Challenge-Response-Authentifizierungsmethode
Die Challenge-Response-Authentifizierungsmethode wird hauptsächlich für Einmalpasswörter (OTPs) verwendet. Darüber hinaus kommt sie auch in Protokollen wie CHAP (Challenge Handshake Authentication Protocol) zum Einsatz, das Teil des PPP (Point-to-Point Protocol) ist, sowie zur Geräteauthentifizierung an WLAN-Zugangspunkten.
Bei dieser Methode sendet der Client (die zu authentifizierende Entität) unter Verwendung von Anmeldedaten wie einer Benutzer-ID eine Authentifizierungsanfrage an den Server (die Entität, welche die Authentifizierung durchführt). Der Server erzeugt daraufhin einen zufälligen Datensatz, die sogenannte „Challenge“, und sendet ihn an den Client. Gleichzeitig berechnet der Server anhand des Passworts des Clients die erwartete Antwort im Voraus. Der Client verwendet die Challenge zusammen mit seinem Passwort, um einen Hashwert (die „Response“) zu berechnen, und sendet diesen an den Server zurück. Anschließend vergleicht der Server die Antwort des Clients mit der von ihm berechneten Antwort. Stimmen beide überein, war die Authentifizierung erfolgreich.
Da die jedes Mal generierte Challenge zufällig und die zugehörige Antwort eindeutig ist, bietet diese Methode ein hohes Maß an Sicherheit: Selbst wenn der Datenaustausch abgefangen wird, ist es für Angreifer schwierig, die Authentifizierung zu kompromittieren. Wird jedoch das Passwort selbst gestohlen, besteht weiterhin das Risiko eines unbefugten Zugriffs.
Um dieses Risiko zu minimieren, kommen bei Einmalpasswörtern, die das Challenge-Response-Verfahren nutzen, häufig zusätzliche Sicherheitsmaßnahmen zum Einsatz. Beispielsweise geben Benutzer zunächst ihre ID und ihr Passwort ein, während der Challenge-Response-Prozess über einen separaten Kommunikationskanal und ein anderes Gerät, etwa ein Smartphone, erfolgt. Übliche Methoden zur Übermittlung der Challenge sind SMS, E-Mail oder eine spezielle Smartphone-App. Da bei diesem Verfahren zwei voneinander unabhängige Faktoren verwendet werden, wird es häufig als „Zwei-Faktor-Authentifizierung“ oder „Bestätigung in zwei Schritten“ bezeichnet.
BIG-IP von F5 vereinfacht die Implementierung von Challenge-Response-OTP-Systemen und erleichtert Unternehmen so die Einführung dieser sicheren Authentifizierungsmethode.
