|
Authentication with PKI
|
Please note, that the Knowledge Base isn't translated to english completely at the moment. You will still find some german texts - we are translating permanently the outstanding parts! Thank you for understanding! |
Challenge Response with PKI |
| |
|
|
Challenge Response mit asymmetrischen Verfahren |
Bei Authentifizierung mit asymmetrischen Verfahren muss der Authentisierende natürlich beweisen, den privaten Schlüssel tatsächlich zu besitzen. Um den Schlüssel an eine Identität zu binden ist natürlich eine PKI notwendig, und der Schutz des privaten Schlüssel (Speicherung, Verarbeitung, Aktivierung) ist zu berücksichtigen. Ein Hardware-Token wie eine Smart Card, bietet hier angemessene Sicherheit.
Zur Authentifizierung kann z.B. ein bestimmter "signierter" Wert übermittelt werden, das Authentifizierungssystem kann mit dem öffentlichen Schlüssel kann die Signatur verifizieren oder falsifizieren - dieses Verfahren wird mit EMV auf Smart Cards ohne RSA-Fähigkeit eingesetzt - Static Data Authentication.
Dieses statische Verfahren ist natürlich nicht gegen Wiedereinspielen geschützt. Deshalb sollte eine Challenge gestellt werden, auf die der private Schlüssel angewandt wird. Eine Anwendung eines privaten Schlüssels kann entweder eine "Signaturoperation" oder eine "Entschlüsselungsoperation" darstellen, dementsprechend können 2 Varianten unterschieden werden.
|
Authentisierung durch "Signatur" |
Eine gestellte Challenge wird vom Authentisierenden mit seinem privaten Schlüssel "signiert", der prüfende Partner verifiziert mit dem öffentlichen Schlüssel die Signatur. Anwendung z.B. Clientauthentisierung bei SSL/TLS, Dynamic Data Authentication (DDA) bei EMV, Microsoft Smart Card Logon durch Kerberos PKinit.
|
Authentisierung durch Entschlüsselung |
Die Challenge wird mit dem öffentlichen Schlüssel verschlüsselt gestellt, der sich Authentisierende entschlüsselt mit seinem privaten Schlüssel die Challenge - und kann entsprechend reagieren, - etwa als Response zurücksenden oder die Challenge gleich als Session-key verwendenwie bei der SSL-TLS Serverauthentifizierung, oder beim Microsoft Offline Smart Card Logon.
|
Diffie Hellman Schlüsseltausch |
Das Diffie Hellman Verfahren wäre in dieser Klassifikation als beidseitiges Challenge Response Verfahren einzuordnen. Interessant ist in diesem Zusammenhang, das Passwortverfahren mit Diffie Hellman Techniken kombiniert entwickelt wurden. Beispiele dafür sind EKE (Encrypted Key Exchange) AEKE (Augmented EKE) und SPEKE (Simple Password authenticated Exponential Key Exchange).
|
|
|
Legal notice
