Sichere Logins

Erst wenn eine Anwendung den Nutzer identifiziert hat, kann sie die korrekten Berechtigungen erteilen. Vor der Zugriffskontrolle steht demnach die Authentifizierung oder das Login.

Der Artikel stellt die wesentlichen, gängigen und praktikablen Maßnahmen für sichere Logins in Form einer Checkliste vor:

• Keine leicht ermittelbaren Nutzerkennungen verwenden.
  Die E-Mail-Adresse oder der Namen des Nutzers fällt damit schon mal aus.
• Erzwingung sicherer Passwörter.
  Passwörter sollen eine zufällige Zeichenkette sein, die leicht zu merken ist. Hier ist ein guter Kompromiss gefragt, bei dem leider wenig Verlass auf den Nutzer ist. Passwörter sollten mindestens 8 Stellen lang sein und mindestens zwei Ziffern oder Sonderzeichen enthalten. Es ist empfehlenswert aber nicht immer praktikabel Passwörter vorzugeben.
• Keine Hinweise, ob der Benutzernamen bei einem Fehlversuch korrekt eingegeben wurde.
  Das automatische Erraten von Logins unter Verwendung von Wörterbüchern (Enumeration-Angriffe) wird nur erfolgreich erschwert, wenn beide Komponenten schwer zu erraten sind.
• Aus gleichem Grund bei Nutzerkennung und Passwörtern immer die Groß- und Kleinschreibung berücksichtigen.
• Systemweite Beschränkung der Anzahl der Loginversuche in einer bestimmten Zeitspanne.
• Beschränkung der Zahl der Loginversuche pro Nutzerkennung oder IP-Adresse in einer bestimmten Zeitspanne.
• Logindaten mit dem POST-Protokoll versenden, damit sie nicht in Logs oder Caches auftauchen.
• Möglichst eine verschlüsselte Verbindung (Stichworte: SSL, HTTPS) für die Übermittlung der Login-Daten verwenden.
• Passwörter immer verschlüsselt und nicht entschlüsselbar speichern.
• Passwörter nie per E-Mail versenden.
• Nie ohne Bestätigung ein Passwort im System zurück setzen.
• Captchas sind überwindbar und nicht zugänglich.
• Nutzereinghaben auf Schadcode und Manipulationen filtern.

Hiermit ist die Diskussion eröffnet.

Ähnliche Artikel:

• OpenID — der Pass für Websites
• Captcha