Missverstandene Authentisierungsmechanismen
Marc Ruef | 31.10.2011

Im Juli dieses Jahres hatte ich Gelegenheit, am Davis Cup in Bern beizuwohnen. Im Rahmen des Tennis-Ereignisses standen sich die beiden Länder Portugal und Schweiz (http://www.daviscup.com/en/results/tie/details.aspx?tieId=100016218) gegenüber. Eine spannende Sache, die ganz im Kontrast zu meinem Besuch in Wimbledon wenige Wochen zuvor stand. In erstgenanntem herrscht eine Stimmung, wie man sie von Fussballspielen her kennt. in letztgenannten ist hingegen Ruhe und Disziplin, auch und vor allem von den Zuschauern, verlangt.

Im Rahmen meines Aufenthalts in Bern weilte ich in einem Hotel. Beim Checkin wurde mir ein handgeschriebenes Zettelchen gegeben, auf welchem meine Zimmernummer vermerkt war. Mir wurde aufgetragen, dass ich beim Verlangen des Zimmerschlüssels stets diesen Zettel vorzuweisen habe. Die Herausgabe des Schlüssels sei nur mit diesem möglich und selbst das Vorweisen eines amtlich beglaubigten Ausweises würde das nicht ersetzen können.

Ich musste schmunzeln, denn hier wurde ich gerade Zeuge eines klassischen Fehlers, wie ein solider Authentisierungsmechanismus durch einen proprietären und anfälligen Prozess ersetzt wurde. Eine Authentisierung hat zum Ziel, dass sich der Benutzer möglichst eindeutig identifizieren und damit beglaubigen lassen kann. Dies wird erreicht, indem möglichst schwer zu fälschende oder vorzutäuschende Berechtigungsnachweise (engl. credentials) eingesetzt werden.

Quizfrage - Was ist einfacher zu fälschen: Ein amtlich beglaubigter Ausweis (z.B. Pass, Führerschein) oder ein handgeschriebener Zettel?

Ich konnte mir dieses prozesstechnische Missverständnis nur so erklären. Und zwar pflegt das Hotel nur zwei Nachtportiers einzusetzen. Diese kennen wohl die Schrift und den Schreibstil des jeweilig anderen. Das Fälschen eines Zettels wird damit schwierig. Hingegen kann ein Ausweis gestohlen und ein ähnliches Passbild als das eigene Abbild vorgehalten werden.

Dieses Konzept klingt nicht mal so schlecht. Dennoch zeigt es im Endeffekt auf, welche Auswirkungen die Ignoranz bei der Auswahl proprietärer Mittel haben kann. Denn ist ein Angreifer halbwegs geschickt, kann er den Zettel mit kalkulierbarem Aufwand fälschen. Dies gelänge ihm beim Pass hingegen nicht. Und zudem kann auch ein Zettel gestohlen werden. Aufgrund der fehlenden Identifikationsmerkmale wird es für den Portier - besonders bei einer hohen Anzahl unterschiedlicher Gäste - nahezu unmöglich, eine klare Identifikation vorzunehmen. Ich kann also nur zum Schluss kommen, dass hier ein klassisches Prinzip grundlegend verschlimmbessert wurde.