CHallenge. Der User entschlüsselt nun den Private Key mit dem Master key und signiert die challenge. Damit beweisst er, das er den Dongle besitzt
Das U2F Protokoll will nicht, dass die Private Keys beim User gespeicher sind. Das U2F Protokoll bescheibt einen weg zu lösen. Wie wird es jedoch von Yubico gelöst?
Anders als beim "standard" U2F Protokoll, wird der Private Key weder auf dem USB Token noch auf der RP(relying party) abgelegt.
Der Yubikey besitzt eine interne Nounce welche bei der Herstellung eingebrannt wird.
DIe Nounce generiert in KOmbination mit der AppID einen secret key durch eine HMAC-SHA256 funktion.
Somit kann mit der AppID und der Nounce dieser secret Key immer wieder regeniert werden.
Der Client schickt nun die Nounce, eine MAC und den Public Key der Relying Party(RP) zum ablegen.
Beim Anmelden kann nun die RP einfach eine CHallenge dem User geschickt werden. DIeser kann dann mit der Nounce und der AppID den key wieder generieren und die Challenge signieren.
Welche vier Protokolle gibt es in UAF?
Registration:
- UAF erlaubt die Registrierung von einem FIDO Autenticator an einer RP(relying party) für den User. D
- Die RP(relying party) kann diverse Regeln definieren welche FIDO Devices genutzt werden dürfen
Authentication:
- UAF erlaubt es dem User sich mit dem Authenticator gegenüber der RP(relying party) anzumelden
Transaction Confirmation:
- UAF unterstützt die Funktion, dass ein User eine bestimmte Transaktion bestätigen muss mit dem Authenticator
Deregistration
- die RP(relying party) kann beauftragt werden, dass sie die key materials des Accounts löscht
Was ist FIDO2.0/Authn und was soll damit ersetzt werden?
FIDO2/Webauthn ist der Nachfolger von U2F und UAF und soll diese Protokolle komplett ersetzen.
FIDO2/Webauthn wurde von der W3C Spezifisiert und ist somit Standartisiert
Was ist das Online Security Transaction Protocol und wozu wird es verwendet?
Es wird verwendet um den Informationsausstausch bei FIDO zu gewährleistet.
Dabei wird geschaut welche Authentisierungsmöglichkeiten die RP hat und welche der User hat
