Anmeldung und Sicherheit

am 05.08.2015 in News gepostet.

Kennwörter sind ein leidiges Thema und nicht selten auch die Schwachstelle in einem System.
Denn es ist unerheblich, wie sicher ein System ist: wenn das verwendete Kennwort zu einfach gewählt wurde, dann sind Türen und Fenster offen und die Sicherheit ist nur noch eine gefühlte aber keine praktische mehr.

Wir haben uns sehr intensiv mit diesem Thema beschäftigt - schließlich soll Lemniscus und damit die darin gespeicherten Informationen sicher und nur dem Therapeuten zugänglich bleiben. Ein Spagat zwischen Bedienbarkeit und Sicherheit ist notwendig geworden.

Wie viele sicherheitsbewusste Anbieter bieten wir deshalb jezt zusätzlich zum normalen Kennwort auch noch Einmalkennwörter (siehe unten).

Mit dem normalen Kennwort und den Einmalkennwörtern hat der Therapeut jetzt folgende Möglichkeiten:

  • Anmeldung mit Benutzername und Kennwort (Standard)
  • Anmeldung mit Benutzername und Einmalkennwort
  • Anmeldung mit Benutzername, Kennwort und Einmalkennwort

Die Nutzung von Einmalkennwörtern hat ein höheres Sicherheitsniveau zur Folge. Allerdings entsteht eine Abhängigkeit zum Smartphone, die zur Kenntniss genommen werden muss: ist das Smartphone nicht vorhanden oder entladen, kann der Therapeut sich nicht in Lemniscus anmelden.

Einrichtung

Will der Therapeut sich nach wie vor lediglich mit Benutzername und Kennwort anmelden, also wie bisher, dann muss nichts gemacht werden. Wir zwingen natürlich keinen Therapeuten dazu, Einmalkennwörter zu verwenden.

Sollen Einmalkennwörter genutzt werden, so muss zunächst die entsprechende App installiert und konfiguriert werden. Solche Apps gibt es sowohl für Android (z.Bsp Google Authenticator) als auch für iOS (z.Bsp. Google Authenticator oder unser Favorit OTP Auth).

Je nach Smartphone und Anbieter ist die Installation der App unterschiedlich, aber in Bezug auf die Konfiguration sind die meisten Apps sehr ähnlich: ein QR-Code mit den Konfigurationsdaten muss eingelesen werden, dann beginnt die App sofort, Codes zu generieren.

Den QR-Code für die Einrichtung findet man in Lemniscus in den Einstellungen unter “Einmalkennwörter”.

Bei der Einrichtung muss auch entschieden werden, ob die Anmeldung dann nur mit Benutzername und Einmalkennwort oder mit Benutzername, Kennwort und Einmalkennwort stattfinden soll. Also praktisch ob die Anmeldung in Zukunft weiterhin eine Ein-Faktor Authentifizierung oder um eine Zwei-Faktor Authentifizierung sein soll.

Sobald die App eingerichtet ist, werden alle 30 Sekunden “frische” Einmalpasswörtör generiert. Zur Bestätigung muss dann ein Code eingegeben werden, so wird die Einrichtung des OTP-Generators überprüft. Stimmt der Code, dann sind Einmalkennwörter eingerichtet.

Anmeldung in Lemniscus

Bei der Anmeldung wird dann vom Smartphone das Einmalkennwort abgelesen und eingegeben. Je nach ausgewähltem Anmeldemodus gibt der Therapeut in der Anmeldeseite nach seinen Benutzernamen das Einmalkennwort ein, oder beides: Kennwort und Einmalkennwort.

Ein-Faktor Authentifizierung

Soll alles beim alten bleiben, und es wurde kein OTP-Generator eingerichtet, dann wird im Feld Kennwort einfach nach wie vor das Kennwort eingetragen.

Hat sich der Therapeut für Benutzername und Einmalkennwort entschieden, so muss er statt Kennwort ein “frisches” Einmalkennwort eingeben.

