Multi Faktor Authentifizierung (Sicherheit)
Verfasst: Mo 25. Jul 2016, 10:49
Kurz zur Erläuterung: Bei der Multi Faktor Authentifizierung oder kurz MFA geht es darum, den Zugang zu einer Anwendung - in diesem Fall also dem BlackCat Backend - zu sichern.
Die "herkömmliche" Methode ist die Verwendung einer Benutzerkennung zusammen mit einem Kennwort. Zusätzlich kann es dann weitere Schutzmechanismen geben, angefangen von einer Mindestlänge für das Kennwort bis hin zu einer automatischen Sperre des Benutzerkontos nach X fehlgeschlagenen Anmeldeversuchen. (BC unterstützt das.)
Bei der MFA geht es nun darum, ein weiteres Element (Faktor) hinzuzufügen. Das kann z.B. ein Token sein, hier in Form von einem Stück Hardware, das zeitlich begrenzt gültige Einmalkennworte generiert. Vielleicht kennt Ihr das vom Online-Banking. Bei manchen Anwendungen bekommt man z.B. eine SMS mit einer PIN, oder man braucht eine spezielle Anwendung auf dem Handy, zu der die PIN geschickt wird.
Das ist natürlich für ein CMS ziemlich aufwendig, aber auch hierfür gibt es Methoden. Man kann sich z.B. das Einmalkennwort an die im CMS registrierte Mailadresse oder ein Handy schicken lassen, wobei letzteres natürlich nicht überall möglich ist und Kosten verursacht. Eine weitere Methode ist, daß die Website - genauer gesagt die Login-Seite - einen QR-Code ausgibt, den man mit einer beliebigen (Handy-)Anwendung abscannt. Der QR-Code beinhaltet dann wiederum ein Einmalkennwort, das z.B. 10 bis 30 Sekunden gültig ist.
Meine Frage nun: Habt Ihr Bedarf an dieser Art von Absicherung? (Optional aktivierbar natürlich.)
Die "herkömmliche" Methode ist die Verwendung einer Benutzerkennung zusammen mit einem Kennwort. Zusätzlich kann es dann weitere Schutzmechanismen geben, angefangen von einer Mindestlänge für das Kennwort bis hin zu einer automatischen Sperre des Benutzerkontos nach X fehlgeschlagenen Anmeldeversuchen. (BC unterstützt das.)
Bei der MFA geht es nun darum, ein weiteres Element (Faktor) hinzuzufügen. Das kann z.B. ein Token sein, hier in Form von einem Stück Hardware, das zeitlich begrenzt gültige Einmalkennworte generiert. Vielleicht kennt Ihr das vom Online-Banking. Bei manchen Anwendungen bekommt man z.B. eine SMS mit einer PIN, oder man braucht eine spezielle Anwendung auf dem Handy, zu der die PIN geschickt wird.
Das ist natürlich für ein CMS ziemlich aufwendig, aber auch hierfür gibt es Methoden. Man kann sich z.B. das Einmalkennwort an die im CMS registrierte Mailadresse oder ein Handy schicken lassen, wobei letzteres natürlich nicht überall möglich ist und Kosten verursacht. Eine weitere Methode ist, daß die Website - genauer gesagt die Login-Seite - einen QR-Code ausgibt, den man mit einer beliebigen (Handy-)Anwendung abscannt. Der QR-Code beinhaltet dann wiederum ein Einmalkennwort, das z.B. 10 bis 30 Sekunden gültig ist.
Meine Frage nun: Habt Ihr Bedarf an dieser Art von Absicherung? (Optional aktivierbar natürlich.)
)....
