Einmalpasswörter

2009-01-17T11:03:39Z

Mika: -t sha1 auch bei liste ausdrucken eingefügt.

Wenn man sich von einem Rechner, den andere Personen kontrollieren können (Internet-Café, bei Fremden, ...) mit einem Passwort einloggen möchte, besteht immer die reale Gefahr, dass der Rechner das Passwort irgendwo protokolliert ("Keylogger") und damit andere Personen Zugriff auf das Passwort und damit den benutzten Account haben.

Um diesem Problem ohne zusätzliche Hardware zu begegnen gibt es eigentlich nur eine funktionierende Lösung: One-Time-Passwords bzw. Einmalpasswörter (kurz: OTP).

Das Prinzip ist wie beim TAN-Verfahren im Online-Banking, dass es eine Liste von möglichen Passwörtern gibt und jedes kann nur einmal benutzt werden.

==S/Key==

Wir setzen für diesen Zweck '''S/Key''' ein. Dieses System kommt von OpenBSD.

Diese Einmalpasswörter haben zwei interessante Vorteile:

# die Einmalpasswörter werden aus einer für den Benutzer eindeutigen ID, der OTP-Nummer und einem geheimen (konstanten) Passwort errechnet und nicht zufällig erzeugt. Es ist daher immer möglich, unter Kenntnis des konstanten Passworts das aktuell gültige OTP zu erzeugen.
# die Passwörter sind zwar relativ lang, aber sie werden als 2- bis 4-buchstabige englische Wörter ausgegeben, so dass man nicht Buchstabe für Buchstabe irgendwelche Zufallsfolgen eingeben muss sondern ein solches Passwort recht einfach von z.B. einem Zettel abschreiben kann.

Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-kompatible Generatoren möglich. Solche Generatoren gibt es auch für Handys und PDAs, so dass man eventuell so einen Passwort-Generator immer dabei haben kann.

Beispiel für Java-fähige Handys: [http://fatsquirrel.org/software/vejotp/ VeJOTP].

==Einrichtung==

Vor der aller ersten Benutzung muss der Account für S/Key freigeschaltet werden und eine initiale Passwortliste erzeugt werden. Dies geschieht mit folgendem Befehl:

skeyinit -t sha1

{{AlertBox
|title=Bitte beachten Sie:
|content=Wir verwenden in diesem Beispiel den Hash-Algorithmus '''SHA1'''. Die Voreinstellung, MD5 ist sehr alt und gilt mittlerweile als nicht mehr sicher. Eventuell können Sie aber nicht mit jedem S/Key-kompatiblen Programm SHA1-Passwörter erzeugen.
}}

Dieses fragt folgende Dinge ab:

# Das normale Passwort (damit sich nicht ein Dritter Zugang verschaffen kann, nur weil man eine Konsole offen gelassen hat).
# Ein neues, sicheres Passwort. Es wird verlangt, dass dieses Passwort mindestens 10 Zeichen hat. Da man sich alleine mit Kenntnis dieses Passworts einloggen kann, sollte das auch wirklich ein gutes Passwort sein.
# Eine Wiederholung des gerade eingegebenen Passworts.

Es werden dann 100 OTPs erzeugt. S/Key nummeriert die OTPs absteigend, beginnend bei 99. So sieht man immer, wie viele man noch übrig hat.

Danach gibt es das erste OTP aus, das für den nächsten Login benutzt werden kann.

==Benutzung==

Wenn für den Benutzer eine Passwortliste hinterlegt ist, dann wird beim Login wahlweise das OTP oder das normale Passwort akzeptiert. Ein Login per SSH-Key geht natürlich ebenfalls weiterhin.

Beim Login zeigt S/Key dann etwas wie folgendes an:

otp-sha1 98 zuck45464
S/Key response or system password:

Er erwartet also SHA1-Passwort Nummer ''98'' für die Passwortliste mit der ID ''zuck45464''. Mit diesen Informationen kann man sich z.B. mittels

skey -t sha1 98 zuck45464

auf einem kompatiblen Gerät unter Eingabe des geheimen Passworts das passende OTP errechnen lassen.

{{AlertBox
|title=Wichtig
|content=Natürlich darf der als unsicher eingestufte Rechner '''nicht''' dazu benutzt werden, das OTP zu errechnen. Denn dazu muss das geheime Passwort eingegeben werden, mit dem ein Angreifer selbst weitere OTPs erzeugen kann.
}}

==Passwörter für unterwegs==

Da man nicht immer die Möglichkeit hat, Passwörter digital errechnen zu lassen, kann man sich auch eine Liste der kommenden Passwörter z.B. auf Papier ausdrucken und mitnehmen.