Zwei-Faktor Authentifizierung

Hat sich der Therapeut für Benutzername, Kennwort und Einmalkennwort entschieden, dann muss zunächst die Zwei-Faktor Authentifizierung angehackt werden, damit das dritte Feld angezeigt wird. Dann müssen Kennwort und ein frisches Einmalkennwort eingegeben werden.

Ein bisschen Hintergrundwissen

Das Einrichten von Einmalkennwörter und die Anmeldung in Lemniscus haben wir so einfach wie möglich gestaltet. Wen die Neugierde gepackt hat, bieten wir hier ein paar Zeilen Hintergrundwissen.

Was sind Einmalkennwörter bzw. “One Time Passwords” (OTPs)

Prinzipiel gibt es zwei verschiedene Arten von Einmalkennwörtern:

  • keine Zeiteinschränkung (Lebensdauer) aber nur einmal nutzbar
  • mehrfach nutzbar, aber nur eine sehr kurze Lebensdauer.

Einmalkennwörter sind aus dem Online-Banking bekannt: dort werden neben Kontonummer und Kennwort für die Transaktion zusätzlich TANs benötigt. TANs sind Einmalkennwörter, die nur einmal verwendet werden können und von der Bank an den Therapeuten geliefert werden.

Die zweite Art von Einmalkennwörtern sind die, die nur für eine kurze Zeit gültig sind - hier sind sogenannte OTP-Generatoren nötig, die alle paar Sekunden (normalerweise 30s) ein neues Kennwort anzeigen.

Bei beiden Arten von Einmalkennwörtern geht es immer darum, dass nicht der Therapeut das Passwort festlegt, sondern diese geliefert bekommt. Einmal ist es die Bank, die einem entweder in Papierform oder per SMS Einmalkennwörter (TANs) schickt, das andere Mal ist es eine Hardware (oder Smartphone App), die einem die notwendigen Einmalkennwörter eigenständig am laufenden Band erzeugt und anzeigt.

Die OTP-Generatoren haben den unglaublichen Vorteil, dass unendlich viele Kennwörter generiert und ohne Aufwand und ohne Kosten erzeugt werden können. Es reicht, dass diese einmal Konfiguriert werden - und schon werden am laufenden Band gültige Kennwörter korrigiert. Dabei müssen die Anwendung und die App gar nicht mehr miteinander kommunizieren. Die Kennwörter sind letztendlich ein Produkt aus Zeit und dem während der Konfiguration ausgehandeltem Kennwort.

Mit der Allgegenwärtigkeit der Smartphones sind diese Einmalkennwörter beliebt geworden, denn jedes Smartphone kann sehr einfach in einen OTP-Generator umgewandelt werden: eine App im Smartphone generiert alle 30 Sekunden eine neue 6-stellige Zahl.

Was ist eine Ein- oder Zweifaktor Authentifizierung

Sehr oft sprechen wir (und andere Anbieter) von Ein- oder Zwei-Faktor-Authentifizierungen. Da auch wir in Lemniscus jetzt Ein- bzw. Zwei-Faktor Authentifizierungen ermöglicht haben, möchen wir kurz erläutern, worum es bei dem “Faktor” geht.

Fälschlicherweise wir mit dem Faktor einfach die Anzahl der Informationen gleichgesetzt, die für eine Anmeldung notwendig sind. So einfach ist es aber nicht. Würde ein System zum Beispiel zwei Kennwörter verlangen, würde es sich trotz der zwei Kennwörter immer noch um eine Ein-Faktor Authentifizierung handeln.

Damit die Anforderungen für eine Zwei-Faktor Authentifizierung gegeben sind, müssen die Informationen aus zwei unterschliedliche der folgenden drei Kategorien gehören:

  • etwas was man weiss (z.Bsp. ein geheimes Kennwort, ein Geburtsdatum, ein Zahl),
  • etwas was man hat (z.Bsp. ein Schlüssel, ein Smartphone),
  • etwas was man ist (Biometrische Daten, z.Bsp. Fingerabdruck).

