Einmalpasswörter - Versionsgeschichte

Hanno am 7. Dezember 2019 um 12:58 Uhr

2019-12-07T12:58:46Z

← Nächstältere Version		Version vom 7. Dezember 2019, 14:58 Uhr
Zeile 1:		Zeile 1:
	{{AlertBox		{{AlertBox
	\|title=Hinweis		\|title=Hinweis
	\|content=~~Diese~~ Anleitung ist ~~viele Jahre alt und skey kann momentan nicht mehr im vollen Umfang verwendet werden~~.		\|content=Wir haben die Unterstützung für skey entfernt, belassen diese Anleitung aber hier, falls sie für andere Nutzer interessant ist.
	}}		}}

Zeile 22:		Zeile 22:
	Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-kompatible Generatoren möglich. Solche Generatoren gibt es auch für Handys und PDAs, so dass man eventuell so einen Passwort-Generator immer dabei haben kann.		Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-kompatible Generatoren möglich. Solche Generatoren gibt es auch für Handys und PDAs, so dass man eventuell so einen Passwort-Generator immer dabei haben kann.

	Beispiel für Java-fähige Handys: [~~http~~://fatsquirrel.org/software/vejotp/ VeJOTP].		Beispiel für Java-fähige Handys: [https://fatsquirrel.org/software/vejotp/ VeJOTP].

	==Einrichtung==		==Einrichtung==

Bernd am 7. Dezember 2015 um 06:26 Uhr

2015-12-07T06:26:31Z

← Nächstältere Version		Version vom 7. Dezember 2015, 08:26 Uhr
Zeile 1:		Zeile 1:
			{{AlertBox
			\|title=Hinweis
			\|content=Diese Anleitung ist viele Jahre alt und skey kann momentan nicht mehr im vollen Umfang verwendet werden.
			}}


	Wenn man sich von einem Rechner, den andere Personen kontrollieren können (Internet-Café, bei Fremden, ...) mit einem Passwort einloggen möchte, besteht immer die reale Gefahr, dass der Rechner das Passwort irgendwo protokolliert ("Keylogger") und damit andere Personen Zugriff auf das Passwort und damit den benutzten Account haben.		Wenn man sich von einem Rechner, den andere Personen kontrollieren können (Internet-Café, bei Fremden, ...) mit einem Passwort einloggen möchte, besteht immer die reale Gefahr, dass der Rechner das Passwort irgendwo protokolliert ("Keylogger") und damit andere Personen Zugriff auf das Passwort und damit den benutzten Account haben.

Mika: -t sha1 auch bei liste ausdrucken eingefügt.

2009-01-17T11:03:39Z

-t sha1 auch bei liste ausdrucken eingefügt.

← Nächstältere Version		Version vom 17. Januar 2009, 13:03 Uhr
Zeile 65:		Zeile 65:
	Eine Liste von 10 OTPs für die S/Key-Liste ''zuck45464'' beginnend ab Nummer 95 erhält man mit dem Befehl		Eine Liste von 10 OTPs für die S/Key-Liste ''zuck45464'' beginnend ab Nummer 95 erhält man mit dem Befehl

	skey -n '''10''' 95 zuck45464		skey -t sha1 -n '''10''' 95 zuck45464

	==Erneuern der Passwortliste==		==Erneuern der Passwortliste==

Ruderich: typo

2008-09-04T21:40:12Z

typo

← Nächstältere Version		Version vom 4. September 2008, 23:40 Uhr
Zeile 3:		Zeile 3:
	Um diesem Problem ohne zusätzliche Hardware zu begegnen gibt es eigentlich nur eine funktionierende Lösung: One-Time-Passwords bzw. Einmalpasswörter (kurz: OTP).		Um diesem Problem ohne zusätzliche Hardware zu begegnen gibt es eigentlich nur eine funktionierende Lösung: One-Time-Passwords bzw. Einmalpasswörter (kurz: OTP).

