Alles, was Sie über Einmalpasswörter (One-Time Password, OTP) wissen müssen
Ein Einmalpasswort (One-Time Password, OTP) ist eine Zahlen- und/oder Zeichenfolge, die generiert und an einen Benutzer gesendet wird und für einen einzigen Anmeldeversuch oder eine einzige Transaktion verwendet werden kann.
Was sind die Vorteile von OTPs?
OTPs verringern das mit Passwörtern verbundene Risiko.
Vergessene Passwörter: Eine der häufigsten Anwendungen von OTPs ist der Fall, dass ein Benutzer sein Passwort vergessen hat oder sein Konto missbraucht wurde. Ein OTP kann an den Benutzer ausgegeben werden, damit dieser auf sein Konto zugreifen kann, bevor eine Aufforderung zur Zurücksetzung des Passworts ausgegeben wird.
Replay-Angriffe: Bei einem Replay-Angriff werden die Anmeldedaten eines Benutzers, einschließlich seines Passworts, abgefangen. Wenn das Passwort statisch ist, hat der Angreifer nun Zugriff auf das Konto des Benutzers. Bei der Verwendung eines OTP ist das vom Hacker abgefangene Passwort jedoch nicht mehr gültig, da es bereits einmal vom Benutzer für die Anmeldung bei seinem Konto verwendet wurde, und somit nicht mehr wiederverwendet werden kann.
Multi-Faktor-Authentifizierung: OTPs können eine zusätzliche Authentifizierungsebene darstellen. Mithilfe von Sicherheits-Token können OTPs generiert werden, die von den Benutzern als zusätzliche Form der Authentifizierung verwendet werden können, was die Sicherheit erhöht und das Risiko eines Verstoßes verringert.
Welche Arten von OTPs gibt es?
Hash-basiertes OTP (HOTP): Diese Art von OTP wird auf der Grundlage eines Hash-Algorithmus generiert und an einen Benutzer gesendet, der den OTP-Code mit einem Zähler synchronisiert, der sich jedes Mal, wenn der Benutzer Zugang erhält, schrittweise ändert.
Zeitbasiertes OTP (TOTP): Diese Art von OTP ist zeitbasiert, d. h. es wird ein Zeitfenster festgelegt, innerhalb dessen der OTP-Code gültig ist. Im Allgemeinen sind die Zeitschritte zwischen 30 und 60 Sekunden lang. Wenn der Benutzer den OTP-Code nicht innerhalb des angegebenen Zeitraums eingibt, muss ein neuer angefordert werden.
Wie werden die OTPs den Benutzern auf sichere Weise zur Verfügung gestellt?
OTPs werden mithilfe von Sicherheits-Token generiert und sicher an die Benutzer gesendet.
Hard-Token: Smartcards, USB-Schlüssel, schlüssellose Zugangssysteme, Mobiltelefone und Bluetooth-Token können alle OTPs erzeugen. Ein Hard-Token kann angeschlossen, getrennt oder völlig kontaktlos sein.
Soft-Token: Eine Push-Benachrichtigung per E-Mail, SMS oder App ist die gängigste Form der OTP-Soft-Token.
OTP im Vergleich zu 2FA
Was ist der Unterschied zwischen OTP und 2FA?
Ein OTP kann als eine Form von 2FA/MFA verwendet werden, es kann aber auch darüber hinaus als autonomer Sicherheitsmechanismus verwendet werden, indem ein Benutzer bei jeder Anmeldung ein OTP erhält. Diese Begriffe sollten nicht synonym verwendet werden, da OTP nur eine von vielen Formen von 2FA/MFA ist und auch als eigenständige Sicherheitslösung bestehen kann.
Ist ein OTP sicherer als ein statisches Passwort?
Ja. OTPs bieten eine zusätzliche Sicherheitsebene zu statischen Passwörtern. Passwörter allein sind eine anfällige Form der Identitätsüberprüfung und daher verantwortlich für 81 % aller Sicherheitsverstöße. Das Hinzufügen einer weiteren Authentifizierungsebene zu den Passwörtern sorgt für mehr Sicherheit. Natürlich können Sie auch ganz auf Passwörter verzichten, indem Sie passwortlos agieren.
Bietet Entrust OTPs an?
Ja. Entrust bietet eine breite Palette von Authentifizierungslösungen an, die auch OTPs beinhalten.
Was ist Identitäts- und Zugriffsverwaltung?
Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) ist ein Rahmenwerk von Sicherheitsrichtlinien und -technologien, das sicherstellt, dass die richtigen Stellen zur richtigen Zeit Zugriff auf die richtigen Ressourcen erhalten
Eine Stelle kann eine Person oder ein Gerät sein. Zu den Ressourcen gehören Anwendungen, Netzwerke, Infrastruktur und Daten. Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) kann für Arbeitskräfte, Verbraucher und Bürger eingesetzt werden.
Identitäts- und Zugriffsverwaltung basiert auf der Prämisse, vertrauenswürdige digitale Identitäten zu schaffen und zu erhalten. Mit der Identitäts- und Zugriffsverwaltung sind Unternehmen in der Lage, Stellen zu authentifizieren und zu autorisieren, um sicheren Zugriff auf die richtigen Ressourcen zu gewährleisten. Außerdem wird das Vertrauen im Laufe der Zeit durch die adaptive, risikobasierte Authentifizierung aufrechterhalten, die unter bestimmten Bedingungen eine höhere Sicherheitsstufe vorsieht.