Mit der Einführung von Einmalkennwörter haben wir eine Information aus der zweiten Kategorie “etwas was man hat” umgesetzt. Denn der Therapeut kann sich die Einmalkennwörter nicht ausdenken, sondern muss sein Smartphone “haben”, um sich anmelden zu können.

Diese Kategorien sind insofern wichtig, dass für ein Angriff sehr unterschiedliche Verfahren notwendig sind. Benötigt eine Anmeldung “Wissen” und “Besitz”, so sind Angriffsvektoren aus den unterschiedlichen Kategorien notwendig, was das ganze deutlich erschwert.

Für eine Zwei-Faktor Authentifizierung in Lemniscus muss sich der Therapeut also für die Anmeldung mit Kennwort und Einmalkennwort entscheiden - Informationen aus der ersten und zweiten Kategorie.

Ist eine Drei-Faktor Authentifizierung in Lemniscus möglich?

Im Prinzip ja, aber nicht direkt in Lemniscus. Für eine Drei-Faktor Authentifizierung ist eine Information aus der dritten Kategorie notwendig,
also Biometrische Daten. Eine Drei-Faktor Authentifizierung ist dann gegeben, wenn z.Bsp. das Smartphone mit einem Fingerabdrucksensor ausgestattet ist und der Zugang zu dem OTP-Generator erst mittels einem Fingerscan ermöglicht wird. Ist der Zugang zu dem Smartphone bzw. zu dem OTP Generator noch durch die Eingabe eines PINs möglich, dann sind die Voraussetzungen für eine Drei-Faktor Authentifizierung nicht mehr gegeben.

Einmalkennwörter oder normales Kennwort?

Vielen Anwendern ist eine Zwei-Faktor Authentifizierung zu aufwendig. Bleibt die Frage, ob eine Ein-Faktor Authentifizierung mit dem Smartphone sicherer ist, als das normale Kennwort.

Unter bestimmten Voraussetzungen sind Einmalkennwörter sicherer. Ganz klarer Vorteil: die Kennwörter sind kaum zu erraten und haben so eine kurze Lebensdauer, dass aufgeschnappte Kennwörter schon nach wenigen Sekunden ungültig sind. Gerade in unsicherem Umfeld (öffentliches Internet, unsichere Rechner, zugänglicher Schreibtisch mit Rechner zum Beispiel im Warteraum) sind Einmalkennwörter wesentlich sicherer als ein normales Kennwort.

Ist das Smartphone aber nicht durch ein Kennwort gesperrt, oder wird es öfters verlegt oder ist es häufig entladen, dann ist es mit Sicherheit keine zuverlässige und sichere Quelle und sicherlich keine Alternative zum normalen Kennwort.

Da wir das Thema Smartphone gerade ansprechen: viele Anwender empfangen über ein Smartphone sowohl SMS-Nachrigen als auch Emails. Es gibt kaum ein Kennwort oder ein Zugang, dass sich nicht entweder über eine SMS oder über eine Email zurücksetzen lässt. Daher sind Smartphones mit Sicherheitslücken die nicht gestopft werden, oder gar ungesperrte Smartphones sicherheitstechnisch ein Alptraum. Dieses Wissen sollte beim Kauf des nächsten Smartphones eine sehr wichtige Rolle spielen…

Wir finden, dass eine professionelle, sichere, und datenschutzbewusste Praxisverwaltung kein Luxus größerer Praxen sein muss.

Wir sind der Meinung, das alltägliche Verwaltungsaufgaben rund um Terminvergabe und Rechnungsstellung nicht nervenaufreibend sein müssen.

Deshalb haben wir LEMNISCUS aus der Praxis und für die Praxis entwickelt.

Mit LEMNISCUS sind Sie gut in der Zeit.

Papick G. Taboada, Geschäftsführer

Perfektion ist nicht dann erreicht,
wenn man nichts mehr hinzufügen,
sondern nichts mehr weglassen kann

— Antoine de Saint-Exupéry

Neugierig? Sofort Ausprobieren  

pgt technology scouting GmbH