Eine Liste von 10 OTPs für die S/Key-Liste ''zuck45464'' beginnend ab Nummer 95 erhält man mit dem Befehl

skey -t sha1 -n '''10''' 95 zuck45464

==Erneuern der Passwortliste==

Sind alle OTPs verbraucht oder besteht Grund zur Annahme, dass das sichere Passwort doch nicht mehr so sicher ist, dann kann die Passwortliste erneuert werden. Das geht einfach wieder mit dem Befehl

skeyinit -t sha1

Mit diesem Befehl werden automatisch alle vorher erzeugten Einmalpasswörter ungültig. Dies ist also geeignet, wenn man z.B. eine Papier-Liste verloren hat.

==Passwortliste löschen==

Braucht man eine Liste nicht mehr, dann kann man mit

skeyinit -z

die komplette Liste löschen und damit die Benutzung von S/Key für diesen Benutzeraccount abschalten.

Datenschutz

2008-10-16T11:21:10Z

Mika:

In einem Urteil hat das Berliner Amtsgericht untersagt, IP-Adressen von Webseiten-Zugriffen zu speichern. Im Moment ist unklar, welche Breitenwirkung dieses Urteil hat.

http://www.heise.de/newsticker/meldung/96781

http://www.daten-speicherung.de/?p=197

Wir sammeln auf dieser Seite Informationen, wie man gängige Webanwendungen möglichst datenschutzfreundlich konfigurieren kann und empfehlen allen Kunden, die Speicherung von personenbezogenen Daten auf ein Minimum zu reduzieren.

== Richtlinien auf schokokeks.org ==

* Im Fehlerprotokoll (error_log) wird grundsätzlich keine IP-Adresse mehr aufgezeichnet.
* Im Webinterface kann für jede Subdomain gewählt werden, ob Logfiles erstellt werden sollen oder nicht. Zudem steht die Option "anonym" zur Verfügung, mit der die IP-Adresse nicht protokolliert wird.
* Über die Besucher unserer eigenen Websites werden generell keine Logfiles mehr angelegt. Im geschützten Bereich des Webinterface (https://config.schokokeks.org) werden für manche Aktionen trotzdem weiterhin Protokolle aufgezeichnet, wenn dies zum Betrieb bzw. der Fehlersuche erforderlich ist.

== Tipps für Webanwendungen ==

=== Drupal ===

Speichert in der Standardeinstellung alle Zugriffe in einer SQL-Datenbank.

Unter der URL
/admin/logs/settings
kann dies abgeschaltet werden. Neben der Datenschutzproblematik empfehlen wir auch aus Performancegründen, die beiden Optionen '''Zugriffsstatistik aktivieren''' und '''Inhaltsabrufe zählen''' zu deaktivieren.
Kurioserweise muss man zum Abschalten der Logs vorher das Modul "Statistics" aktivieren.

Die Zugriffe werden in der Datenbank '''accesslog''' gespeichert, diese sollte man anschließend leeren.
Leider führt drupal trotzdem noch ein Aktions-Log, das z.B. Zeiten aller Sessions enthält. Das ist sehr problematisch, da so Benutzer mit Zeiten und IPs verknüpft werden. Bis jetzt ist keine Lösung bekannt, Benutzernamen von Zeiten zu entkoppeln.
Um wenigstens die IPs loszuwerden siehe die Informationen unter dem Link.

Weitere Infos: http://docs.indymedia.org/view/Devel/ImcDrupalDevAnonymization

=== Serendipity ===

Die Option '''Enable referrer tracking''' unter '''Appearance and Options''' sollte ausgeschaltet werden.

Im '''Spam Protector''' Plugin sollte '''Choose logging method''' auf '''No Logging''' stehen.

In der Datei '''serendipity_config_local.inc.php''' kann man den Inhalt bestimmter Variablen löschen oder überschreiben, damit z.B. statt der IP von Kommentatoren nur noch Standardwerte gespeichert werden. Diese Einstellung betrifft u.a. die Mails über neue Kommentare, die Einträge in der Kommentar-Tabelle und Einträge im Spam-Log.

// End of Serendipity configuration file
// You can place your own special variables after here:
$_SERVER['REMOTE_ADDR'] = '0.0.0.0';
$_SERVER['REMOTE_HOST'] = 'localhost';

=== Scuttle ===

Scuttle speichert üblicherweise IPs bei allen neuen Useraccounts und Bookmarks. Ein Patch um dies zu verhindern: http://sourceforge.net/tracker/index.php?func=detail&aid=1807218&group_id=134378&atid=729862

schokokeks.org Wiki - Benutzerbeiträge [de]

Einmalpasswörter

Datenschutz