Sound-Proof: Hintergrundgeräusche für eine Zwei-Faktor-Authentifizierung
Zwei-Faktor-Authentifizierungen sollen den Hack durch Passwortklau verhindern. Dabei geht es darum, sich mit mindestens zwei Faktoren zu authentifizieren: mit etwas, was der Anwender weiß und etwas, was er besitzt. Es geht aber auch anders, wie Forschungsergebnisse aus der Schweiz nahelegen. Die Forscher nutzen Hintergrundgeräusche als Beleg, dass derjenige, der sich anmeldet, auch derjenige ist, der er vorgibt zu sein.
Das Verfahren soll ergonomischer sein als die heute bei Zwei-Faktor-Logins eingesetzte SMS, die dem Anwender zugeschickt wird, wenn er sich anmelden will. Diese muss dann innerhalb kurzer Zeit eingetippt werden, um den Loginvorgang zu vollenden und gilt nur ein einziges Mal.
Das Verfahren der Forscher der Eidgenössischen Technischen Hochschule Zürich soll komfortabler sein. Sound-Proof(öffnet im neuen Fenster) funktioniert über das Mikrofon des Smartphones und des Desktoprechners. Beide nehmen beim Loginvorgang den Umgebungston auf. Stimmt dieser überein, ist sichergestellt, dass es sich um den legitimen Anwender handelt. Die aufgenommenen Töne selbst werden nicht vom System übertragen, die Software erzeugt nur eine digitale Signatur daraus.
Das Verfahren würde allerdings fehlschlagen, wenn der Anwender sein Smartphone nicht bei sich hat. Zudem könnte sich ein Angreifer mit seinem Smartphone gleichzeitig im selben Raum befinden wie sein Opfer und den Umgebungston aufzeichnen. Außerdem gibt es mittlerweile zahlreiche Nutzer, die mit einem mobilen Gerät online gehen - und keinen zweiten Rechner nutzen.
In einem wissenschaftlichen Artikel ( PDF(öffnet im neuen Fenster) ) haben die Forscher weitere Informationen zu Sound-Proof veröffentlicht, das auf dem 24. Unsenix Security Symposium(öffnet im neuen Fenster) vorgestellt wurde.