	Das Prinzip ist wie beim TAN-Verfahren im Online-Banking, dass es eine Liste von möglichen Passwörtern gibt und jedes kann nur einmal benutzt werden.		Das Prinzip ist wie beim TAN-Verfahren im Online-Banking, dass es eine Liste von möglichen Passwörtern gibt und jedes kann nur einmal benutzt werden.

	==S/Key==		==S/Key==
Zeile 12:		Zeile 12:

	# die Einmalpasswörter werden aus einer für den Benutzer eindeutigen ID, der OTP-Nummer und einem geheimen (konstanten) Passwort errechnet und nicht zufällig erzeugt. Es ist daher immer möglich, unter Kenntnis des konstanten Passworts das aktuell gültige OTP zu erzeugen.		# die Einmalpasswörter werden aus einer für den Benutzer eindeutigen ID, der OTP-Nummer und einem geheimen (konstanten) Passwort errechnet und nicht zufällig erzeugt. Es ist daher immer möglich, unter Kenntnis des konstanten Passworts das aktuell gültige OTP zu erzeugen.
	# die Passwörter sind zwar relativ lang, aber sie werden als 2- bis 4-buchstabige englische Wörter ausgegeben, so dass man nicht ~~buchstabe~~ für Buchstabe irgendwelche Zufallsfolgen eingeben muss sondern ein solches Passwort recht einfach von z.B. einem Zettel abschreiben kann.		# die Passwörter sind zwar relativ lang, aber sie werden als 2- bis 4-buchstabige englische Wörter ausgegeben, so dass man nicht Buchstabe für Buchstabe irgendwelche Zufallsfolgen eingeben muss sondern ein solches Passwort recht einfach von z.B. einem Zettel abschreiben kann.

	Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-kompatible Generatoren möglich. ~~solche~~ Generatoren gibt es auch für Handys und PDAs, so dass man ~~evtl.~~ so einen Passwort-Generator immer dabei haben kann.		Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-kompatible Generatoren möglich. Solche Generatoren gibt es auch für Handys und PDAs, so dass man eventuell so einen Passwort-Generator immer dabei haben kann.

	Beispiel für Java-fähige Handys: [http://fatsquirrel.org/software/vejotp/ VeJOTP].		Beispiel für Java-fähige Handys: [http://fatsquirrel.org/software/vejotp/ VeJOTP].


	==Einrichtung==		==Einrichtung==

	Vor der aller ersten Benutzung muss der Account für S/Key freigeschaltet werden und eine initiale Passwortliste erzeugt werden. Dies ~~geschicht~~ mit folgendem Befehl:		Vor der aller ersten Benutzung muss der Account für S/Key freigeschaltet werden und eine initiale Passwortliste erzeugt werden. Dies geschieht mit folgendem Befehl:

	skeyinit -t sha1		skeyinit -t sha1
Zeile 27:		Zeile 26:
	{{AlertBox		{{AlertBox
	\|title=Bitte beachten Sie:		\|title=Bitte beachten Sie:
	\|content=Wir verwenden in diesem Beispiel den Hash-Algorithmus '''SHA1'''. Die ~~voreinstellung~~, MD5 ist sehr alt und gilt mittlerweile als nicht mehr sicher. Eventuell können Sie aber nicht mit jedem S/Key-kompatiblen Programm SHA1-Passwörter erzeugen.		\|content=Wir verwenden in diesem Beispiel den Hash-Algorithmus '''SHA1'''. Die Voreinstellung, MD5 ist sehr alt und gilt mittlerweile als nicht mehr sicher. Eventuell können Sie aber nicht mit jedem S/Key-kompatiblen Programm SHA1-Passwörter erzeugen.
	}}		}}

	Dieses fragt folgende Dinge ab:		Dieses fragt folgende Dinge ab:

	# Das normale Passwort (damit sich nicht ein Dritter Zugang verschaffen kann, nur weil man eine Konsole offen gelassen hat)		# Das normale Passwort (damit sich nicht ein Dritter Zugang verschaffen kann, nur weil man eine Konsole offen gelassen hat).
	# Ein neues, sicheres Passwort. Es wird verlangt, dass dieses Passwort mindestens 10 Zeichen hat. Da man sich alleine mit Kenntnis dieses Passworts einloggen kann, sollte das auch wirklich ein gutes Passwort sein.		# Ein neues, sicheres Passwort. Es wird verlangt, dass dieses Passwort mindestens 10 Zeichen hat. Da man sich alleine mit Kenntnis dieses Passworts einloggen kann, sollte das auch wirklich ein gutes Passwort sein.
	# Eine Wiederholung des gerade eingegebenen Passworts		# Eine Wiederholung des gerade eingegebenen Passworts.

