Sichere Authentifizierung für E-Business: PKI

Es ist eine grundlegende Voraussetzung zu wissen, mit wem man es zu tun hat, wenn es darum geht, in einer Beziehung Vertrauen aufzubauen. Wenn man also über das Internet Geschäfte tätigt, benötigt man ein sicheres Mittel zur Identifizierung der Personen, mit denen man kommuniziert, um zu verhindern, dass man falschen Personen Informationen zukommen lässt oder sich selbst Betrug aussetzt. Für dieses Authentifizierungsverfahren stehen mehrere Optionen zur Verfügung, und um das richtige Verfahren für ein Unternehmen auswählen zu können, ist es unbedingt erforderlich, dass man die Vorteile und Einschränkungen aller Optionen kennt.

Authentifizierungsoptionen
Am geläufigsten ist die Anwenderkennwort/Passwort-Methode, die mittels einer Verschlüsselung durch Server-Zertifikate (SSL) vor Eingriffen schützt. Passwörter dieser Art haben sich für Anwendungen wie Web-Mail und die Berechtigung zur Benutzung von abonnementbasierten Dienstleistungen als ideal erwiesen, da sie relativ preisgünstig sind. Sie sind anwenderfreundlich und können skaliert werden, um eine große Anzahl von Anwendern in einer offenen Umgebung zu handhaben. Leider sind sie auch leicht zu entziffern, so dass sie für hochwertige Transaktionen nicht geeignet sind.

Dynamische Passwörter oder Hardware-Marken zielen direkt auf Sicherheitsfragen ab, die sich mit Anwendernamen als Passwörter ergeben. Dabei handelt es sich im Grunde um Schlüsselanhänger oder ähnliche Einrichtungen, die ein Passwort anzeigen, das sich nach Eingabe einer PIN alle 60 Sekunden ändert. Dieser Vorgang ist bekannt als Zwei-Faktor-Authentifizierung, da der Anwender zum einen durch die Tatsache, dass ihm das Passwort bekannt ist, und zum anderen durch seinen Zugang zur Hardware-Marke identifiziert wird. Dies hat zur Folge, dass sie viel schwerer zu knacken sind. Dynamische Passwörter setzen jedoch voraus, dass eine ganze Anwendergruppe mit einer Marke versehen wird. Sie sind daher effektiv für geschlossene webbasierte Gruppen (wie zum Beispiel eine Supply Chain oder eine unternehmensweite Mail-Gruppe), eignen sich aber nicht für offene Anwendergruppen. Der finanzielle Aufwand, der mit dem Einsatz von Marken verbunden ist, bedeutet weiterhin, dass dynamische Passwörter für extrem geringwertige Transaktionen ungeeignet sind.

Eine dritte Authentifizierungsmethode ist die biometrische Kennung, die Personen in der Regel durch eine Entsprechung von PIN und einem einzigartigen Körpermerkmal, beispielsweise Daumenabdruck oder Retina, identifiziert. Wie die dynamischen Passwörter ist auch die biometrische Kennung nicht kosteneffektiv für geringwertige Anwendungen oder offene Anwendergruppen, da sie aufwendige Hardware erfordern. Darüber hinaus wird die Implementierung der biometrischen Kennung auch durch einen Mangel allgemeingültiger Standards für die Industrie und kulturellen Widerstand gegen das Konzept beeinträchtigt.