Authentifizierung: Unterschiede zur Authentisierung und Autorisierung

1. Überblick: Authentisierung vs. Authentifizierung vs. Autorisierung

Authentisierung, Authentifizierung und Autorisierung sind drei Fachbegriffe, die in der IT-Sicherheit häufig genutzt werden.

Insbesondere die Begriffe Authentisierung und Authentifizierung werden oft synonym verwendet. Hintergrund dafür mag auch sein, dass beide Begriffe die gleiche englischsprachige Übersetzung haben: "authentication".

Um zuverlässig bestimmte Zugriffsrechte auf Daten und Informationen zuweisen zu können (autorisieren) müssen wir genau wissen, mit wem wir es zu tun haben. Persönliches Vorsprechen ist dabei nicht immer realistisch. Wir müssen uns also gegenüber einem Dritten digital ausweisen können (authentisieren). Diese Drittpartei hat dann die Möglichkeit unseren Identitätsnachweis zu prüfen (authentifizieren) und damit die Freigabe zur Erteilung weiterer Rechte (Autorisierung) zu erteilen.

2. Authentisierung: Benutzeridentität nachweisen

Es drei grundsätzlich drei verschiedene Arten die eine digitale Identität nachzuweisen.

• Wissen: Der Benutzer weiß etwas, beispielsweise eine PIN oder ein Passwort.
• Besitz: Der Benutzer hat etwas, beispielsweise einen OTP-Generator, eine EC-Karte oder einen Schlüssel.
• Benutzer: Die Gegenwart des Benutzers selbst wird durch ein biometrisches Merkmal, beispielsweise ein Fingerabdruck, nachgewiesen.

Ein Identitätsnachweises über eine Art, wie beispielsweise eine E-Mail-Adresse verbunden mit einem Passwort oder einer PIN, wird als Ein-Faktor-Authentisierung (Single-Factor-Authentication, SFA) bezeichnet.

Allerdings kann das für einen solchen Nachweis notwendige Password bzw. PIN leicht gestohlen werden und zum Identitätsdiebstahl missbraucht werden. Daher haben Unternehmen und öffentliche Organisationen ihre Identitätsprüfung verstärkt indem eine zweite Art zum Nachweis der Benutzeridentität hinzugefügt wird.

Beispielsweise wird nach Eingabe von E-Mail und Passwort noch der Nachweis des Besitzes der hinterlegten SIM-Karte über Zusendung einer SMS-TAN erwartet. Dies wird dann als Zwei-Faktoren-Authentifizierung (2FA) bezeichnet.

Die Nutzer müssen insofern während der Authentisierung eine aktive Rolle spielen, um zu beweisen, dass sie die sind, die sie vorgeben zu sein.

Zum Vergleich: In der analogen Welt geschieht die Authentisierung in der Regel durch die persönliche Vorlage des Personalausweises. Dies ist so eine Art 2FA-Verfahren, da der Besitz eines nicht gefälschten Personalausweises mit dem persönlichen Vorsprechen des Abgleich des biometrischen Merkmals (Bild) kombiniert werden.

Übertragung der Authentisierungsinformationen zur prüfenden Stelle

In der digitalen Welt müssen die zur Verfügung gestellten Identitätsinformationen über Netzwerke an eine zu prüfende Stelle übertragen werden. Können diese Daten abgehört werden ist es möglich sie zur Vortäuschung einer falschen Identität zu missbrauchen.

Abgesehen von der Sicherstellung einer verschlüsselten Verbindung gibt es zwei grundsätzliche Herangehensweisen, um das zu verhindern:

1. Einmalpasswörter: Es werden nur Einmalpasswörter wie eine SMS-TAN übertragen. Ein Angreifer könnte selbst, falls die Verbindung abgehört werden kann diese nicht mehr nutzen.
2. Challenge-Response-Verfahren: Dabei werden die Informationen nicht direkt übertragen, sondern nur daraus abgeleitete Daten, die bei einem Abhörvorgang wertlos sind.

3. Authentifizierung: Benutzeridentität prüfen und bestätigen.

Auf die Authentisierung folgt die Authentifizierung: In diesem Schritt wird der zur Verfügung gestellt Identitätsnachweis durch eine Prüfstelle kontrolliert. Aus Benutzersicht ist dieser Vorgang passiv.

Diese Prüfstellen, in der Regel ein IT-Systeme oder Server, muss folglich über einen gewissen Schatz an Informationen verfügen damit Identitätsnachweis verifiziert oder falsifiziert werden kann.

Der Vollständigkeit halber sei darauf hingewiesen, dass eine Datenbank mit Klartextpasswörtern zur Prüfung des Passwortes auf gar keinen Fall zu diesem Schatz an Informationen zählen sollte.

Authentifizierung as-a-service

Es gibt eine große Menge von Authentifizierungsdiensten im Software-as-a-Service Cloud-Liefermodell. Diese Dienste können von Unternehmen genutzt werden um eine Single-Sign-On Funktionalität für On-Prem und Cloud-Dienste zur Verfügung zu stellen.

4. Autorisierung: Gewährung von Zugriffs- oder Zutrittsrechten

Nach erfolgreicher Authentifizierung ist die Identität des Benutzers sichergestellt. Der Benutzer ist nun berechtigt, auf bestimmte Informationen zuzugreifen oder erhält bestimmte Zugriffsrechte.

Beispielsweise erhalten Projektmitarbeiter Zugriff auf vertrauliche Projektinformationen des eigenen Projektes, aber nicht auf die anderen Projekte des Unternehmens oder der öffentlichen Organisation. Die häufigsten eingesetzten Autorisierungstechniken sind dabei RBAC und DAC.

Rollenbasierte Zugriffssteuerung (RBAC)

In einem IT-System ist eine Menge an Rollen hinterlegt. Beispiele dafür können sein Projektmitarbeiter Projekt A, Projektmitarbeiter Projekt B, Systemadministrator, usw. Jeder Benutzer erhält eine Menge von Rollen zugewiesen. Dies sollte auf Grundlage des "Need-to-Know"-Prinzips erfolgen: Benutzer erhalten nur Zugang zu den Informationen, die für die Arbeit aktuell benötigt werden.

Discretionary Access Control (DAC)

Im Gegensatz zum rollenbasierten Konzept RBAC ist die DAC benutzerzentriert. Zugriffsrechte werden direkt für jeden Benutzer festgelegt und nicht über Rollen organisiert und verwaltet.