	Es werden dann 100 OTPs erzeugt. S/Key nummeriert die OTPs absteigend, beginnend bei 99. So sieht man immer, wie viele man noch übrig hat.		Es werden dann 100 OTPs erzeugt. S/Key nummeriert die OTPs absteigend, beginnend bei 99. So sieht man immer, wie viele man noch übrig hat.
Zeile 53:		Zeile 52:
	skey -t sha1 98 zuck45464		skey -t sha1 98 zuck45464

	~~Auf~~ einem kompatiblen Gerät unter Eingabe des geheimen Passworts das passende OTP errechnen lassen.		auf einem kompatiblen Gerät unter Eingabe des geheimen Passworts das passende OTP errechnen lassen.

	{{AlertBox		{{AlertBox
Zeile 59:		Zeile 58:
	\|content=Natürlich darf der als unsicher eingestufte Rechner '''nicht''' dazu benutzt werden, das OTP zu errechnen. Denn dazu muss das geheime Passwort eingegeben werden, mit dem ein Angreifer selbst weitere OTPs erzeugen kann.		\|content=Natürlich darf der als unsicher eingestufte Rechner '''nicht''' dazu benutzt werden, das OTP zu errechnen. Denn dazu muss das geheime Passwort eingegeben werden, mit dem ein Angreifer selbst weitere OTPs erzeugen kann.
	}}		}}


	==Passwörter für unterwegs==		==Passwörter für unterwegs==
Zeile 68:		Zeile 66:

	skey -n '''10''' 95 zuck45464		skey -n '''10''' 95 zuck45464


	==Erneuern der Passwortliste==		==Erneuern der Passwortliste==

	Sind alle OTPs verbraucht oder besteht Grund zur Annahme dass das sichere Passwort doch nicht mehr so sicher ist, dann kann die Passwortliste erneuert werden. Das geht einfach wieder mit dem Befehl		Sind alle OTPs verbraucht oder besteht Grund zur Annahme, dass das sichere Passwort doch nicht mehr so sicher ist, dann kann die Passwortliste erneuert werden. Das geht einfach wieder mit dem Befehl

	skeyinit -t sha1		skeyinit -t sha1

	Mit diesem Befehl werden automatisch alle vorher erzeugten Einmalpasswörter ungültig. Dies ist also geeignet, wenn man z.B. eine Papier-Liste verloren hat.		Mit diesem Befehl werden automatisch alle vorher erzeugten Einmalpasswörter ungültig. Dies ist also geeignet, wenn man z.B. eine Papier-Liste verloren hat.


	==Passwortliste löschen==		==Passwortliste löschen==

Bernd am 29. Januar 2008 um 16:32 Uhr

2008-01-29T16:32:51Z

← Nächstältere Version		Version vom 29. Januar 2008, 18:32 Uhr
Zeile 1:		Zeile 1:
	Wenn man sich von einem Rechner, den andere Personen kontrollieren können (Internet-Café, bei Fremden, ...) mit einem Passwort einloggen möchte, besteht immer die reale Gefahr, dass der Rechner das Passwort irgendwo protokolliert ("Keylogger") und damit andere Personen Zugriff auf das Passwort und damit den benutzten Account haben.		Wenn man sich von einem Rechner, den andere Personen kontrollieren können (Internet-Café, bei Fremden, ...) mit einem Passwort einloggen möchte, besteht immer die reale Gefahr, dass der Rechner das Passwort irgendwo protokolliert ("Keylogger") und damit andere Personen Zugriff auf das Passwort und damit den benutzten Account haben.

