256bit.org Blog

Was macht man, wenn man sich von einem nicht-vertrauenswürdigen Rechner auf einem anderen Rechner einloggen möchte, ohne das Risiko einzugehen, sein eigenes Passwort zu kompromitieren? Die Frage klingt theoretisch, aber angenommen man ist unterwegs und möchte schnell mal aus einem Internetcafé seine Mails überprüfen? Kann man den Rechnern dort trauen? Weiß man, dass dort kein Keylogger mitläuft? Will man dieses Risiko tatsächlich eingehen?

Das Risiko schwindet, wenn man sogenannte Einmalpasswörter verwendet. Den Versuch einer Standarisierung hat das IETF mit RFC2289 unternommen. Das Prinzip ist einfach, wenn man sich auf dem System einloggen will, nennt das System ein paar Attribute, aus denen man sich z.B. auf seinem Handy das passende Einmalpasswort erzeugt, um sich auf diesem System einzuloggen. Ein vertrauenswürdiges System wie ein Handy ist hilfreich, aber nicht notwendig. Man kann auch ein Satz Einmalpasswörter auf Papier vorhalten und dann das passende abtippen. Continue reading "Einmalpasswörter" »