	Um diesem Problem ohne zusätzliche Hardware zu begegnen gibt es eigentlich nur eine funktionierende Lösung: One-Time-~~Pads~~ bzw. Einmalpasswörter (kurz: OTP).		Um diesem Problem ohne zusätzliche Hardware zu begegnen gibt es eigentlich nur eine funktionierende Lösung: One-Time-Passwords bzw. Einmalpasswörter (kurz: OTP).

	Das Prinzip ist wie beim TAN-Verfahren im Online-Banking, dass es eine Liste von möglichen Passwörtern gibt und jedes kann nur einmal benutzt werden.		Das Prinzip ist wie beim TAN-Verfahren im Online-Banking, dass es eine Liste von möglichen Passwörtern gibt und jedes kann nur einmal benutzt werden.

Bernd: hat „One-Time-Pad“ nach „Einmalpasswörter“ verschoben: Begriffs-Verwirrung

2008-01-29T16:32:08Z

hat „One-Time-Pad“ nach „Einmalpasswörter“ verschoben: Begriffs-Verwirrung

← Nächstältere Version	Version vom 29. Januar 2008, 18:32 Uhr
(kein Unterschied)

Bernd am 28. Januar 2008 um 20:59 Uhr

2008-01-28T20:59:52Z

← Nächstältere Version		Version vom 28. Januar 2008, 22:59 Uhr
Zeile 42:		Zeile 42:
	==Benutzung==		==Benutzung==

	~~Will man~~ das OTP ~~benutzen, stellt man einfach dem Benutzernamen ein ''':skey''' hinten an.~~		Wenn für den Benutzer eine Passwortliste hinterlegt ist, dann wird beim Login wahlweise das OTP oder das normale Passwort akzeptiert. Ein Login per SSH-Key geht natürlich ebenfalls weiterhin.

	~~Z.B. kann sich der Benutzer bernd@zucker.schokokeks.org mittels bernd''':skey'''@zucker~~.~~schokokeks.org mittels OTP einloggen~~.

	Beim Login zeigt S/Key dann etwas wie folgendes an:		Beim Login zeigt S/Key dann etwas wie folgendes an:

Bernd am 28. Januar 2008 um 20:13 Uhr

2008-01-28T20:13:39Z

← Nächstältere Version		Version vom 28. Januar 2008, 22:13 Uhr
Zeile 77:		Zeile 77:

	skeyinit -t sha1		skeyinit -t sha1

			Mit diesem Befehl werden automatisch alle vorher erzeugten Einmalpasswörter ungültig. Dies ist also geeignet, wenn man z.B. eine Papier-Liste verloren hat.


			==Passwortliste löschen==

			Braucht man eine Liste nicht mehr, dann kann man mit

			skeyinit -z

			die komplette Liste löschen und damit die Benutzung von S/Key für diesen Benutzeraccount abschalten.

Bernd: hat „Benutzer:Bernd/One-Time-Pad“ nach „One-Time-Pad“ verschoben

2008-01-28T20:07:29Z

hat „Benutzer:Bernd/One-Time-Pad“ nach „One-Time-Pad“ verschoben

← Nächstältere Version	Version vom 28. Januar 2008, 22:07 Uhr
(kein Unterschied)

Bernd am 28. Januar 2008 um 20:06 Uhr

2008-01-28T20:06:11Z

← Nächstältere Version		Version vom 28. Januar 2008, 22:06 Uhr
Zeile 14:		Zeile 14:
	# die Passwörter sind zwar relativ lang, aber sie werden als 2- bis 4-buchstabige englische Wörter ausgegeben, so dass man nicht buchstabe für Buchstabe irgendwelche Zufallsfolgen eingeben muss sondern ein solches Passwort recht einfach von z.B. einem Zettel abschreiben kann.		# die Passwörter sind zwar relativ lang, aber sie werden als 2- bis 4-buchstabige englische Wörter ausgegeben, so dass man nicht buchstabe für Buchstabe irgendwelche Zufallsfolgen eingeben muss sondern ein solches Passwort recht einfach von z.B. einem Zettel abschreiben kann.

	Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-~~kompatibel~~ Generatoren möglich. solche Generatoren gibt es auch für Handys und PDAs, so dass man evtl. so einen Passwort-Generator immer dabei haben kann.		Die Berechnung gültiger OTPs ist entweder mit dem Programm "skey" (bei uns installiert) oder auch über andere skey-kompatible Generatoren möglich. solche Generatoren gibt es auch für Handys und PDAs, so dass man evtl. so einen Passwort-Generator immer dabei haben kann.

			Beispiel für Java-fähige Handys: [http://fatsquirrel.org/software/vejotp/ VeJOTP].


Zeile 21:		Zeile 23:
	Vor der aller ersten Benutzung muss der Account für S/Key freigeschaltet werden und eine initiale Passwortliste erzeugt werden. Dies geschicht mit folgendem Befehl:		Vor der aller ersten Benutzung muss der Account für S/Key freigeschaltet werden und eine initiale Passwortliste erzeugt werden. Dies geschicht mit folgendem Befehl:

	skeyinit		skeyinit -t sha1

			{{AlertBox
			\|title=Bitte beachten Sie:
			\|content=Wir verwenden in diesem Beispiel den Hash-Algorithmus '''SHA1'''. Die voreinstellung, MD5 ist sehr alt und gilt mittlerweile als nicht mehr sicher. Eventuell können Sie aber nicht mit jedem S/Key-kompatiblen Programm SHA1-Passwörter erzeugen.
			}}

	Dieses fragt folgende Dinge ab:		Dieses fragt folgende Dinge ab:
Zeile 41:		Zeile 48:
	Beim Login zeigt S/Key dann etwas wie folgendes an:		Beim Login zeigt S/Key dann etwas wie folgendes an:

	otp-~~md5~~ 98 zuck45464		otp-sha1 98 zuck45464
	S/Key response or system password:		S/Key response or system password:

	Er erwartet also Passwort Nummer ''98'' für die Passwortliste mit der ID ''zuck45464''. Mit diesen Informationen kann man sich z.B. mittels		Er erwartet also SHA1-Passwort Nummer ''98'' für die Passwortliste mit der ID ''zuck45464''. Mit diesen Informationen kann man sich z.B. mittels

	skey 98 zuck45464		skey -t sha1 98 zuck45464

	Auf einem kompatiblen Gerät unter Eingabe des geheimen Passworts das passende OTP errechnen lassen.		Auf einem kompatiblen Gerät unter Eingabe des geheimen Passworts das passende OTP errechnen lassen.

			{{AlertBox
			\|title=Wichtig
			\|content=Natürlich darf der als unsicher eingestufte Rechner '''nicht''' dazu benutzt werden, das OTP zu errechnen. Denn dazu muss das geheime Passwort eingegeben werden, mit dem ein Angreifer selbst weitere OTPs erzeugen kann.
			}}


			==Passwörter für unterwegs==

			Da man nicht immer die Möglichkeit hat, Passwörter digital errechnen zu lassen, kann man sich auch eine Liste der kommenden Passwörter z.B. auf Papier ausdrucken und mitnehmen.

			Eine Liste von 10 OTPs für die S/Key-Liste ''zuck45464'' beginnend ab Nummer 95 erhält man mit dem Befehl

			skey -n '''10''' 95 zuck45464


Zeile 55:		Zeile 76:
	Sind alle OTPs verbraucht oder besteht Grund zur Annahme dass das sichere Passwort doch nicht mehr so sicher ist, dann kann die Passwortliste erneuert werden. Das geht einfach wieder mit dem Befehl		Sind alle OTPs verbraucht oder besteht Grund zur Annahme dass das sichere Passwort doch nicht mehr so sicher ist, dann kann die Passwortliste erneuert werden. Das geht einfach wieder mit dem Befehl

	skeyinit		skeyinit -t sha1